Cybersecurity Maturity Model Certification (CMMC) Version 2: Überlegungen zum Risikomanagement von Drittanbietern

Im November 2021 veröffentlichte das Büro des Unterstaatssekretärs für Beschaffung und Nachhaltigkeit im US-Verteidigungsministerium (DoD) die Version 2.0 der Cybersecurity Maturity Model Certification (CMMC), ein umfassendes Rahmenwerk zum Schutz der industriellen Basis des Verteidigungssektors vor immer häufiger auftretenden und komplexeren Cyberangriffen. Version 2.0 vereinfacht das Modell, indem es die Zertifizierungsstufen von fünf (5) auf drei (3) strafft, proprietäre Reifegrade eliminiert und die Bewertungszuständigkeiten anpasst. Dieser Beitrag fasst die Neuerungen in Version 2.0 zusammen, darunter auch, wie Prevalent zur Vereinfachung des CMMC-Bewertungsprozesses beitragen kann.

Was ist CMMC?

CMMC ist eine Zertifizierung der US-Bundesregierung für Cybersicherheit und den Umgang mit kontrollierten, nicht klassifizierten Informationen (CUI) nach bewährten Verfahren. Diese Zertifizierung entscheidet letztendlich darüber, ob ein Unternehmen einen Auftrag vom Verteidigungsministerium erhalten kann. CMMC soll sicherstellen, dass unsere gesamte nationale Verteidigungslieferkette (DIBS – Defense Industrial Base Suppliers) sicher und widerstandsfähig ist.

Was sind die CMMC-Zertifizierungsstufen?

Alle Lieferanten des US-Verteidigungsministeriums müssen künftig eine Zertifizierung auf einer von drei Stufen absolvieren, von Stufe 1 (Grundlagen) bis Stufe 3 (Experte). Dies stellt eine Änderung gegenüber Version 1.0 dar, die fünf Zertifizierungsstufen vorsah. Die Zertifizierungsstufen der Version 2.0 leiten sich aus den grundlegenden Sicherheitsanforderungen für Federal Contract Information (FCI) ab, die in der Federal Acquisition Regulation (FAR) Klausel 52.204-21 festgelegt sind, sowie aus den Sicherheitsanforderungen für kontrollierte, nicht klassifizierte Informationen (CUI), die in der Sonderveröffentlichung ( SP ) 800-171 Rev 2 des National Institute of Standards and Technology (NIST) Special Publication (SP) 800-171 Rev 2 gemäß Defense Federal Acquisition Regulation Supplement (DFARS) Clause 252.204-7012 und zusätzlichen Kontrollen aus NIST SP 800-172 Enhanced Security Requirements for Protecting Controlled Unclassified Information: A Supplement to NIST Special Publication 800-171 abgeleitet.

• Stufe 1 – Selbstbewertung durch den Lieferanten anhand von 17 Kontrollen. Diese Zertifizierungsstufe gilt als grundlegend und ist für Lieferanten gedacht, die FCI verwalten, die für die nationale Sicherheit nicht kritisch sind. Diese Zertifizierungsstufe ist gegenüber der ursprünglich im Januar 2020 angekündigten Version 1.0 unverändert.
• Stufe 2 – Eine fortgeschrittenere Zertifizierungsstufe, die von externen Prüfern (bekannt als C3PAOs oder zertifizierte externe Prüfungsorganisationen) anhand von zusätzlichen 110 Kontrollen gemäß dem Standard NIST SP 800-171 durchgeführt wird. Diese Stufe kommt für Unternehmen in Betracht, die über kontrollierte, nicht klassifizierte Informationen (CUI) verfügen. In einigen Fällen können Organisationen auf dieser Stufe eine Selbstbewertung durchführen.
• Stufe 3 - Diese Stufe, die als Expertenstufe für die DoD-Lieferanten mit der höchsten Priorität gilt, baut auf Stufe 2 auf und fügt eine Untergruppe der NIST SP 800-172-Kontrollen hinzu. Die Bundesregierung führt die Audits für Unternehmen dieser Stufe durch.

CMMC-Anforderungen im Detail

In der nachstehenden Tabelle finden Sie eine Zusammenfassung der CMMC-Anforderungen nach Stufe, geordnet nach den relevanten Sicherheitskontrollen gemäß NIST SP 800-171r2, die als integrierte Fragebögen in der Prevalent-Plattform enthalten sind. Informationen zu Level 3 werden vom US DoD zu einem späteren Zeitpunkt veröffentlicht und enthalten eine Teilmenge der in NIST SP 800-172 spezifizierten Sicherheitsanforderungen.

Die Prevalent Third-Party Risk Management Platform verfügt über integrierte Fragebögen für Level 1 und Level 2, mit denen Lieferanten sich selbst und Auditoren ihre Kunden anhand der jeweiligen Level bewerten können. Sobald die Zertifizierungsanforderungen für Level 3 veröffentlicht worden sind, wird Prevalent den entsprechenden Fragebogen zur Plattform hinzufügen.

C3PAOs können:

• Laden Sie Kunden zur Prevalent-Plattform ein, um ihre standardisierte Level-2-Kontrollbewertung in einer benutzerfreundlichen, sicheren Umgebung durchzuführen.
• Automatisieren Sie Mahnungen an Lieferanten oder Kunden, um den Zeitaufwand für die Durchführung von Bewertungen zu reduzieren.
• Zentralisierung der Belege, die als Nachweis für das Vorhandensein von Kontrollen vorgelegt werden
• Zeigen Sie ein einziges Register der gemeldeten Risiken an, je nachdem, wie der Kunde oder Lieferant auf die Fragen antwortet.
• Empfehlungen zur Abhilfe bei fehlgeschlagenen Kontrollen abgeben
• Bereitstellung von maßgeschneiderten Berichten über den aktuellen Stand der Einhaltung von Vorschriften, die die risikomindernde Wirkung der Anwendung künftiger Kontrollen aufzeigen

Jeder DoD-Lieferant kann eine Selbstbewertung der Stufe 1 oder 2 durchführen, um:

• Sich selbst anhand der 17 Kontrollen bewerten, die zur Messung der Einhaltung der Stufe 1 erforderlich sind
• Sich selbst anhand der 110 Kontrollen bewerten, die zur Messung der Einhaltung der Stufe 2 erforderlich sind
• Hochladen von Unterlagen und Belegen zur Unterstützung der Antworten auf Fragen
• Transparenz über den aktuellen Stand der Einhaltung von Vorschriften
• Nutzen Sie die integrierten Abhilfemaßnahmen, um Mängel zu beheben.
• Erstellung von Berichten zur Messung der Konformität für Rechnungsprüfer

Weitere Informationen darüber, wie Prevalent zur Sicherung der Lieferkette des US-Verteidigungsministeriums beiträgt, finden Sie auf unserer CMMC-Compliance- Seite. Laden Sie unser Compliance-Whitepaper herunter oder fordern Sie noch heute eine Demo der Prevalent-Plattform an.

Anmerkung der Redaktion: Dieser Beitrag wurde ursprünglich auf Prevalent.net veröffentlicht. Im Oktober 2024 übernahm Mitratech das KI-gestützte Risikomanagement für Dritte, Prevalent. Der Inhalt wurde seitdem aktualisiert und enthält nun Informationen, die auf unser Produktangebot, regulatorische Änderungen und Compliance abgestimmt sind.