Wenn Ihr Unternehmen Produkte für das US-Verteidigungsministerium entwickelt, herstellt oder betreut, wird CMMC schnell zu einer der wichtigsten Anforderungen im Bereich Cybersecurity, mit denen Sie konfrontiert sein werden. Da das Verteidigungsministerium CMMC zunehmend in Verträge aufnimmt, könnten Unternehmen, die die Compliance nicht nachweisen können, den Zugang zu künftigen Geschäftsmöglichkeiten verlieren.
Für viele Unternehmen der Verteidigungsindustrie besteht die Herausforderung jedoch nicht nur darin, das Framework zu verstehen. Es geht vielmehr darum, sensible technische Informationen – darunter CAD-Modelle, Produktentwürfe, Software, Systemarchitekturen, Fertigungsdaten und technische Dokumentation – zu schützen, während diese Informationen zwischen Teams, Zulieferern und über den gesamten Produktlebenszyklus hinweg weitergegeben werden.
Lösungen der nächsten Generation für Luft-/Raumfahrt und Verteidigung
Technologien von PTC für den Erfolg von Unternehmen in der Luft-/Raumfahrt und Verteidigung.
Mehr erfahrenWas versteht man unter CMMC-Compliance?
Unter CMMC-Compliance versteht man die Einhaltung der „Cybersecurity Maturity Model Certification“ durch eine Organisation – ein vom Verteidigungsministerium (DoD) entwickeltes Framework zur Standardisierung von Cybersicherheitspraktiken in der gesamten Verteidigungsindustrie. In der Praxis bedeutet dies, bestimmte Sicherheitsmaßnahmen umzusetzen, Prozesse zu dokumentieren und – je nach Vertragsanforderungen und Umsetzungsrichtlinien – Selbstbewertungen oder andere Validierungsmaßnahmen durchzuführen, um nachzuweisen, dass sensible Regierungsinformationen geschützt werden können.
Das Framework wurde geschaffen, da die Lieferkette des DoD Hunderttausende von Auftragnehmern und Unterauftragnehmern umfasst, von denen viele mit sensiblen, aber nicht als geheim eingestuften Regierungsdaten umgehen. Ohne einen einheitlichen Standard variierten die Cybersecurity-Praktiken stark, was Lücken hinterließ, die Angreifer ausnutzen konnten. CMMC schließt diese Lücken, indem es von Organisationen verlangt, definierte Sicherheitsstandards zu erfüllen, bevor sie sich um bestimmte DoD-Aufträge bewerben oder diese ausführen dürfen.
Im Gegensatz zu früheren Cybersicherheitsanforderungen, die sich in erster Linie auf die Selbstauskunft der Auftragnehmer stützten, führt das CMMC strukturierte Bewertungsanforderungen ein, die ein größeres Vertrauen darin schaffen sollen, dass Organisationen sensible Regierungsinformationen konsequent schützen. Das Framework legt eine gemeinsame Cybersicherheitsbasis für die gesamte Verteidigungsindustrie fest und trägt gleichzeitig dazu bei, Risiken in der Lieferkette zu verringern.
Warum ist CMMC Compliance für Unternehmen der Verteidigungsindustrie wichtig?
CMMC ist mehr als nur eine Initiative zur Cybersecurity. Für Unternehmen der Verteidigungsindustrie ist es zunehmend betroffen von der Fähigkeit, sich um neue Aufträge zu bewerben, mit Hauptauftragnehmern in der Kollaboration zusammenzuarbeiten und wertvolles geistiges Eigentum zu schützen. Unternehmen, die sich frühzeitig vorbereiten, sind besser aufgestellt, um künftige Aufträge zu akquirieren und gleichzeitig Betriebs- und Cybersicherheitsrisiken zu verringern.
Berechtigung gemäß DoD
Da CMMC-Anforderungen in immer mehr Ausschreibungen des Verteidigungsministeriums (DoD) auftauchen, müssen Unternehmen möglicherweise das entsprechende Level der Zertifizierung nachweisen, bevor sie sich um bestimmte Aufträge bewerben können. Für viele Auftragnehmer gewinnt die Cybersecurity-Bereitheit zunehmend an Bedeutung und wird ebenso wichtig wie die technische Kompetenz.
Pipeline
Die CMMC-Anforderungen erstrecken sich über die gesamte Lieferkette in der Verteidigungsindustrie. Hauptauftragnehmer müssen sicherstellen, dass Subunternehmer die geltenden Anforderungen an Cybersecurity erfüllen, was bedeutet, dass die Compliance direkten Einfluss auf Kooperationsmöglichkeiten, Lieferantenbeziehungen und zukünftige Umsätze haben kann.
Reputation
Der Nachweis ausgereifter Cybersecurity-Maßnahmen schafft Vertrauen bei Kunden, Partnern und staatlichen Akteuren. Unternehmen, die sensible technische und programmspezifische Informationen wirksam schützen können, gelten häufig als Partner mit geringerem Risiko für langfristige Programme der Verteidigungsindustrie.
Welche Unternehmen benötigen eine CMMC-Zertifizierung?
Die meisten Unternehmen, die im Rahmen eines Auftrags der Verteidigungsindustrie mit sensiblen Informationen des Verteidigungsministeriums (DoD) umgehen, fallen in den Anwendungsbereich des CMMC. Jedes Unternehmen, das im Auftrag des DoD Federal Contract Information (FCI) oder Controlled Unclassified Information (CUI) verarbeitet, speichert oder übermittelt, fällt in diesen Anwendungsbereich. Dazu gehören Hauptauftragnehmer, Unterauftragnehmer und Zulieferer auf nahezu jeder Ebene der Lieferkette.
Es ist ein weit verbreiteter Irrtum, dass sich nur große Hauptauftragnehmer in der Verteidigungsindustrie um die Compliance kümmern müssen. Tatsächlich unterliegen kleine und mittelständische Subunternehmer – Maschinenbaubetriebe, Lieferanten für Software, Logistikdienstleister – gleichermaßen den CMMC-Anforderungen, wenn sie mit FCI oder CUI in Berührung kommen. Das erforderliche Level der Zertifizierung hängt von der Sensibilität der Informationen ab, mit denen eine Organisation umgeht, sowie von der Art der im Rahmen des Vertrags ausgeführten Arbeiten.
Dies umfasst Organisationen aus nahezu allen Segmenten der Verteidigungsindustrie, darunter Luft- und Raumfahrthersteller, Schiffbauer, Elektronikzulieferer, Softwareentwickler, Systemintegratoren, Maschinenbaubetriebe, Ingenieurbüros, Logistikdienstleister und Unternehmen der Wartung. Wenn Ihre Organisation im Rahmen eines Vertrags mit dem Verteidigungsministerium (DoD) mit FCI oder CUI umgeht, gelten möglicherweise die CMMC-Anforderungen.
Was sind die Risiken, wenn Sie die CMMC Compliance nicht erfüllen?
Die Nichteinhaltung dieser Anforderungen kann weitaus mehr als nur eine einzelne Auftragschance betreffen.
Unternehmen, die die Compliance mit den geltenden Cybersecurity-Anforderungen nicht nachweisen können, laufen Gefahr, die Berechtigung für bestimmte Aufträge des Verteidigungsministeriums (DoD) oder zukünftige Auftragsvergaben zu verlieren. Da CMMC-Anforderungen zunehmend in Vertragstexte aufgenommen werden, kann eine Nichteinhaltung den automatischen Ausschluss während des Ausschreibungsverfahrens zur Folge haben. Für Subunternehmer kann die Nichteinhaltung zudem dazu führen, dass sie aus der Lieferkette eines Hauptauftragnehmers ausgeschlossen werden, da Hauptauftragnehmer dafür verantwortlich sind, sicherzustellen, dass ihre Subunternehmer die weitervermittelten Verpflichtungen der Cybersecurity erfüllen.
Darüber hinaus bestehen rechtliche und finanzielle Risiken. Eine falsche Darstellung Ihres Compliance-Status kann eine Haftung nach dem „False Claims Act“ nach sich ziehen und Ihr Unternehmen erheblichen Strafen aussetzen. Ein Cybersecurity-Vorfall kann zudem das Vertrauen von Regierungskunden und Hauptauftragnehmern untergraben, was den Gewinn zukünftiger Aufträge erschwert.
Die drei Level der CMMC Compliance
CMMC ist in drei aufeinander aufbauende Levels gegliedert, die jeweils auf die Art der verarbeiteten Informationen und das damit verbundene Cybersecurity-Risiko abgestimmt sind.
Zwar baut jedes Level auf dem vorherigen auf, doch werden sich die meisten Organisationen, die Programme für die Verteidigungsindustrie unterstützen, letztendlich entweder auf Level 1 oder Level 2 konzentrieren. Zu verstehen, welche Informationen Ihre Organisation verarbeitet, ist der erste Schritt zur Festlegung des geeigneten Zertifizierungspfads.
Level 1
Level 1 gilt für Organisationen, die ausschließlich FCI verarbeiten. Sie stellt eine grundlegende Stufe der Cybersecurity-Hygiene dar und ist die am wenigsten aufwendige Stufe, da sie eine jährliche Selbstbewertung anstelle eines Audits durch Dritte vorsieht.
Level 2
Level 2 gilt für Organisationen, die mit CUI umgehen. Sie orientiert sich eng an NIST SP 800-171 und kann je nach den geltenden Vertragsanforderungen und Umsetzungsrichtlinien eine Selbstbewertung oder eine Bewertung durch Dritte erfordern.
Level 3
Level 3 ist Organisationen vorbehalten, die Programme des Verteidigungsministeriums (DoD) mit höchster Priorität unterstützen, bei denen CUI fortgeschrittenen, anhaltenden Bedrohungen ausgesetzt ist. Diese Stufe erfordert eine von der Regierung geleitete Bewertung und baut auf den Anforderungen der Stufe 2 auf, ergänzt durch zusätzliche, strengere Kontrollmaßnahmen, die aus NIST SP 800-172 abgeleitet sind.
Welche Sicherheitsanforderungen gelten für die einzelnen CMMC-Level?
Level 1 Sicherheitsanforderungen
Die Level 1-Anforderungen basieren auf 15 grundlegenden Sicherheitsanforderungen, die in FAR 52.204-21 dargelegt sind. Diese umfassen grundlegende Maßnahmen wie die Beschränkung des Zugriffs auf autorisierte Benutzer, die Löschung von Datenträgern vor der Entsorgung und die Überwachung des physischen Zugangs zu Einrichtungen.
Level 2 Sicherheitsanforderungen
Die Level-2-Anforderungen orientieren sich an den 110 Sicherheitskontrollen, die in NIST SP 800-171 festgelegt sind. Diese umfassen 14 Kontrollfamilien, darunter Zugriffskontrolle, Reaktion auf Vorfälle, Risikobewertung sowie System- und Kommunikationsschutz. Organisationen müssen dokumentieren, wie jede einzelne Kontrolle umgesetzt wird, häufig mithilfe eines Systemsicherheitsplans (SSP) und eines Aktions- und Meilensteinplans (POA&M).
Level 3 Sicherheitsanforderungen
Level 3 baut auf den Grundlagen der Stufe 2 auf und ergänzt diese um eine Untergruppe erweiterter Anforderungen aus NIST SP 800-172. Diese Kontrollmaßnahmen dienen dem Schutz vor raffinierten, hartnäckigen Angreifern und konzentrieren sich stark auf die Erkennung fortgeschrittener Bedrohungen sowie auf Widerstandsfähigkeit und Reaktionsfähigkeit.
Welche Daten werden durch CMMC geschützt?
Die CMMC-Anforderungen dienen dem Schutz von zwei Kategorien staatlicher Informationen.
Controlled Unclassified Information (CUI)
CUI sind von der Regierung erstellte oder in ihrem Besitz befindliche Informationen, die geschützt werden müssen, jedoch nicht die Schwelle für eine Einstufung erreichen. Beispiele hierfür sind technische Zeichnungen, exportkontrollierte Daten und bestimmte programmspezifische Details. Da CUI Einblicke in Programme und Operationen des Verteidigungsministeriums gewähren kann, ist sie häufig Ziel von Cyberbedrohungen.
Für viele Unternehmen der Verteidigungsindustrie umfasst CUI einige der wertvollsten technischen Ressourcen der Organisation. Beispiele hierfür sind CAD-Modelle, technische Zeichnungen, Systemarchitekturen, Software-Quellcode, Anforderungen, Fertigungsanweisungen, Stücklisten, Simulationsergebnisse und Testdokumentation. Der Schutz dieser Ressourcen über den gesamten Produktlebenszyklus hinweg ist oft einer der anspruchsvollsten Aspekte der CMMC Compliance.
Federal Contract Information (FCI)
FCI sind Informationen, die von der Regierung bereitgestellt oder im Rahmen eines Vertrags für sie erstellt werden und nicht zur Veröffentlichung bestimmt sind. Ihr Geltungsbereich ist weiter gefasst als der von CUI, sie sind jedoch in der Regel weniger sensibel und bilden die Grundlage für die Anforderungen der Level 1.
Wie erreicht man CMMC-Compliance?
Der Weg zur Zertifizierung ist ein mehrstufiger Prozess, der in der Regel mit einer Lückenanalyse beginnt. Dabei werden Ihre aktuellen Cybersecurity-Maßnahmen anhand der Anforderungen für das angestrebte Level der Zertifizierung überprüft und Lücken ermittelt.
Darauf aufbauend erstellen Organisationen in der Regel einen Systemsicherheitsplan (SSP), der dokumentiert, wie jede erforderliche Kontrollmaßnahme umgesetzt wird, sowie einen Aktions- und Meilensteinplan (POA&M), um noch bestehende Lücken zu schließen. Anschließend beheben die Organisationen die identifizierten Lücken. Dies kann technische Verbesserungen wie Netzwerksegmentierung und Zugriffskontrollen sowie Aktualisierungen von Richtlinien, Prozessen und Mitarbeiterschulungen umfassen.
Sobald die Behebung abgeschlossen ist, führen Unternehmen des Levels 1 eine jährliche Selbstbewertung durch. Unternehmen des Levels 2 können je nach Vertragsanforderungen entweder eine Selbstbewertung oder eine Bewertung durch einen Dritten durchführen, während Unternehmen des Levels 3 einer von der Regierung geleiteten Bewertung unterzogen werden. Während dieses gesamten Prozesses verlassen sich viele Unternehmen auf eine registrierte Anbieterorganisation (RPO) oder einen Berater, insbesondere bei der Bewältigung von Dokumentationsanforderungen oder komplexen IT-Umgebungen.
Wie lange dauert es, bis man eine CMMC-Zertifizierung erhält?
Die Zeitpläne variieren erheblich je nach Ausgangssituation und angestrebter Stufe der jeweiligen Unternehmen. Unternehmen mit ausgereiften Cybersecurity-Programmen, die bereits auf NIST SP 800-171 abgestimmt sind, können die Zertifizierung des Levels 2 innerhalb weniger Monate abschließen. Unternehmen, die von einer begrenzten Sicherheitsbasis ausgehen, müssen damit rechnen, dass der Prozess erheblich länger dauert – oft ein Jahr oder länger –, insbesondere wenn umfangreiche Korrekturmaßnahmen, Dokumentationsarbeiten oder Änderungen an der Infrastruktur erforderlich sind.
Unternehmen, die bereits den Anforderungen von NIST SP 800-171 entsprechen, können den Prozess in einigen Monaten abschließen. Andere benötigen möglicherweise ein Jahr oder länger, um technische Kontrollmaßnahmen zu implementieren, Richtlinien zu aktualisieren, Verfahren zu dokumentieren und sich auf die Bewertung vorzubereiten. Da die Umsetzung von Korrekturmaßnahmen oft länger dauert als erwartet, kann das Warten, bis CMMC in einer Ausschreibung erscheint, das Programmrisiko erheblich erhöhen.
Ab wann wird CMMC vorgeschrieben sein?
Die CMMC-Anforderungen werden schrittweise und nicht auf einmal in die Verträge des Verteidigungsministeriums (DoD) integriert. Die Umsetzung des CMMC entwickelt sich weiter, während das DoD seinen Einführungsansatz verfeinert. Die Anforderungen können je nach Vertrag, Programm und Umsetzungsphase variieren. Unabhängig von den Umsetzungszeitplänen sollten Organisationen, die mit CUI umgehen, ihre Cybersecurity-Praktiken weiter verbessern, Kontrollmaßnahmen dokumentieren und sich an die Anforderungen von NIST SP 800-171 ausrichten. Auftragnehmer sollten zudem verstehen, inwiefern sich die CMMC-Anforderungen mit den übergeordneten Cybersecurity- und Beschaffungsanforderungen des Verteidigungsministeriums überschneiden, einschließlich der DFARS-Klauseln und der DoDI 5000.97. Angesichts des Zeitaufwands für Abhilfemaßnahmen und Bewertungen ist eine frühzeitige Vorbereitung nach wie vor der sicherste Weg, unabhängig davon, wann die Anforderungen eines bestimmten Vertrags in Kraft treten.
Obwohl sich die Umsetzungsfristen weiterhin ändern, sollten Organisationen nicht auf eine bestimmte Vertragsanforderung warten, bevor sie mit den Vorbereitungen beginnen. Viele der für Compliance erforderlichen Maßnahmen – darunter die Identifizierung von CUI, die Dokumentation von Sicherheitskontrollen, die Verbesserung der Governance und die Stärkung des Schutzes technischer Daten – nehmen Monate in Anspruch.
CMMC, DFARS und DoDI 5000.97 über PTCs FedRAMP Moderate SaaS PLM
CMMC-Compliance mit PTCs FedRAMP SaaS PLM.
Mehr erfahrenWie kann PTC Unternehmen der Verteidigungsindustrie dabei unterstützen, die CMMC-Anforderungen zu erfüllen?
Bei der Erfüllung der CMMC Compliance geht es nicht nur um die Dokumentation von Richtlinien. Unternehmen müssen zudem nachweisen, dass sensible technische Informationen während ihres gesamten Lebenszyklus geschützt sind – von den Anforderungen über die Konstruktion bis hin zur Fertigung, den Zulieferern und der Instandhaltung.
PTC unterstützt die Verteidigungsindustrie dabei, eine strengere Kontrolle über Konstruktions- und Produktdaten zu etablieren und gleichzeitig die Transparenz, Rückverfolgbarkeit und Zugriffskontrolle entlang des gesamten Digital Thread zu verbessern. Anstatt sensible Informationen in voneinander getrennten Systemen zu verwalten, können Unternehmen Produktdaten zentralisieren, lückenlose Änderungshistorien führen und sicher mit internen Teams sowie externen Zulieferern zusammenarbeiten.
Lösungen wie Windchill+, die auf der FedRAMP-autorisierten Cloud-Infrastruktur von PTC laufen, unterstützen Unternehmen dabei, sensible Konstruktionsdaten in einer sicheren Umgebung zu verwalten und gleichzeitig Compliance-Initiativen, Kollaboration mit Zulieferern sowie die digitale Transformation im Engineering voranzutreiben.
Zwar reicht Technologie allein nicht aus, um die CMMC-Zertifizierung zu erreichen, doch kann ein sicheres Produktlebenszyklusmanagement eine wichtige Rolle dabei spielen, Unternehmen beim Schutz von „Controlled Unclassified Information“ (CUI) über den gesamten Konstruktionslebenszyklus hinweg zu unterstützen.
Als nächstes