Was ist CMMC-Compliance?
Durch CMMC-Compliance sorgen Sie dafür, dass Ihre Systeme und Teams die vom US-Kriegsministerium geforderten Cybersicherheitsstandards erfüllen. Sie schützt sensible Daten, stärkt Ihre Berechtigung für Verträge und verschafft Ihnen einen starken Wettbewerbsvorteil.
Für jedes Unternehmen, das vom US-Verteidigungsministerium Aufträge erhalten oder um sie bieten möchte, ist die Einhaltung der CMMC-Vorschriften ein Muss. Die Abkürzung steht für Cybersecurity Maturity Model Certification und ist der Maßstab, den die US-Regierung verwendet, um die Erwartungen an ihre Auftragnehmer zu strukturieren. In den neu veröffentlichten CMMC 2.0-Standards sind einige dieser Anforderungen geändert und verschlankt worden. Sie basieren jedoch weiterhin auf der Art der Daten, mit denen Ihr Unternehmen umgeht und auf die es Zugriff hat. Manche Unternehmen benötigen nur grundlegende Daten. Andere müssen strenge Prüfungen bestehen und rigorose Kontrollmaßnahmen für sensible Daten einhalten. Und dies betrifft mehr als nur die IT. Es berührt Bereiche wie Beschaffung, Operations, Cloud-Infrastruktur, Personalwesen und sogar Lieferantenbeziehungen. Je besser Ihre Systeme und Prozesse aufeinander abgestimmt sind, desto einfacher wird es, die Anforderungen zu erfüllen – und zu beweisen, dass Sie bereit sind.
Bedeutung von CMMC
Die Cybersecurity Maturity Model Certification (CMMC) ist ein Rahmenwerk des US-Verteidigungsministeriums, das Cybersicherheitsnormen für Auftragnehmer und Lieferanten in der Rüstungsindustrie vorschreibt. Es prüft die Fähigkeit eines Unternehmens, vertrauliche, nicht als geheim eingestufte Informationen (Controlled Unclassified Information, CUI) und föderale Vertragsdaten (Federal Contract Information, FCI) durch einen mehrstufigen Zertifizierungsprozess zu schützen.
Wer benötigt eine CMMC-Zertifizierung?
Wenn Ihr Unternehmen mit Daten des US-Verteidigungsministeriums arbeitet oder die Rüstungsindustrie (Defense Industrial Base, DIB) unterstützt, müssen Sie die Anforderungen an die Cybersicherheit erfüllen. Dies gilt ebenso für Hauptauftragnehmer, Subunternehmer, Lieferanten und Dienstleister.
Auftragnehmer und Unterauftragnehmer des US-Verteidigungsministeriums
Alle Unternehmen, die Arbeiten für das US-Verteidigungsministerium anbieten oder weiter vergeben, müssen die Anforderungen der im Vertrag festgelegten CMMC-Ebene erfüllen. Dabei gelten Flow-Down-Regelungen, was bedeutet, dass die Compliance über die gesamte Lieferkette hinweg erforderlich ist, nicht nur für den Hauptauftragnehmer.
Unternehmen, die mit FCI, CUI oder HVA arbeiten
Wenn Sie in den USA auf Federal Contract Information (FCI), Controlled Unclassified Information (CUI) oder High Value Assets (HVA) zugreifen oder wenn Sie Dokumente, technische Spezifikationen oder sensible Designs für das US-Verteidigungsministerium verwalten, müssen Sie sich auf der richtigen CMMC-Ebene zertifizieren.
Cloud-Anbieter, IT-Services und Support-Anbieter
Drittanbieter, die DoD-Auftragnehmern Infrastruktur, Speicherung oder Dienstleistungen anbieten, müssen mindestens FedRAMP Moderate oder äquivalent erfüllen. Das gilt für SaaS-, PaaS- und IaaS-Anbieter, Managed Service Provider (MSPs), Logistikunternehmen, Cybersicherheitsanbieter und andere, die Arbeiten im Verteidigungsbereich unterstützen.
Welche Risiken bestehen, wenn Sie die CMMC-Compliance-Anforderungen nicht erfüllen?
Wenn Ihr Unternehmen nicht auf dem richtigen Level zertifiziert ist, laufen Sie Gefahr, zukünftige Chancen zu verpassen. Sie können auch bestehende Verträge gefährden, von Ausschreibungen ausgeschlossen werden oder sogar das schwache Glied sein, das zum Scheitern Ihres Hauptauftragnehmers führt. Zur Verdeutlichung betrachten wir hier die Non-Compliance-Risiken aus drei Perspektiven:
Berechtigungen
Verträge mit dem US-Verteidigungsministerium erfordern zwingend den Nachweis der CMMC-Zertifizierung. Ohne sie können Sie nicht einmal ein Angebot abgeben. Subunternehmer sollten sich bewusst sein, dass Lieferanten 12 bis 18 Monate im Voraus überprüft werden, um die vollständige Compliance bis zum Vergabezeitpunkt zu sichern.
Pipeline-Auswirkungen
Die Vorbereitung auf den Zertifizierungsprozess sowie die Prüfung und Behebung von Lücken kann Monate dauern. Nur zertifizierte Unternehmen erscheinen im Supplier Performance Risk System (SPRS). Wer Vorschriften nur verzögert einhält, kann Zeit und Geld verlieren.
Arbeit und Reputation
Wenn Sie zu dem Zeitpunkt, an dem ein Vertrag eines Kunden verlängert werden soll, nicht CMMC-zertifiziert sind, können Sie den Kunden verlieren. Und wenn Sie die Mindeststandards bei der Cybersicherheit nicht erfüllen, können Sie haftbar gemacht oder von der Liste der genehmigten Anbieter des US-Verteidigungsministeriums gestrichen werden.