CMMC-Readiness-Checkliste für MSPs: Diese Schritte stehen jetzt an

Ein falsch konfiguriertes IT-Tool kann das Ergebnis des Compliance-Audits Ihres Kunden aus der Verteidigungsbranche beeinflussen. CMMC-Readiness ist heute eine operative Anforderung an Dienstleister, die Unternehmen im Geltungsbereich von CMMC betreuen. In diesem Leitfaden erfahren Sie, wie Sie den Geltungsbereich festlegen, Schwachstellen beheben und Compliance dauerhaft nachweisen.

Aktions-Checkliste 1: Grenzen für Ihre CMMC-Scope-Bewertung festlegen

Die Festlegung der Bewertungsgrenzen ist der erste Schritt zur CMMC-Readiness. Sie bestimmt genau, welche IT-Systeme und Prozesse die Vorgaben des US-Verteidigungsministeriums erfüllen müssen.

Nach den CMMC-Anforderungen kann Ihr eigener Betrieb das Audit Ihres Kunden beeinflussen. Selbst wenn Sie niemals sensible Kundendaten (CUI, also Kontrollierte nicht klassifizierte Informationen) verarbeiten, können Sie durch die Verwaltung von Firewalls oder IT-Support-Tools in den Geltungsbereich fallen.

Diese Tools gelten als Security Protection Assets (SPAs). Sie erzeugen Security Protection Data (SPD), etwa Administrator-Passwörter und Systemprotokolle, die Prüfer:innen genau unter die Lupe nehmen.

Geteilte Verantwortung

Bevor Sie technische Änderungen vornehmen, müssen Sie dokumentieren, wer für welche Sicherheitsanforderung verantwortlich ist. Eine Shared Responsibility Matrix hält eindeutig fest, ob eine Kontrolle beim Kunden liegt, geteilt wird oder vollständig von Ihrem MSP verantwortet wird.

Um Ihre CMMC-Scope-Bewertung abzuschließen, beantworten Sie diese operativen Fragen als Grundlage für Ihren Compliance-Plan:

• Haben unsere Techniker:innen administrativen Zugriff auf Kundennetzwerke?
• Erfassen oder speichern unsere IT-Tools Sicherheitsprotokolle der Kunden oder andere Security Protection Data (SPD)?
• Sind unsere internen Tools sicher von den sensiblen Daten des Kunden getrennt?
• Verwalten wir Firewalls, Backups oder Benutzerzugriffe für den Kunden?

Aktions-Checkliste 2: Gap-Analyse durchführen und Schwachstellen beheben

Sicherheitsschwächen zu finden und zu beheben, ist entscheidend, um das Audit nach den CMMC-Anforderungen zu bestehen.

Technische Lücken erkennen und sofort schließen

Im Anschluss an Ihre CMMC-Scope-Bewertung müssen Sie Ihre Infrastruktur an NIST SP 800-171 Revision 2 messen. Es reicht nicht, übergeordnete Anforderungen abzuhaken. Sie müssen alle anwendbaren Sicherheitskontrollen umsetzen und nachweisen, um die Bewertung zu bestehen.

MSPs übersehen Schwachstellen in der eigenen internen Umgebung häufig. Zur Vorbereitung auf CMMC müssen Sie diese blinden Flecken erkennen und beseitigen, bevor eine prüfende Person vor Ort ist. Wer solche technischen Lücken sofort angeht, schützt sowohl das eigene Unternehmen als auch die Kunden aus der Verteidigungsbranche.

Typische Ansatzpunkte für die Behebung

• Nicht verwaltete Endpunkte: Stellen Sie sicher, dass alle Geräte, die mit Netzwerken im Geltungsbereich in Kontakt kommen, lückenlos erfasst, gepatcht und abgesichert sind.
• Gemeinsam genutzte Administratorkonten: Vergeben Sie eindeutige, nachvollziehbare Anmeldeinformationen an jede Technikerin und jeden Techniker. Globale Admin-Logins dürfen niemals geteilt werden.
• Unsicherer Fernzugriff: Setzen Sie für alle administrativen Sitzungen strikte Multi-Faktor-Authentifizierung (MFA) und sichere VPNs durch.

Im CMMC-Kontext ist ein Plan of Action and Milestones (POA&M) ein formales Dokument, das beschreibt, wie Sie nicht erfüllte Sicherheitskontrollen nachrüsten. Sich auf dieses Dokument zu stützen, um kritische technische Korrekturen aufzuschieben, ist allerdings eine riskante Strategie.

Nach den Vorgaben der finalen CMMC-Regel im Federal Register sind POA&Ms ausgesprochen streng geregelt. Schwachstellen mit hohem Risiko können Sie nicht länger aufschieben, um Compliance zu erreichen.

⚠️WARNUNG: So streng sind CMMC-POA&Ms wirklich

• Eingeschränkte Zulässigkeit: Nur bestimmte 1-Punkt-Kontrollen mit geringem Risiko kommen für einen POA&M infrage.
• Mindestpunktzahl erforderlich: Sie müssen eine festgelegte Mindestpunktzahl in der Bewertung erreichen, bevor ein POA&M überhaupt zulässig ist.
• Frist von 180 Tagen: Alle dokumentierten Maßnahmen müssen innerhalb von 180 Tagen vollständig umgesetzt und von einer prüfenden Person verifiziert sein, sonst erfüllen Sie die Zertifizierungsanforderungen womöglich nicht.

Aktions-Checkliste 3: Objektive Nachweise erzeugen und Dokumentation abgleichen

Ein Audit besteht nur, wer mit überprüfbaren Nachweisen aus dem laufenden Betrieb belegt, dass die Sicherheitsrichtlinien aktiv durchgesetzt werden.

Compliance mit Nachweisen aus der Praxis belegen

Eine schriftliche Richtlinie ist ohne objektive Nachweise wertlos. Prüfer:innen lesen nicht nur Ihre Richtlinien, sie verlangen historische Protokolle und System-Baselines. Nutzen Sie dafür eine Plattform für Governance, Risk und Compliance (GRC).

Unternehmen, die große Mengen an Compliance-Artefakten verwalten, sollten Tools einsetzen, die Nachvollziehbarkeit, Nachweisorganisation und Audit-Bereitschaft verbessern.

Dokumentation und Nachweis: Welche Dokumentation verlangt CMMC?

Um die strengen Vorgaben der finalen CMMC-Regel im Federal Register zu erfüllen, müssen Sie Ihre übergeordnete Strategie mit dem Tagesgeschäft in Einklang bringen. Es reicht nicht, Compliance zu behaupten, Sie müssen sie sichtbar belegen.

Erforderliche Dokumentation (die Strategie):

• System Security Plan (SSP): beschreibt, wie jede Kontrolle technisch umgesetzt ist
• Netzwerkdiagramme: stellen die Grenzen Ihrer CMMC-Scope-Bewertung visuell dar
• Customer Responsibility Matrix (CRM): definiert die Sicherheits- und Compliance-Verantwortung der beteiligten Parteien
• Incident-Response-Pläne.

Erforderliche Nachweise (der Beleg):

• Technische Nachweise: Screenshots der MFA-Durchsetzung, Schwachstellen-Scans und zentralisierte Audit-Protokolle.
• Administrative Nachweise: unterschriebene Teilnahmelisten von Sicherheitsschulungen, Unterlagen zur Einarbeitung und Ergebnisse von Tabletop-Übungen.

Denken Sie daran: An die Integrität der Nachweise werden strenge Maßstäbe angelegt. Unternehmen sollten Nachweise so aufbewahren, dass sich ihre Integrität belegen lässt und die Audit-Anforderungen erfüllt werden. Außerdem sollten Nachweise entsprechend den geltenden Aufbewahrungsvorgaben archiviert werden.

Aktions-Checkliste 4: Compliance in den Arbeitsalltag integrieren

Echte CMMC-Readiness bedeutet, Cybersicherheit als täglichen Standard zu begreifen und nicht als einmaliges Audit.

Audit-Vorbereitung als fortlaufenden Managed Service etablieren

Um die CMMC-Anforderungen dauerhaft zu erfüllen, müssen Sie Ihre Systeme kontinuierlich überwachen, damit mit der Zeit keine Sicherheitslücken entstehen. Setzen Sie auf automatisiertes IT-Management und Protokollierungs-Tools (etwa RMM- und SIEM-Plattformen), um Ihre Umgebung zu überwachen und Compliance-Nachweise zu sammeln.

Auch Ihr Helpdesk-Team spielt eine entscheidende Rolle. Beim Lösen alltäglicher IT-Tickets dürfen Ihre etablierten Sicherheitsregeln niemals verletzt werden.

Tägliche Compliance-Aufgaben

• Berichterstattung automatisieren: Nutzen Sie Ihre IT-Tools, um Systemprotokolle, Einstellungen und Schwachstellen-Scans automatisiert zu erfassen und sicher zu speichern. So wird die Nachweiserfassung zu einem täglichen, automatisierten Prozess.
• Change-Management durchsetzen: Behandeln Sie Ihren System Security Plan (SSP) als lebendes Dokument. Verlangen Sie eine Freigabe für alle technischen Änderungen und aktualisieren Sie den SSP sofort, wenn sich Einstellungen ändern.
• Helpdesk schulen: Sorgen Sie dafür, dass alle Techniker:innen die Grenzen Ihrer CMMC-Scope-Bewertung kennen. Sie müssen wissen, wie sie Routineaufgaben wie Passwort-Zurücksetzungen oder Kontoschließungen erledigen, ohne geschützte Daten offenzulegen.

Mit diesen täglichen Routinen bereiten Sie sich nicht nur auf eine Bewertung vor. Sie machen aus einer strengen regulatorischen Anforderung einen wertvollen, langfristigen Service für Ihre Kunden aus der Verteidigungsbranche.

CMMC-Readiness erreichen: ein Rahmen für erfolgreiche Compliance

Echte CMMC-Readiness verlangt mehr als ein grundlegendes Bewusstsein, nämlich konsequente operative Konsistenz.

Wenn Sie Ihren Bewertungsumfang präzise abgrenzen, geteilte Verantwortlichkeiten eindeutig zuordnen und täglich objektive Nachweise sammeln, schützen Sie Ihre wichtigen Verteidigungsaufträge. Verstehen Sie Compliance als fortlaufenden Managed Service, um Ihre Kunden und Ihr eigenes Unternehmen abzusichern.

Verwandte Themen:

• CMMC 2.0: Die CMMC-Zertifizierung für MSPs erklärt
• CMMC ist nicht das, wofür die meisten MSPs es halten
• CMMC-Chancen erkennen: Discovery-Fragen und Warnsignal-Stichwörter
• So bereiten Sie Kunden auf ein überraschendes Compliance-Audit vor (HIPAA, CMMC, SOC 2)
• Checkliste zur MSP-Cybersicherheit 2026: Schutz vor Ransomware und Bedrohungen