Schlüsselpunkte
- MSPs unterstützen CMMC-Audits, indem sie direkt mit C3PAOs zusammenarbeiten und die Nachweise liefern, die Prüfer:innen zur Validierung der Kontrollen benötigen.
- CMMC-Anforderungen gelten für MSPs, wenn ihre Services Systeme betreffen, die Kontrollierte nicht klassifizierte Informationen (CUI) speichern, verarbeiten oder schützen.
- Klar abgegrenzte Verantwortlichkeiten zwischen Auftragnehmer, MSP und weiteren Dienstleistern vermeiden Unklarheiten und senken das Audit-Risiko.
- Speichert, verarbeitet oder überträgt ein MSP CUI oder hostet er Security Protection Data, die zu Schutzmaßnahmen im Geltungsbereich gehören, fallen seine betroffenen Assets in der Regel ebenfalls in den Prüfumfang.
- C3PAOs prüfen, wie Kontrollen in realen Umgebungen funktionieren. MSPs müssen deshalb den operativen Nachweis erbringen und können sich nicht allein auf schriftliche Richtlinien stützen.
Das aktuelle Programm Cybersecurity Maturity Model Certification (CMMC) des US-Verteidigungsministeriums arbeitet je nach erforderlichem Level und Ausschreibung sowohl mit Selbstbewertungen als auch mit unabhängigen Bewertungen. Für Zertifizierungsbewertungen auf Level 2 führen autorisierte C3PAOs die formale Prüfung durch Dritte durch.
Da viele Auftragnehmer auf MSPs setzen, um Umgebungen im Geltungsbereich zu betreiben oder abzusichern, können diese MSP-Services Teil des Prüfumfangs werden, sobald sie Systeme betreffen, die CUI oder zugehörige Security Protection Data speichern, verarbeiten oder schützen.
Dieser Leitfaden erklärt, wie MSPs und C3PAOs bei Bewertungen im Rahmen der C3PAO-Zertifizierung zusammenarbeiten, damit Audits planmäßig verlaufen und keine Compliance-Lücken entstehen.
Das prüfen C3PAOs bei CMMC-Bewertungen
Bevor ein MSP ein CMMC-Audit sinnvoll unterstützen kann, muss er genau wissen, wonach ein C3PAO sucht und wie er dabei vorgeht. Die Hauptaufgabe von C3PAOs besteht darin, zu validieren, dass die geforderten Sicherheitskontrollen in der geprüften Umgebung vorhanden sind. Im Mittelpunkt der Bewertung stehen:
- Technische Implementierung der Sicherheitskontrollen – Sind die Kontrollen über Systeme und Netzwerke hinweg korrekt konfiguriert?
- Dauerhafte operative Konsistenz – Werden die Kontrollen durchgängig angewendet und gepflegt?
- Übereinstimmung mit dokumentierten Richtlinien und Verfahren – Spiegelt die schriftliche Dokumentation wider, wie die Kontrollen in der Praxis wirken?
- Nachweise für die Durchsetzung der Kontrollen – Belegen überprüfbare Nachweise, dass die Kontrollen aktiv und wirksam sind?
Die Rolle von MSPs im CMMC-Bewertungsprozess
Im Rahmen von CMMC gelten viele MSPs als External Service Provider (ESPs), wenn sie ausgelagerte IT- oder Cybersecurity-Services erbringen, die mit der geprüften Umgebung verbunden sind.
MSPs fallen üblicherweise dann in den Geltungsbereich, wenn sie Systeme verwalten, die Kontrollierte nicht klassifizierte Informationen (CUI) speichern oder verarbeiten, oder wenn sie administrativen Zugriff beziehungsweise Fernzugriff auf Umgebungen im Geltungsbereich bereitstellen. Auch der Betrieb von Tools, die Sicherheitskontrollen durchsetzen und überwachen, kann dazu führen.
In vielen Fällen verarbeiten MSPs zusätzlich sicherheitsrelevante Daten (Protokolle, Konfigurationen, Authentifizierungsaufzeichnungen), wodurch ihre Services noch enger mit den CMMC-Anforderungen verknüpft sind.
Verantwortlichkeiten zwischen MSP, Kunden und Prüfstelle abgrenzen
Eine typische CMMC-Bewertung auf Level 2 kostet 37.000 bis über 49.000 US-Dollar, Vorbereitung nicht eingerechnet. Eine nicht bestandene Bewertung kann den Verlust von DoD-Aufträgen bedeuten, dem Ruf schaden und den Betrieb stören. Genau deshalb ist die Vorbereitung so entscheidend.
Einer der häufigsten Gründe für ein Scheitern sind unklare Verantwortlichkeiten. Umgekehrt haben erfolgreiche CMMC-Audits fast immer eines gemeinsam: Es ist klar definiert, wer wofür zuständig ist.
Die Verantwortung verteilt sich häufig auf das Kundenunternehmen, den MSP sowie unterstützende Anbieter oder Plattformen. MSPs müssen klar dokumentieren, welche Kontrollen sie implementieren und pflegen, welche Kontrollen in der Verantwortung des Kunden bleiben und wo die Verantwortung geteilt wird.
Ist die Zuständigkeit unklar, können Prüfer:innen die Rechenschaftspflicht nicht feststellen. Diese Unklarheit führt zu Beanstandungen im Audit, selbst wenn die technischen Kontrollen ansonsten vorhanden sind.
Geltungsbereich klären, wenn MSPs mit CUI arbeiten
Die Rolle eines MSP in einer CMMC-Bewertung gewinnt an Gewicht, sobald er auf CUI zugreift oder damit arbeitet, denn diese Tätigkeiten wirken sich direkt darauf aus, wie Sicherheitskontrollen implementiert und durchgesetzt werden. In solchen Fällen wird der MSP häufig Teil des Prüfumfangs und muss mehr Nachweise liefern, wobei Zugriffskontrollen und Überwachungsaktivitäten besonders genau betrachtet werden.
C3PAOs prüfen detailliert, wie CUI geschützt werden, wer darauf zugreifen darf und wie dieser Zugriff protokolliert und überprüft wird, um sicherzustellen, dass die Kontrollen tatsächlich wie vorgesehen funktionieren.
So unterstützen MSPs C3PAOs während eines Audits
Sobald ein C3PAO eine formale Bewertung beginnt, erstreckt sich die Prüfung auf jeden Teil der Umgebung im Geltungsbereich, einschließlich der Systeme und Services, die der MSP verwaltet.
Das bedeutet: Mitarbeiter:innen des MSP können direkt befragt werden, vom MSP verwaltete Konfigurationen werden untersucht und die Tools, mit denen der MSP Sicherheitskontrollen durchsetzt oder überwacht, werden technisch getestet.
Während eines Audits können MSPs für Folgendes verantwortlich sein:
- Nachweise für die Umsetzung von Kontrollen liefern (zum Beispiel Protokolle, Konfigurationen, Zugriffsaufzeichnungen, Ergebnisse der Überwachung)
- Erläutern, wie bestimmte Managed Services die CMMC-Anforderungen erfüllen
- An strukturierten Interviews mit Prüfer:innen teilnehmen, in denen es um den täglichen Betrieb und die Pflege der Kontrollen geht
- Technische Tests unterstützen, indem Systeme, Tools und Zugriffe nach Bedarf bereitgestellt werden
MSP-Services an den Audit-Erwartungen ausrichten
Bewertungen laufen deutlich effizienter ab, wenn die MSP-Services auf die Erwartungen im Audit abgestimmt sind.
Dazu gehört, Services konkreten CMMC-Anforderungen zuzuordnen, sicherzustellen, dass die Dokumentation die tatsächliche Implementierung abbildet, und schriftliche Richtlinien mit der täglichen Praxis in Einklang zu halten. Außerdem müssen MSPs Nachweise in Formaten aufbereiten, die Prüfer:innen direkt validieren können.
So begleiten MSPs ihre Kunden über den gesamten CMMC-Compliance-Zyklus
Eine CMMC-Zertifizierung auf Level 2 ist drei Jahre gültig, danach ist eine vollständige Neubewertung erforderlich. In diesem Zeitraum müssen Auftragnehmer jedes Jahr bestätigen, dass die geforderten Kontrollen weiterhin bestehen. Deckt die Bewertung Lücken auf, müssen diese innerhalb einer festgelegten Frist behoben werden, damit die Zertifizierung erhalten bleibt.
Jede Phase dieses Zyklus hängt davon ab, dass der MSP Kontrollen, Dokumentation und Nachweise in einem prüfungsfesten Zustand hält. Über den gesamten Compliance-Zyklus hinweg umfasst die Unterstützung durch den MSP typischerweise:
- Die Sicherheitskontrollen implementieren und pflegen, auf denen die Zertifizierung beruht
- Die Dokumentation aktuell halten, wenn sich Umgebungen verändern
- Identifizierte Lücken innerhalb der vorgegebenen Fristen steuern und beheben
- Kunden mit belastbaren Compliance-Aufzeichnungen auf die jährlichen Bestätigungen vorbereiten
- Die Vorbereitung auf die Neubewertung alle drei Jahre begleiten
Durch diese kontinuierliche Begleitung werden MSPs zu langfristigen Compliance-Partnern, die ihre Kunden vor, während und nach CMMC-Bewertungen unterstützen.
Audit-Risiken durch abgestimmte MSP-Unterstützung bei der C3PAO-Zertifizierung senken
CMMC-Bewertungen legen fest, wie Unternehmen, MSPs und C3PAOs zusammenarbeiten. MSPs unterstützen Audits, indem sie Nachweise bereitstellen, Verantwortlichkeiten klären und zeigen, wie Kontrollen in der Praxis angewendet werden. Sind Rollen und Erwartungen klar, sinkt das Audit-Risiko und die Compliance-Reife steigt.
Verwandte Themen:
