Was macht Erreichen der CMMC-Level-2-Konformität?
Verwendungszweck
- Wenn eine Organisation der Defense Industrial Base (DIB) Controlled Unclassified Information (CUI) unter einem DoD-Vertrag speichert, verarbeitet oder überträgt.
- Wenn ein Vertrag DFARS 252.204-7012 (Sicherung/Vorfallmeldung), -7019/-7020 (NIST 800-171 Selbstbewertung + SPRS) oder die neue -7021 (CMMC-Anforderung) enthält.
- Bei der Vorbereitung auf eine C3PAO-Drittanbieterbewertung oder eine DoD-geführte Bewertung.
- Wenn Sie einen SPRS-Score basierend auf der NIST SP 800-171 DoD-Bewertungsmethodik berechnen, veröffentlichen oder verbessern müssen.
- Beim Erstellen oder Sanieren eines System Security Plan (SSP) und POA&M für die 110 Anforderungen.
- Bei der Abgrenzung, welche Assets innerhalb der CUI/FCI-Grenze liegen (CUI-Assets, Sicherheitsschutz-Assets, vom Auftragnehmer risikomanagierte Assets, außerhalb des Geltungsbereichs).
Voraussetzungen
- Kenntnis darüber, welche Verträge CUI enthalten und der beteiligten CUI-Kategorien (Prüfen Sie den Vertrag und das DoD CUI-Register).
- Ein Asset-Inventar und Netzwerkdiagramm, um die CMMC-Bewertungsgrenze vor der Bewertung der Kontrollen zu definieren.
- Die Anforderungen der NIST SP 800-171 Rev 2 und die Bewertungsgewichtungen der DoD-Bewertungsmethodik.
- Ein dokumentierter SSP (sein Fehlen ist selbst eine fehlgeschlagene Anforderung — 3.12.4).
- Identifikation aller externen Dienstanbieter (ESPs) / Cloud-Dienste, die CUI berühren, und ob sie FedRAMP Moderate (oder gleichwertig) erfüllen.
Arbeitsablauf
1. Anwendbarkeit und CUI-Kategorien bestimmen
Bestätigen Sie, dass der Vertrag CMMC Level 2 erfordert (CUI vorhanden, nicht nur FCI). FCI-Verträge sind Level 1 (die 15 FAR 52.204-21 Anforderungen). Identifizieren Sie CUI-Kategorien aus dem Vertrag und dem DoD CUI-Register.
2. Umgebung abgrenzen
Klassifizieren Sie jedes Asset in eine der CMMC-Abgrenzungskategorien:
- CUI-Assets — verarbeiten/speichern/übertragen CUI (im Geltungsbereich, bewertet gegen alle anwendbaren Kontrollen).
- Sicherheitsschutz-Assets — bieten Sicherheit für die CUI-Umgebung (im Geltungsbereich).
- Vom Auftragnehmer risikomanagierte Assets — könnten, sind aber nicht dafür vorgesehen, CUI zu verarbeiten; durch Richtlinien verwaltet.
- Spezialisierte Assets (IoT/OT, GFE, Testgeräte) — dokumentiert, eingeschränkte Bewertung.
- Außerhalb des Geltungsbereichs — physisch/logisch von CUI isoliert.
Minimieren Sie den Geltungsbereich bewusst — eine kleinere, gut segmentierte CUI-Enklave ist weitaus günstiger zu zertifizieren als ein flaches Netzwerk.
3. Die 110 Anforderungen implementieren (NIST SP 800-171 Rev 2)
Arbeiten Sie die 14 Familien (3.1–3.14) durch. Implementieren Sie für jede Anforderung und beschreiben Sie dann das Wie im SSP. Frühe Erfolge mit hohem Hebel: MFA (3.5.3), FIPS-valide Kryptografie (3.13.11), Audit-Logging (3.3.x), Zugriffskontrolle + geringste Privilegien (3.1.x) und Incident Response (3.6.x).
4. Mit der DoD-Bewertungsmethodik (SPRS) bewerten
Beginnen Sie bei 110 und subtrahieren Sie den gewichteten Wert (1, 3 oder 5 Punkte) jeder unerfüllten Anforderung; Teilgutschrift gilt für eine kleine Anzahl von Kontrollen (z. B. MFA, FIPS-Krypto). Das Ergebnis ist der SPRS-Score (maximal 110; die Methodikuntergrenze ist −203). Veröffentlichen Sie den Score, das SSP-Datum und die Bewertungsgrenze in SPRS (oder eMASS für höhere Bewertungen).
5. Konformen POA&M erstellen
Dokumentieren Sie jede unerfüllte Anforderung mit Verantwortlichem, Abhilfemaßnahme und Meilenstein. Einschränkungen gemäß der CMMC-Regel: Ein konditionaler Status erfordert einen Score von mindestens 80 % (≥ 88 von 110), nur POA&M-fähige Anforderungen können aufgeschoben werden (die höchstgewichteten Sicherheitsanforderungen müssen vollständig erfüllt sein — prüfen Sie die Berechtigung gemäß 32 CFR Part 170), und alle POA&M-Punkte müssen innerhalb von 180 Tagen abgeschlossen sein, um Konditional → Final zu konvertieren.
6. Bewerten (selbst oder C3PAO)
- Level 1 und eine Teilmenge von Level 2 = jährliche Selbstbewertung mit einer Bestätigung in SPRS.
- Level 2 (die meisten CUI-Verträge) = dreijährliche C3PAO-Zertifizierungsbewertung.
- Level 3 = DoD (DIBCAC)-Bewertung zusätzlich zu Level 2, die SP 800-172 erweiterte Anforderungen hinzufügt. Die Bewerter bewerten jedes Ziel als ERFÜLLT / NICHT ERFÜLLT / N/A mit Nachweisen (prüfen/befragen/testen). Ein leitender Beauftragter reicht die jährliche Bestätigung der fortgesetzten Einhaltung ein.
7. Zertifizierung aufrechterhalten
Die Zertifizierung ist drei Jahre gültig mit jährlichen Bestätigungen. Pflegen Sie den SSP, bewerten Sie bei Änderungen neu, halten Sie Nachweise aktuell und speisen Sie wesentliche Änderungen zurück in die Bewertung.
Schlüsselkonzepte
| Konzept | Definition |
|---|---|
| FCI | Federal Contract Information — Level 1 schützt sie (FAR 52.204-21). |
| CUI | Controlled Unclassified Information — Level 2 schützt sie (NIST 800-171). |
| 110 Anforderungen | Die SP 800-171 Rev 2 Sicherheitsanforderungen über 14 Familien. |
| SPRS | Supplier Performance Risk System — wo der 800-171 Score veröffentlicht wird. |
| DoD-Bewertungsmethodik | Die 1/3/5-Punkte-Gewichtung zur Berechnung des Scores aus 110. |
| C3PAO | CMMC Third-Party Assessment Organization — führt Level 2 Zertifizierung durch. |
| POA&M | Plan of Action & Milestones — begrenzt, muss für den Final-Status innerhalb von 180 Tagen abgeschlossen sein. |
| Konditional vs. Final | Konditional = offener POA&M (Score ≥ 80 %); Final = alle Kontrollen erfüllt. |
| ESP | External Service Provider — muss FedRAMP Moderate / Gleichwertigkeit für CUI erfüllen. |
| Abgrenzungskategorien | CUI / Sicherheitsschutz / Vom Auftragnehmer risikomanagiert / Spezialisiert / Außerhalb des Geltungsbereichs. |
Werkzeuge und Systeme
- NIST SP 800-171 Rev 2 — die 110 Anforderungen (und 800-171A für Bewertungsziele).
- DoD NIST SP 800-171 Bewertungsmethodik — die Bewertungsgewichtungen.
- 32 CFR Part 170 (CMMC Programmregel) und 48 CFR / DFARS 252.204-7021 (Beschaffungsregel).
- SPRS — Score-Veröffentlichung; SAM.gov für Registrierung.
- SP 800-172 / 800-172A — erweiterte Anforderungen für Level 3.
- GRC / Compliance-Tooling — zur Verwaltung von SSP, POA&M und Nachweisen (z. B. Xacta, RegScale, FutureFeed-ähnliche Tracker).
Häufige Szenarien
- Prime leitet CUI an einen Sub weiter. Der Sub benötigt seinen eigenen Level-2-Geltungsbereich, SSP, SPRS-Score und (höchstwahrscheinlich) C3PAO-Zertifizierung.
- Score liegt unter 88. Priorisieren Sie die höchstgewichteten unerfüllten Anforderungen (5-Punkte, dann 3-Punkte), um die konditionale Schwelle zu erreichen und den POA&M zu verkleinern.
- Cloud enthält CUI. Bestätigen Sie, dass der Dienst FedRAMP Moderate autorisiert ist oder Gleichwertigkeit erfüllt; dokumentieren Sie die Verantwortungsteilung.
- Flaches Netzwerk. Grenzen Sie in eine segmentierte CUI-Enklave um, um die Bewertungsoberfläche zu verkleinern, bevor Sie für Kontrollen ausgeben.
- Jährliche Bestätigung fällig. Ein leitender Beauftragter bestätigt die fortgesetzte Einhaltung in SPRS; lassen Sie sie verfallen und riskieren Sie die Vertragsberechtigung.
Ausgabeformat
Erstellen Sie einen CMMC Level 2 Bereitschaftsbericht unter Verwendung von assets/template.md, der Folgendes enthält:
- Anwendbarkeit und CUI-Kategorien — warum Level 2 gilt.
- Geltungsbereich — Assets nach Abgrenzungskategorie und Referenz zum CUI-Grenzdiagramm.
- Kontrollstatus nach Familie — erfüllt / nicht erfüllt / N/A über die 14 Familien.
- SPRS-Score — berechneter Score, Abzüge und die Lücke zu 110 und zur Schwelle von 88.
- POA&M — unerfüllte Anforderungen, Berechtigungsprüfung, Verantwortliche, 180-Tage-Meilensteine.
- Bewertungspfad — Selbst- vs. C3PAO, Zieldatum, Bestätigungsverantwortlicher.
- Sanierungsfahrplan — sequenziert nach Punktwert und Aufwand.
Verwenden Sie scripts/process.py, um den SPRS-Score aus einem Kontrollstatus-JSON zu berechnen, POA&M-Berechtigungsprobleme zu kennzeichnen und die Lücke zur konditionalen Zertifizierungsschwelle zu melden.