CMMC-2,0Compliance: Was DoD-Auftragnehmer wissen müssen

AKTUALISIERUNG: Dieser Beitrag, der ursprünglich auf 26. Mai 2021 veröffentlicht wurde, wurde aktualisiert, um den neuesten Entwicklungen hinsichtlich der CMMC- 2,0 -Konformität Rechnung zu tragen. Es enthält nun überarbeitete Leitlinien zur Prüfungsbereitschaft, aktualisierte Kontrollzuordnungen sowie neue Einblicke dazu, wie Tanium die kontinuierliche Einhaltung von Vorschriften und die operative Reife in der gesamten Verteidigungsindustrie fördert.

CMMC 2,0 verändert die Art und Weise, wie das Verteidigungsministerium (DoD) von Auftragnehmern verlangt, kontrollierte nicht klassifizierte Informationen (CUI) und Informationen zu Bundesverträgen (FCI) in der gesamten Verteidigungsindustriebasis (DIB) zu schützen, indem strenge Anforderungen an die Cybersicherheit eingeführt werden, die alle Auftragnehmer erfüllen müssen.

Aufbauend auf den Grundlagen von CMMC 1,0 untermauert das aktualisierte CMMC- 2,0 -Modell das Ziel des Verteidigungsministeriums, die nationale Sicherheit durch die Festlegung robuster, skalierbarer und durchsetzbarer Cybersicherheitsstandards zu gewährleisten. Es verlangt von Auftragnehmern, dass sie ihre Reife im Bereich der Cybersicherheit anhand eines mehrstufigen, messbaren und auditbasierten Rahmens nachweisen, wodurch die Rechenschaftspflicht sowie die Anpassung an sich wandelnde Bedrohungen und Compliance-Anforderungen gewährleistet werden.

Die Zeit für die Vorbereitung auf CMMC 2,0 ist jedoch fast abgelaufen. Da die Bewertungen nun im „Supplier Performance Risk Scoring System“ (SPRS) des „ “ (wird in einem neuen Tab geöffnet) verfügbar sind, wird erwartet, dass die Einhaltung dieser Vorgaben zu einer vertraglichen Anforderung wird, sobald das CMMC in diesem Jahr offiziell in den „ Defense Federal Acquisition Regulation Supplement“ (DFARS) (wird in einem neuen Tab geöffnet) aufgenommen wird. Die Auftragnehmer müssen nun von der Planung zur Umsetzung übergehen.

Doch selbst während die Durchsetzung verstärkt wird, haben viele Organisationen noch Nachholbedarf.
Wenn Sie ein Auftragnehmer des Verteidigungsministeriums sind, ist „CMMC 2,0 “ nicht nur ein weiteres Akronym – es ist Ihre neue Realität. Dieses aktualisierte Cybersicherheits-Rahmenwerk „ “ ( ) verändert die Art und Weise, wie die industrielle Basis des Verteidigungssektors sensible Daten schützt, und ist nicht mehr freiwillig.

Whether you're beginning your compliance journey or preparing for a third-party assessment, this comprehensive guide will walk you through everything you need to know about CMMC 2,0—including how Tanium simplifies and helps accelerate your path to compliance.

Was ist CMMC 2,0 und warum ist es von Bedeutung?

CMMC 2,0 führt eine modernisierte Struktur mit drei klar abgegrenzten Reifegraden im Bereich Cybersicherheit ein, die das ursprüngliche Fünf-Stufen-Modell ablöst. Jede Stufe richtet sich nach der Sensibilität der zu verarbeitenden Daten und legt die entsprechenden Sicherheitsanforderungen detaillierter fest.

Das Modell legt den Schwerpunkt auf messbare Fortschritte und eine formelle Validierung und verlangt von den Auftragnehmern, dass sie die Einhaltung der Vorgaben je nach erforderlicher Zertifizierungsstufe durch Selbstbewertungen, Bewertungen durch Dritte oder behördlich durchgeführte Prüfungen nachweisen.

In der Praxis bedeutet dies, dass die CMMC-Stufe 2 alle 110 Kontrollmaßnahmen aus der Norm SP 800-171 des National Institute of Standards and Technology (NIST) umfasst, während die Stufe 3 eine Teilmenge der Norm SP 800-172 enthält. Diese Stufen stärken die Cybersicherheitspraktiken durch klar definierte Bereiche wie Zugriffskontrolle, Konfigurationsmanagement und Sensibilisierungsschulungen und sind jeweils darauf ausgelegt, eine widerstandsfähige Sicherheitskultur aufzubauen und die Rechenschaftspflicht entlang der gesamten Lieferkette sicherzustellen.

In der Vergangenheit stützte sich die Cybersicherheit in der Lieferkette von „ “ ( ) stark auf vertrauensbasierte Modelle und veraltete Instrumente wie Tabellenkalkulationen und binäre Fragebögen – was zu erheblichen Lücken hinsichtlich Transparenz und Rechenschaftspflicht führte.

Das CMMC-Programm begegnet diesen Herausforderungen, indem es standardisierte, messbare Cybersicherheitsmaßnahmen in der gesamten Verteidigungsindustrie durchsetzt. Sein Ziel besteht nicht nur darin, die Einhaltung der Vorschriften sicherzustellen, sondern auch eine proaktive und widerstandsfähige Sicherheitskultur zu etablieren. Indem CMMC 2,0 von Auftragnehmern verlangt, ihre Reife durch Audits und kontinuierliche Verbesserungen nachzuweisen, trägt es dazu bei, Risiken entlang der gesamten Lieferkette zu verringern, indem es einheitliche, durchsetzbare Sicherheitsvorkehrungen fördert.

Die Einhaltung der CMMC-Vorgaben kann eine Herausforderung darstellen, muss es aber nicht. In diesem kurzen Video erhalten Sie einen klaren und prägnanten Überblick darüber, was CMMC ist und warum es für Organisationen innerhalb der DIB von Bedeutung ist. Dieses Video bietet eine übersichtliche und praxisorientierte Zusammenfassung, die Ihnen dabei helfen soll, selbstbewusst voranzukommen.

CMMC 2,0 stellt letztlich die Weiterentwicklung der Sicherheitsstandards im Verteidigungssektor dar und sorgt für eine Abstimmung von Schulungen, Rahmenwerken und Bewertungen, um sicherzustellen, dass alle Auftragnehmer – unabhängig von ihrer Größe – das Ziel des Verteidigungsministeriums erfüllen können, die nationale Sicherheit durch eine widerstandsfähige und rechenschaftspflichtige Cyberabwehr zu gewährleisten.

Die CMMC-Stufen 2,0 verstehen: Von den Grundlagen bis zum Expertenniveau

CMMC 2,0 vereinfacht das ursprüngliche fünfstufige Modell auf drei aufeinander aufbauende Stufen, die jeweils auf bestimmte Bundesstandards und Bewertungsanforderungen abgestimmt sind.

Allerdings muss nicht jede Organisation denselben Standard erfüllen. An dieser Stelle kommt das gestaffelte Modell ins Spiel:

Jede Stufe baut auf der vorherigen auf und verbessert so die Fähigkeit der Organisation, Cyberbedrohungen zu erkennen, darauf zu reagieren und sich davon zu erholen.

Die wichtigsten Ziele von CMMC 2,0

Was genau soll also mit „CMMC 2,0 “ erreicht werden?

Im Kern geht es darum, die Standards für die Cybersicherheit entlang der gesamten Lieferkette im Verteidigungsbereich anzuheben. Das sind die angestrebten Ziele:

• Schützen Sie vertrauliche Informationen (CUI/FCI)
• Anpassung an bestehende Standards für Cybersicherheit (z. B. NIST SP 800-171)
• Entwickeln Sie ein bewährtes, skalierbares Modell
• Durch Bewertungen die Rechenschaftspflicht sicherstellen
• Fördern Sie die Reife und Transparenz der Umsetzung

Wer muss die CMMC-Anforderungen erfüllen?

Jede Organisation – sei es aus der Wirtschaft, dem akademischen Bereich oder einem anderen Bereich –, die im Rahmen eines Vertrags mit dem Verteidigungsministerium (DoD) mit FCI oder CUI umgeht, einschließlich Hauptauftragnehmern und Unterauftragnehmern, muss die entsprechende Stufe von CMMC 2,0 erreichen.

Anforderungen für die Einhaltung der CMMC-Stufe 2,0

Organisationen, die die Einhaltung der Vorschriften anstreben, müssen Folgendes nachweisen:

• Erfassung und Bestandsaufnahme von Anlagen in Echtzeit
• Verwundbarkeits- und Patch-Management
• Identitäts- und Zugriffskontrolle
• Durchsetzung der Systemintegrität
• Sichere Basiskonfigurationen
• Kontinuierliche Überwachung und Reaktion auf Vorfälle

...all dies muss dokumentiert, überprüfbar und fortlaufend gepflegt werden.

Diese betrieblichen Anforderungen entsprechen direkt dem CMMC- 2,0 -Rahmenwerk, das auf 14 Bereichen (gegenüber 17 in Version 1,0) und 110 Praktiken basiert, die auf NIST SP 800-171 abgestimmt sind. Jeder Bereich – von der Zugriffskontrolle bis hin zu Sensibilisierungsschulungen – umfasst spezifische Anforderungen, die darauf abzielen, eine widerstandsfähige Cybersicherheitskultur aufzubauen.

Angesichts sich ändernder Anforderungen, sich weiterentwickelnder Bedrohungen und des Drucks, vor einem Audit alles richtig zu machen, tun sich viele Unternehmen schwer damit, den Schritt von der Planung zur Umsetzung zu vollziehen. Aus diesem Grund haben wir den Prozess in eine praktische 6-Schritte-Checkliste unterteilt – damit Sie den Einstieg finden, den Überblick behalten und selbstbewusst vorankommen.

Eine praktische 6-Schritte-Checkliste zur Einhaltung der CMMC- 2,0 -Vorgaben

Ganz gleich, an welcher Stelle Ihres Compliance-Prozesses Sie sich gerade befinden – ob Sie gerade erst anfangen oder sich auf eine Bewertung durch eine unabhängige Stelle vorbereiten – diese übersichtliche, praxisorientierte Checkliste kann Ihrem Unternehmen dabei helfen, die Voraussetzungen für CMMC 2,0 zu erfüllen:

1. Ermitteln Sie Ihr Niveau

1. Machen Sie sich ein Bild davon, wo Sie stehen

Schnelle Überprüfung der Betriebsbereitschaft Fragen Sie sich: ✓ Wie viele Computer befinden sich in Ihrem Netzwerk
– und sind diese dort zulässig? ✓ Welche Anwendungen sind installiert – und sind sie alle auf dem neuesten Stand? ✓ Was tun die Nutzer – und ist dies zulässig? ✓ Wie sicher fühlen Sie sich hinsichtlich Ihrer Patches, Schwachstellen, „
“ und Ihrer Risikosituation?
Diese Fragen tragen dazu bei, blinde Flecken frühzeitig aufzudecken und Ihnen
bei der Festlegung Ihrer Prioritäten für Abhilfemaßnahmen als Orientierungshilfe zu dienen. Wenn Sie diese Fragen nicht sicher beantworten können,
werden Ihre Wirtschaftsprüfer dies ebenfalls nicht können.

1. Erfassen Sie Ihre Umgebung

1. Risiken bewerten und priorisieren

1. Überwachung und Reaktion in die Praxis umsetzen

1. Dokumentieren und validieren

Klare, gut strukturierte Nachweise sind sowohl für Selbstbewertungen als auch für Bewertungen durch Dritte von entscheidender Bedeutung. Dies zeigt, dass Ihre Maßnahmen zur Cybersicherheit nicht ad hoc erfolgen, sondern konsistent, wiederholbar und auf Dauer angelegt sind. Genau diese Art von betrieblicher Reife ist es, worauf Wirtschaftsprüfer achten und was widerstandsfähige Organisationen auszeichnet.

Und genau darum geht es. Bei der Reifeprüfung geht es nicht nur darum, eine Prüfung zu bestehen – es geht darum, zu beweisen, dass man das Erreichte aufrechterhalten kann. Aus diesem Grund ist die Vorbereitung auf eine Prüfung kein einmaliges Ereignis. Es ist eine Frage der Einstellung.

CMMC-Prozessreife: Über die einmalige Zertifizierung hinaus

Bei der Compliance geht es nicht mehr nur darum, ein einmaliges Audit zu bestehen. Stattdessen wird der Schwerpunkt auf die kontinuierliche Weiterentwicklung der Cybersicherheitsprozesse gelegt – darauf, wie gut diese Prozesse dokumentiert, institutionalisiert und im Laufe der Zeit kontinuierlich verbessert werden.

Allerdings gehen Auftragnehmer bei der Behebung von Schwachstellen in der Cybersicherheit häufig mit einem komplizierten Flickenteppich aus Einzelprodukten vor, die nicht miteinander kompatibel sind, schwer zu verwalten sind und ihnen keinen Überblick über Cyberbedrohungen im Netzwerk verschaffen.

Sollten Auftragnehmer weiterhin diese Einzelprodukte anstelle einer einheitlichen Plattform zur Behebung einzelner Schwachstellen einsetzen, werden sie damit gleichzeitig die Kosten, die Komplexität und das Risiko erhöhen und möglicherweise nicht in der Lage sein, die CMMC-Anforderungen ohne erhebliche Änderungen vollständig zu erfüllen.

[Lesen Sie auch: Compliance vs. Risikomanagement – Definition und Unterschiede]

Bei CMMC geht es nicht nur darum, ein Audit zu bestehen – es geht darum, bewährte Verfahren im Bereich der Cybersicherheit zu verankern.

Tanium unterstützt diesen Wandel durch:

• Eine zentrale Übersicht über IT-Sicherheits- und Compliance-Workflows
• Messbare Konfigurations- und Schwachstellen-Benchmarks
• Automatisierte, prüfungsfähige Compliance-Berichterstattung
• Integration mit Tools wie Microsoft, ServiceNow und weiteren

Durch die kontinuierliche Verbesserung von Prozessen können Organisationen von der Reifegradstufe „Durchgeführt“ zur Stufe „Optimiert“ aufsteigen und damit zeigen, dass sie nicht nur die Vorschriften einhalten, sondern auch widerstandsfähig und proaktiv sind.

Wie Tanium Unternehmen dabei unterstützt, die CMMC- 2,0 -Konformität zu erreichen

Obwohl Tanium kein C3PAO -Prüfer ist, bieten wir unseren Kunden fundierte Einblicke in die erforderlichen Cybersicherheitsmaßnahmen, die für den Aufbau einer CMMC-konformen IT-Infrastruktur notwendig sind. Mit Tanium verfügen Auftragnehmer über eine einzige, einheitliche Plattform, die Endpunktmanagement und Sicherheit miteinander verbindet und dabei hilft, Daten von den Endpunkten zu erfassen.

Unsere Plattform bietet eine umfassende Überwachung von Sicherheitsbedrohungen in Verbindung mit einer detaillierten Analyse von Vorfällen, wodurch Auftragnehmer in der Lage sind, Bedrohungen in Echtzeit zu erkennen, einzudämmen und zu mindern. Dies vereinfacht die Verwaltung hybrider Umgebungen, verbessert das Verständnis der Auftragnehmer für ihr Umfeld und ermöglicht es der DoD-Gemeinschaft, ihr oberstes Ziel – eine stärkere Widerstandsfähigkeit gegenüber Cyberrisiken – zu erreichen.

Von der Erfassung von Assets bis hin zur auditfähigen Berichterstattung unterstützt Tanium Sie dabei, eine fundierte und datengestützte Compliance-Strategie aufzubauen.

Technische Fähigkeiten

Tanium Autonomous Endpoint Management (AEM) erfüllt zahlreiche Compliance-Anforderungen gemäß CMMC 2,0 durch folgende Funktionen:

• Echtzeit-Transparenz: Die kontinuierliche Endpunktüberwachung bietet Echtzeit-Transparenz in die IT-Umgebung und ermöglicht so ein effektives Asset-Management sowie Sicherheitskontrollen, die auf CMMC 2,0 abgestimmt sind.
• Proaktive Sicherheitshygiene: Die kontinuierliche Bewertung und Verbesserung der Endpunktsicherheit hilft Unternehmen dabei, eine solide Cybersicherheitshygiene aufrechtzuerhalten – ein wesentlicher Bestandteil zur Erfüllung der grundlegenden Anforderungen von CMMC 2,0 .
• Automatisiertes Endpunktmanagement: Automatisierung von Patch- und Konfigurationsaufgaben, um die Sicherheit und Compliance der Systeme zu gewährleisten, was die Anforderungen an das Konfigurationsmanagement und die Wartung gemäß CMMC 2,0 direkt unterstützt.
• Intelligente Reaktion auf Sicherheitsvorfälle: Tools zur schnellen Erkennung und Eindämmung ermöglichen eine zügige Beseitigung von Bedrohungen und unterstützen die CMMC- 2,0 -Anforderungen hinsichtlich der Reaktion auf Sicherheitsvorfälle und des Risikomanagements.
• Kontinuierliche Compliance-Berichterstattung: Erstellen Sie automatisierte, prüfungsreife Berichte und Nachweise, die den Anforderungen an die Rechenschaftspflicht genügen und die Vorbereitung auf die CMMC-Bewertung optimieren.

Prüfumfang

*Die prozentualen Angaben zur Produktabdeckung basieren auf den aktuellen Produktfunktionen, die für das Tanium-Produktangebot relevant sind, und können sich im Zuge der Weiterentwicklung des Produktangebots ändern.

Unterstützung für Level- 3 -Steuerelemente

Strategische Vorteile

Über technische Kontrollmaßnahmen hinaus ermöglicht Tanium Unternehmen, ihre CMMC-Bereitschaft zu beschleunigen und ihre Compliance-Maßnahmen auszuweiten, und zwar durch:

• SPRS-Optimierung: Überwachen Sie kontinuierlich den Compliance-Status, identifizieren Sie Lücken und schließen Sie die im Aktionsplan und den Meilensteinen (POA&M) festgelegten Maßnahmen innerhalb der vorgeschriebenen Fristen ab.
• Durchsetzung der Compliance in der Lieferkette: Überwachen Sie die Einhaltung der Vorschriften durch Subunternehmer, um sicherzustellen, dass kritische, weitervermittelte Anforderungen erfüllt werden.
• Unterstützung bei der Vorbereitung auf Bewertungsverfahren: Stellen Sie die erforderlichen Nachweise bereit, um die Bewertungen gemäß C3PAO und durch das Defense Industrial Base Cybersecurity Assessment Center (DIBCAC) zu optimieren, und helfen Sie damit Unternehmen, ihre Zertifizierungsbereitschaft aufrechtzuerhalten.

Tanium unterstützt Auftragnehmer dabei, ihren Weg zur CMMC-Konformität souverän voranzutreiben, indem es die Ausrichtung an den wichtigsten Kompetenzrichtlinien gewährleistet, eine kontinuierliche Berichterstattung ermöglicht und messbare Fortschritte entlang der Reifestufen des Modells fördert.

Häufig gestellte Fragen zum CMMC

Haben Sie noch Schwierigkeiten, sich mit dem CMMC vertraut zu machen? Wir kümmern uns darum. Diese kurzen Antworten geben einen Überblick über die häufigsten Fragen und eignen sich ideal, um sich schnell auf den neuesten Stand zu bringen, ohne dabei Zeit zu verlieren.

Wie viel kostet die CMMC-Zertifizierung?

Die Kosten variieren je nach Stufe, Unternehmensgröße und bereits vorhandenen Kontrollmechanismen und liegen je nach Umfang, Stufe und Vorbereitungsstand zwischen 3 000 und über 100 000 US-Dollar.

Wie lange dauert der CMMC-Zertifizierungsprozess?

Zwischen 3 und 12 Monaten, je nach Reifegrad.

Wer muss CMMC-zertifiziert sein?

Alle Haupt- und Unterauftragnehmer, die in der Lieferkette des Verteidigungsministeriums mit CUI oder FCI umgehen.

Worin besteht der Unterschied zwischen CMMC 2,0, NIST und FedRAMP?

Hier sehen Sie einen Vergleich zwischen CMMC 2,0 und anderen wichtigen Cybersicherheits-Rahmenwerken des Bundes:

CMMC 2,0 baut direkt auf den Grundlagen von NIST SP 800-171 auf, integriert dessen 110 Kontrollmaßnahmen auf Stufe 2 und ergänzt diese um eine Teilmenge von NIST SP 800-172 auf Stufe 3. Sollte sich Ihre Organisation bereits an den NIST-Standards orientieren, sind Sie auf dem richtigen Weg – doch das CMMC führt ein Reifegradmodell sowie formale Bewertungsanforderungen ein, die über die Selbstbescheinigung hinausgehen.

Was FedRAMP betrifft, so liegt der Schwerpunkt zwar auf der Sicherheit von Cloud-Dienstleistern für Bundesbehörden, doch gibt es gewisse Überschneidungen bei den Kontrollanforderungen. Es gab bereits Gespräche über eine mögliche Gegenseitigkeit zwischen CMMC und FedRAMP, doch zum Stand von 2025 liegt noch keine formelle Vereinbarung vor. Organisationen, die beide Rahmenwerke anwenden, können von einer gemeinsamen Dokumentation profitieren und sollten die Aktualisierungen des Verteidigungsministeriums (DoD) und der FedRAMP-Programmstellen im Auge behalten.

Welche Stufe ist für CUI erforderlich?

Die Einhaltung der CMMC-Stufe 2 (Fortgeschritten) ist erforderlich.

Weitere Ressourcen

• Was versteht man unter Compliance-Management?
• Wie wir wichtige Compliance-Kennzahlen erfassen
• Checkliste zur Einhaltung der PCI-DSS-Vorgaben

CMMC 2,0 ist nicht nur eine Vorschrift – es ist ein Gebot der nationalen Sicherheit und der operativen Exzellenz, das durch sich weiterentwickelnde regulatorische Rahmenbedingungen und Compliance-Anforderungen vorangetrieben wird. Tanium begleitet Sie bei jedem Schritt – von der ersten Bestandsaufnahme bis hin zur kontinuierlichen Verbesserung.

Tanium versetzt Rüstungsunternehmen und deren Subunternehmer in die Lage, die Anforderungen von CMMC 2,0 souverän zu erfüllen und sogar zu übertreffen. Durch die Kombination aus Echtzeit-Transparenz, automatisiertem Endpunktmanagement und proaktiver Risikominderung trägt Tanium dazu bei, sensible Daten zu schützen, IT-Risiken zu reduzieren und die betriebliche Widerstandsfähigkeit langfristig zu sichern.

Fordern Sie eine individuelle Demo unter an, um zu erfahren, wie Tanium Sie auf Ihrem Weg zur CMMC-Zertifizierung unterstützen kann.