CMMC 2.0 / NIST SP 800-171:

Übersicht

CMMC 2.0 ist das mehrstufige Verifizierungsprogramm des Verteidigungsministeriums, das auf der Grundlage von NIST SP 800-171, Revision 2, aufgebaut ist und die Selbsterklärung der Auftragnehmer durch unabhängig geprüfte Nachweise ersetzt, dass kontrollierte, nicht klassifizierte Informationen tatsächlich geschützt sind. Die endgültige DFARS-Verordnung zur Umsetzung des Programms trat am 10. November 2025 in Kraft und wird bis November 2028 in vier Phasen eingeführt.

Stufe 1 (nur FCI) umfasst weiterhin eine Selbstbewertung anhand von 15 grundlegenden Sicherheitsmaßnahmen; Stufe 2 (CUI) erfordert die Umsetzung aller 110 Kontrollmaßnahmen gemäß NIST SP 800-171, die in der Regel alle drei Jahre von einer zertifizierten unabhängigen Bewertungsstelle (C3PAO) überprüft werden; und Stufe 3 umfasst zusätzlich 24 erweiterte Anforderungen aus NIST SP 800-172, die für die sensibelsten Programme direkt vom „Defense Industrial Base Cybersecurity Assessment Center“ des Verteidigungsministeriums (DoD) bewertet werden. Bei Anbietern von „ software “ und SaaS durchläuft CUI regelmäßig nicht nur die Infrastruktur, sondern auch Anwendungsschichten, wodurch kryptografische Kontrollmaßnahmen in den Geltungsbereich des „ software “ selbst fallen.

Warum das wichtig ist

Das Verteidigungsministerium (DoD) schätzt, dass weit über 80.000 Auftragnehmer und Subunternehmer eine Zertifizierung der Stufe 2 oder 3 benötigen werden, und der CMMC-Status ist nun eine Voraussetzung für die Auftragsvergabe: Auftragsverantwortliche können einen aktuellen CMMC-Status und eine Bewertung im Rahmen des „Supplier Performance Risk System“ verlangen, bevor ein Angebot überhaupt berücksichtigt wird.

Der Bereich „System- und Kommunikationsschutz“ (Abschnitt 3.13) gehört für Anbieter von „ software “-Lösungen durchweg zu den schwierigsten Anforderungen, da die Prüfer streng zwischen einem Verschlüsselungsalgorithmus, der lediglich FIPS-konform ist, und einem kryptografischen Modul unterscheiden, das im Rahmen des CMVP-Verfahrens formal FIPS-validiert wurde. Ein Anbieter, der eine eigene Verschlüsselung auf der Grundlage zugelassener Algorithmen entwickelt hat, ohne das Modul selbst validieren zu lassen, erfüllt diese Anforderung nicht, unabhängig davon, wie sicher die Implementierung ist.

Wie sich dies auf die Kryptografie auswirkt 

CMMC 2.0 / NIST SP 800-171 behandelt das Thema Kryptografie anhand mehrerer miteinander verknüpfter Kontrollbereiche. Die wichtigsten Bereiche mit direkten Auswirkungen auf die Kryptografie sind:

Prüfungsbereitschaft

Bewertungen und Prüfungen – unabhängig davon, ob sie intern durchgeführt, von einer Aufsichtsbehörde vorgenommen oder von einem unabhängigen Gutachter überprüft werden – konzentrieren sich auf nachgewiesene Fakten und nicht allein auf Grundsatzerklärungen. Zu den wichtigsten Bereichen, die Prüfer und Gutachter üblicherweise untersuchen, gehören:

• Nachweis der FIPS-Validierung: Kann der Anbieter nachweisen, dass kryptografische Module zum Schutz der Vertraulichkeit von CUI – einschließlich derjenigen, die in seine eigene „ software “ integriert sind – formal gemäß FIPS 140-2 oder 140-3 validiert sind und nicht lediglich auf zugelassenen Algorithmen basieren?
• Dokumentation zur Schlüsselverwaltung: Sind die Verfahren zur Erzeugung, Verteilung, Speicherung und Vernichtung kryptografischer Schlüssel gemäß § 3.13.10 dokumentiert und werden sie konsequent befolgt?
• Verschlüsselung von CUI-Daten an Systemgrenzen: Werden CUI-Daten sowohl im Ruhezustand als auch während der Übertragung über alle Systemgrenzen hinweg verschlüsselt, einschließlich der eigenen Datenspeicher der „ software“ und aller Cloud-Umgebungen, in denen diese betrieben wird?
• Nachweis der Geräte- und Benutzerauthentifizierung: Kann die Organisation anstelle von gemeinsam genutzten Passwörtern für Systeme und Anwendungen, die CUI verarbeiten, eindeutige, zertifikatsbasierte Anmeldedaten vorweisen?
• Sicherheitsplan des Systems und Genauigkeit des Aktionsplans und der Meilensteine: Spiegelt der Sicherheitsplan des Systems die implementierten kryptografischen Kontrollmaßnahmen genau wider, wobei etwaige Lücken in einem aktuellen Aktionsplan und den Meilensteinen erfasst sind?
• Bewertungsfähiges Nachweispaket: Sind die Nachweise so strukturiert und aktuell, dass sie einer vollständigen Level-2-Bewertung durch eine unabhängige Stelle standhalten, die alle 110 Kontrollmaßnahmen abdeckt?

LEITEN SIE DIES AN DIE GESCHÄFTSFÜHRUNG WEITER

Mit CMMC 2.0 endete das Jahrzehnt, in dem wir die Einhaltung von NIST SP 800-171 selbst bestätigen konnten. Seit dem 10. November 2025 erfordert Stufe 2, dass eine unabhängige C3PAO alle 110 Kontrollmaßnahmen überprüft, einschließlich FIPS-validierter Kryptografie und dokumentierter Schlüsselverwaltung, bevor wir „CUI-touching“ software im Rahmen von DoD-Verträgen verkaufen dürfen. Der Verlust dieser Zertifizierung bedeutet den sofortigen Verlust der Vertragsberechtigung.

Die Lücke, an der Anbieter von „ software “-Lösungen am häufigsten scheitern, ist immer dieselbe: Kryptografie, die zwar den zugelassenen Algorithmen entspricht, aber nie einer CMVP-Validierung unterzogen wurde. Wenn unsere Anwendung CUI mithilfe einer Bibliothek verschlüsselt, die wir selbst erstellt oder gebündelt haben, ohne dass ein validiertes Modul dahintersteht, erfüllen wir §3.13.11 nicht, ganz gleich, wie solide die Implementierung auch sein mag. Diese Lücke lässt sich beheben, wenn wir sie jetzt schließen – wird jedoch teuer, wenn wir sie erst mitten in der Bewertung entdecken.