CMMC 2.0 / NIST SP 800-171:
Kryptografie und PKI für die Verteidigungsindustrie
| Region | Vereinigte Staaten (gilt für alle Organisationen der Verteidigungsindustrie, die mit Informationen des Verteidigungsministeriums umgehen, unabhängig von der Unternehmensgröße) |
| Anwendbarkeit | Haupt- und Subunternehmer:Jede Organisation innerhalb der Verteidigungsindustriebasis (DIB), die Informationen zu Bundesverträgen (FCI) oder kontrollierte nicht klassifizierte Informationen (CUI) im Rahmen von Verträgen des Verteidigungsministeriums (DoD) verarbeitet, speichert oder übermittelt.Cloud- und Managed-Service-Anbieter:Anbieter, die CUI im Auftrag von DIB-Auftragnehmern hosten und von denen erwartet wird, dass sie Schutzmaßnahmen erfüllen, die dem FedRAMP-Niveau „Moderate“ entsprechen. C3PAOs und Gutachter: Drittorganisationen, die akkreditiert sind, CMMC-Zertifizierungsbewertungen der Stufe 2 im Auftrag des Cyber AB durchzuführen |
| Relevante Abschnitte | NIST SP 800-171 Rev. 2, §3.13:System- und Kommunikationsschutz, einschließlich kryptografischem Schutz und SchlüsselverwaltungNIST SP 800-171 Rev. 2, §3.5:Identifizierung und AuthentifizierungDFARS 252.204-7021:Klausel zu den CMMC-Zertifizierungsanforderungen, gültig ab 10. November 2025 |
Übersicht
CMMC 2.0 ist das mehrstufige Verifizierungsprogramm des Verteidigungsministeriums, das auf der Grundlage von NIST SP 800-171, Revision 2, aufgebaut ist und die jahrzehntelange Selbstbescheinigung durch Auftragnehmer durch unabhängig geprüfte Nachweise ersetzt, dass kontrollierte, nicht klassifizierte Informationen tatsächlich geschützt sind. Die endgültige Regelung des „Defense Federal Acquisition Regulation Supplement“ (DFARS) zur Umsetzung des Programms trat am 10. November 2025 in Kraft und wird bis November 2028 in vier Phasen eingeführt.
In der Praxis handelt es sich bei Stufe 1 (nur FCI) weiterhin um eine Selbstbewertung anhand von 15 grundlegenden Sicherheitsmaßnahmen; Stufe 2 (CUI) erfordert die Umsetzung aller 110 Kontrollmaßnahmen gemäß NIST SP 800-171, die in der Regel alle drei Jahre von einer zertifizierten unabhängigen Bewertungsstelle (C3PAO) überprüft werden; und Stufe 3 umfasst zusätzlich 24 erweiterte Anforderungen aus NIST SP 800-172, die für die sensibelsten Programme direkt vom „Defense Industrial Base Cybersecurity Assessment Center“ (DIBCAC) des US-Verteidigungsministeriums (DoD) bewertet werden.
Warum das wichtig ist
Das Verteidigungsministerium (DoD) schätzt, dass weit über 80.000 Auftragnehmer und Subunternehmer eine Zertifizierung der Stufe 2 oder 3 benötigen werden, und der CMMC-Status ist mittlerweile eine Voraussetzung für die Auftragsvergabe und nicht mehr nur eine reine Formalität: Auftragsvergabebeamte können einen aktuellen CMMC-Status und eine Bewertung nach dem „Supplier Performance Risk System“ (SPRS) verlangen, noch bevor ein Angebot überhaupt berücksichtigt wird.
Die Kategorie „System- und Kommunikationsschutz“ (§ 3.13) umfasst die direkten kryptografischen Anforderungen und gehört durchweg zu den Kategorien, deren Anforderungen Auftragnehmer am schwersten erfüllen können, da die Prüfer streng zwischen einem Verschlüsselungsalgorithmus, der lediglich FIPS-konform ist, und einem kryptografischen Modul unterscheiden, das im Rahmen des „Cryptographic Module Validation Program“ des NIST formal FIPS-validiert wurde.
Wie sich dies auf die Kryptografie übertragen lässt
NIST SP 800-171 befasst sich mit Kryptografie in erster Linie im Rahmen der Kontrollgruppen „System- und Kommunikationsschutz“ (§3.13) sowie „Identifizierung und Authentifizierung“ (§3.5). Die wichtigsten Kontrollbereiche mit direkten kryptografischen Auswirkungen sind:
| Abschnitt | Funktion | Was dort steht | Produkte |
|---|---|---|---|
| §3.13.11: Zum Schutz der Vertraulichkeit von CUI sind FIPS-validierte Verschlüsselungsverfahren zu verwenden | FIPS-validierte Kryptografie | Ausstellung und Verwaltung von Zertifikaten, die auf nach FIPS 140-2/140-3 validierten kryptografischen Modulen basieren, und nicht lediglich auf FIPS-konformen Algorithmen | EJBCA |
| §3.13.10: Einrichtung und Verwaltung kryptografischer Schlüssel für die in den Systemen der Organisation eingesetzte Kryptografie | Einrichtung und Verwaltung kryptografischer Schlüssel | Dokumentierte Verfahren zur Schlüsselerzeugung, -verteilung, -speicherung und -vernichtung in der gesamten CUI-Umgebung | Command |
| §3.13.8, §3.13.16: Kryptografischer Schutz von CUI während der Übertragung und im Ruhezustand | Vertraulichkeit bei der Übertragung und im Ruhezustand | TLS -Verschlüsselung auf Zertifikatsbasis für CUI während der Übertragung, wobei durch PKI ausgestellte Schlüssel die gespeicherte CUI schützen | EJBCA |
| §3.5.1–3.5.3: Identifizierung und Authentifizierung von Benutzern und Geräten innerhalb der Organisation | Geräte- und Benutzerauthentifizierung | Zertifikatsbasierte Authentifizierung ersetzt gemeinsam genutzte Passwörter für den Zugriff auf CUI-Systeme | Command |
| §3.13.7, §3.1.12: Kryptografischer Schutz von Fernzugriffssitzungen | Schutz von Fernzugriffssitzungen | Gegenseitig authentifizierte, zertifikatsgestützte VPN- und Fernzugriffsverbindungen in CUI-Umgebungen | EJBCA |
| Unterstützt die Bewertungsziele gemäß § 3.13 | Bestandsaufnahme kryptografischer Vermögenswerte als Nachweis für die Bewertung | Bestandsaufnahme der verwendeten kryptografischen Algorithmen und Bibliotheken zur Unterstützung des Systemsicherheitsplans und der POA&M-Nachweise für die C3PAO-Prüfung | AgileSec |
Prüfungsbereitschaft
Bei CMMC-Level-2-Bewertungen – unabhängig davon, ob sie selbst durchgeführt oder von einer C3PAO vorgenommen werden – liegt der Schwerpunkt auf der nachgewiesenen Umsetzung aller 110 Kontrollmaßnahmen und nicht allein auf der Dokumentation. Zu den wichtigsten Bereichen, die die Prüfer untersuchen, gehören:
- Nachweis der FIPS-Validierung: Kanndie Organisation nachweisen, dass die kryptografischen Module, die die Vertraulichkeit von CUI gewährleisten, formal gemäß FIPS 140-2 oder 140-3 validiert sind und nicht lediglich auf zugelassenen Algorithmen basieren?
- Dokumentation zum Schlüsselmanagement: Sinddie Verfahren zur Generierung, Verteilung, Speicherung und Vernichtung kryptografischer Schlüssel gemäß § 3.13.10 dokumentiert und werden sie konsequent befolgt?
- Verschlüsselung von CUI-Daten an Systemgrenzen: WerdenCUI-Daten im Ruhezustand und während der Übertragung über alle Systemgrenzen hinweg, einschließlich Cloud-Umgebungen und entfernter Endpunkte, verschlüsselt?
- Nachweis der Geräte- und Benutzerauthentifizierung: Kanndie Organisation für Systeme, die CUI verarbeiten, eindeutige, zertifikatsbasierte Anmeldedaten anstelle von gemeinsam genutzten Passwörtern nachweisen?
- Sicherheitsplan des Systems und Genauigkeit des Aktionsplans und der Meilensteine: Spiegeltder SSP die implementierten kryptografischen Kontrollmaßnahmen korrekt wider, wobei etwaige Lücken in einem aktuellen Aktionsplan und den Meilensteinen erfasst werden?
- Bewertungsfähiges Nachweispaket: Sinddie Nachweise so strukturiert und aktuell, dass sie einer umfassenden Level-2-Bewertung durch eine unabhängige Stelle standhalten, die alle 110 Kontrollmaßnahmen abdeckt?
LEITEN SIE DIES AN DIE GESCHÄFTSFÜHRUNG WEITER
Mit CMMC 2.0 ging das Jahrzehnt zu Ende, in dem wir die Einhaltung von NIST SP 800-171 noch selbst bestätigen konnten. Seit dem 10. November 2025 verlangt Stufe 2, dass eine unabhängige C3PAO alle 110 Kontrollmaßnahmen überprüft, einschließlich FIPS-validierter Kryptografie und dokumentierter Schlüsselverwaltung, bevor wir uns um Verträge des Verteidigungsministeriums (DoD) bewerben können, die CUI-Informationen beinhalten. Der Verlust dieser Zertifizierung bedeutet den sofortigen Verlust der Auftragsberechtigung.
Die beiden Kontrollbereiche, in denen bei einer DIBCAC- oder C3PAO-Prüfung am häufigsten Mängel festgestellt werden, betreffen die Kryptografie: FIPS-validierte Module und das dokumentierte Schlüssellebenszyklusmanagement. Wenn wir nicht nachweisen können, dass unsere Kryptografie validiert ist – und nicht nur konform –, bestehen wir die Prüfung nicht. Diese Lücke lässt sich beheben, wenn wir sie jetzt schließen; wird sie jedoch erst mitten im Prüfungszeitraum entdeckt, ist dies mit erheblichen Kosten verbunden.
Zugehörige Compliance-Vorgaben
ISA/IEC 62443
