Seit Jahrzehnten verwalten Rüstungsunternehmen sensible technische Daten unter dem drohenden Gespenst regulatorischer Änderungen. Mit der bevorstehenden endgültigen Umsetzung der Cybersecurity Maturity Model Certification (CMMC) 2.0 des US-Verteidigungsministeriums (DoD) verstärkt sich dieser Druck nun jedoch.
Es steht viel auf dem Spiel. Ohne Zertifizierung riskieren Lieferanten, von Tier-1-Hauptlieferanten bis hin zu kleinen Subunternehmern, vollständig von DoD-Verträgen ausgeschlossen zu werden. Die Einhaltung der Vorschriften ist keine Option, sondern eine Frage des Überlebens.
Und doch kann der Weg zur CMMC-Zertifizierung entmutigend sein. Er erfordert nicht nur die richtigen Richtlinien und Schulungen, sondern auch eine technische Infrastruktur, die nachweislich die Anforderungen der NIST SP 800-171 erfüllt. Hier kommt FedRAMP ins Spiel und wird zum Schnellweg zur CMMC-Zertifizierung.
CMMC verstehen
Im Kern ist CMMC der einheitliche Standard des US-Verteidigungsministeriums für Cybersicherheit. Er legt Anforderungen fest, die Auftragnehmer erfüllen müssen, um mit sensiblen Informationen umgehen zu dürfen und weiterhin für Verteidigungsaufträge in Frage zu kommen.
Das Modell dient dem Schutz von zwei wichtigen Arten von Informationen:
- Informationen zu Bundesverträgen (FCI): Daten, die von der Regierung im Rahmen eines Vertrags bereitgestellt oder für diese generiert wurden
- Kontrollierte, nicht klassifizierte Informationen (CUI): Sensible technische oder betriebliche Daten, die geschützt werden müssen, auch wenn sie nicht offiziell klassifiziert sind
CMMC stellt sicher, dass jedes Unternehmen in der Lieferkette der Verteidigungsindustrie, vom größten Hauptauftragnehmer bis zum kleinen Subunternehmer, nachweisen kann, dass es in der Lage ist, diese Daten vor Cyberbedrohungen zu schützen.
Die Struktur von CMMC 2.0
Die neueste Version, CMMC 2.0, vereinfacht das Framework auf drei Zertifizierungsstufen:
- Stufe 1 (Grundlagen): Grundlegende Absicherung der FCI gemäß 15 Sicherheitspraktiken
- Stufe 2 (Fortgeschritten): Schutz von CUI, der die Einhaltung von 110 Praktiken aus NIST SP 800-171 erfordert
- Stufe 3 (Experte): Fortgeschrittene Cybersicherheit für die sensibelsten Programme auf der Grundlage von NIST SP 800-172
In den Verträgen wird festgelegt, welche Stufe erforderlich ist. Für die meisten Lieferanten, die mit CUI umgehen, ist Stufe 2 die kritische Schwelle.
Warum CMMC so wichtig ist
CMMC ist nicht nur eine weitere Vorschrift, sondern eine Zugangsvoraussetzung für Aufträge des Verteidigungsministeriums. Nach der vollständigen Umsetzung sind Lieferanten, die keine Zertifizierung auf dem erforderlichen Niveau nachweisen können, nicht mehr berechtigt, sich um Verteidigungsaufträge zu bewerben oder diese auszuführen.
Das bedeutet:
- Stärkere Cyber-Resilienz in der gesamten Verteidigungsindustrie
- Wettbewerbsvorteil für Early Adopters
- Geschäftskontinuität für Lieferanten, die gemäß den neuen Vertragsregeln weiterhin zugelassen sein müssen
FedRAMP: Washingtons Goldstandard für Cybersicherheit
Das Federal Risk and Authorization Management Program (FedRAMP) wurde ins Leben gerufen, um die Bewertung von Cloud-Diensten für den Einsatz in Bundesbehörden zu standardisieren. Eine FedRAMP-autorisierte Lösung wurde unabhängig anhand von Hunderten von NIST 800-53-Kontrollen validiert, von denen viele direkt den Anforderungen von NIST 800-171 entsprechen, die der CMMC-Stufe 2 zugrunde liegen.
Einfach ausgedrückt: Wenn Ihre PLM-Software in einer FedRAMP-autorisierten Umgebung läuft, ist ein Großteil der Arbeit für die CMMC-Konformität bereits für Sie erledigt.
Wie FedRAMP die CMMC-Bereitschaft beschleunigt
- Direkte Kontrollzuordnung: Die FedRAMP-Kontrollen überschneiden sich weitgehend mit NIST 800-171. Auftragnehmer, die die FedRAMP-autorisierten Dienste von PTC nutzen, starten von einer vorab validierten Basislinie aus.
- Unabhängige Audits durch Dritte: FedRAMP verlangt jährliche 3PAO-Audits, wodurch Verteidigungslieferanten Audit-Nachweise erhalten, die sie bei CMMC-Bewertungen verwenden können.
- Geringerer Compliance-Aufwand: Durch die Auslagerung von Kontrollen auf Infrastrukturebene an einen FedRAMP-Anbieter können Auftragnehmer ihre Ressourcen auf Richtlinien, Schulungen und Prozessdokumentation konzentrieren.
- Integriertes Vertrauen: Die Nutzung eines von FedRAMP autorisierten Anbieters signalisiert den Auftraggebern und dem Verteidigungsministerium selbst, dass Cybersicherheit kein nachträglicher Gedanke ist, sondern fest in das Geschäft integriert ist.
Die Risiken, wenn man Abstriche macht
Ein aktueller Fall verdeutlicht die Risiken, die mit der Umgehung von Vorschriften verbunden sind. Im April 2025 erklärte sich MORSECORP, Inc. bereit, 4,6 Millionen US-Dollar zu zahlen, um Vorwürfe beizulegen, dass das Unternehmen seine Einhaltung der Cybersicherheitsanforderungen des US-Verteidigungsministeriums falsch dargestellt habe. Zu den Vorwürfen gehörten unter anderem die Nutzung eines Cloud-Anbieters, der nicht über eine FedRAMP-Moderate-Zertifizierung verfügte, sowie die Überbewertung seines NIST SP 800-171-Scores in offiziellen Berichten. Die Lehre daraus ist klar: Die Nichteinhaltung der CMMC- und damit verbundenen Bundesstandards gefährdet nicht nur Verträge, sondern kann auch zu kostspieligen Strafen und einem dauerhaften Reputationsschaden führen.
Die Rolle von PTC bei der Unterstützung der CMMC- Compliance
Für viele Verteidigungsunternehmen kann die Erfüllung der CMMC-Anforderungen eine Herausforderung darstellen, insbesondere auf Stufe 2, die dokumentierte Richtlinien, technische Sicherheitsvorkehrungen und Audit-Nachweise erfordert.
Hier macht PTC den Unterschied:
- FedRAMP-zugelassene Cloud-Services: Die PTC-Produkte Windchill, ThingWorx und Servigistics werden in FedRAMP-zugelassenen Umgebungen ausgeführt und entsprechen damit direkt den NIST 800-171-Kontrollen.
- DISA IL5-Zulassung: Windchill verfügt außerdem über eine vorläufige DoD IL5-Zulassung, die alle Ebenen nicht klassifizierter DoD-Daten abdeckt.
- Integrierte Compliance: Durch den Betrieb kritischer PLM- und Digital-Thread-Lösungen auf sicheren, unabhängig geprüften Plattformen erhalten Auftragnehmer einen schnelleren und risikoärmeren Weg zur CMMC-Bereitschaft.
Warum PTC der richtige Weg ist
Durch den Einsatz von Windchill in FedRAMP-zugelassenen Umgebungen bietet PTC Auftragnehmern aus der Luft- und Raumfahrt sowie der Verteidigungsindustrie einen einzigartigen Vorteil:
- Compliance ist von Anfang an integriert
- Auditfähige Infrastruktur, die jährlich von vom US-Verteidigungsministerium zugelassenen Gutachtern validiert wird
- Schnellere Zertifizierung, wodurch das Risiko von Vertragsstörungen verringert wird
In einem wettbewerbsintensiven Markt, in dem die Hauptlieferanten bereits strengere Anforderungen an ihre Zulieferer stellen, ist dies nicht nur ein technisches Unterscheidungsmerkmal, sondern eine Strategie für das Überleben des Unternehmens.
Die Wettbewerbsunterschiede: FedRAMP vs. Nicht-FedRAMP
Die harte Realität sieht so aus: Nicht alle PLM-Anbieter können diese Behauptung aufstellen.
- PTCs Windchill wird in FedRAMP-zugelassenen Umgebungen betrieben, die dem kontinuierlichen Überwachungsprogramm von FedRAMP unterliegen. Dieses umfasst jährliche Bewertungen durch von FedRAMP zugelassene Dritte (3PAOs) und die monatliche Übermittlung von System-Schwachstellen-Scans durch den Cloud-Service-Anbieter (CSP).
- Auftragnehmer, die PLM-Cloud-Anbieter nutzen, die NICHT FedRAMP-zertifiziert sind, müssen zusätzliche Kosten, Unsicherheiten und Risiken tragen, um ständig sicherzustellen, dass die Sicherheit des CSP mit den FedRAMP Moderate Baseline-Anforderungen konform bleibt.
Für einen Auftragnehmer, der gegen die CMMC-Fristen ankämpft, ist der Unterschied eklatant. Der eine Weg bietet Schnelligkeit, Audit-Sicherheit und Kostenvorhersagbarkeit. Der andere Weg bringt Verzögerungen, Unsicherheit und Risiken mit sich.
Das Fazit
CMMC steht vor der Tür. Die Zeit ist knapp und die Belastung ist real. Für Auftragnehmer, die ihre digitalen Engineering-Strategien auf FedRAMP-zugelassene Lösungen stützen, ist der Weg in die Zukunft klarer, schneller und kostengünstiger.
Deshalb ist FedRAMP nicht nur eine Checkbox für die Einhaltung von Vorschriften. Es ist der schnelle Weg zur CMMC-Zertifizierung und der Grund, warum Verteidigungszulieferer sich für PTC als ihren bevorzugten digitalen Partner entscheiden.
Sind Sie bereit, CMMC einen Schritt voraus zu sein?
Entdecken Sie, wie Sie mit dem FedRAMP-zertifizierten Windchill von PTC die Compliance beschleunigen und Ihre Position in der Lieferkette der Verteidigungsindustrie sichern können.
Kontaktieren Sie uns