Schlüsselpunkte
- Wo die Beteiligung von MSPs an CMMC beginnt: MSPs müssen zunächst die undokumentierten Kontrollen, inkonsistenten Konfigurationen und unklaren Zuständigkeiten der Kundenumgebung kennen und erfassen.
- Verantwortungsgrenzen zwischen MSP und Kunde festlegen: Bevor die Kontrollen final festgelegt werden, muss geklärt sein, wer für welche Kontrolle zuständig ist, damit keine davon unbeaufsichtigt bleibt.
- Folgen unklarer Zuständigkeiten: Sind die Verantwortungsgrenzen unklar, werden Kontrollen bei der Implementierung häufig übersehen.
- Warum die Überwachung von CMMC-Kontrollen so wichtig ist: Kontrollen, die zwar implementiert, aber nicht überwacht werden, verlieren ihre Compliance, denn Systemänderungen, neue Geräte und Konfigurationsanpassungen passieren laufend.
- CMMC-Compliance ist eine dauerhafte Verpflichtung: Die Zertifizierung verlangt eine nachweisbare, dauerhafte Durchsetzung über die Zeit und nicht eine einmalige Anstrengung, die schon vor dem nächsten Audit wieder von den CMMC-Vorgaben abweicht.
Die Cybersecurity Maturity Model Certification (CMMC) ist ein Rahmenwerk des US-Verteidigungsministeriums, das Cybersicherheitsanforderungen für Unternehmen festlegt, die sensible Verteidigungsinformationen verarbeiten. Der Großteil der Implementierungsarbeit fällt auf Stufe 2 an. Dort sind dokumentierte Kontrollen, eine konsistente Durchsetzung und Nachweise erforderlich, dass alles funktioniert.
Für viele Unternehmen ist es schwierig, diese Anforderungen ohne externe Hilfe zu erfüllen. Daraus ergibt sich die Frage: Brauchen MSPs eine CMMC-Zertifizierung? Dieser Artikel erklärt, wie eine solche Beteiligung aussieht und was nötig ist, um von der ersten Vorbereitung bis zur Compliance zu gelangen.
Brauchen MSPs also eine CMMC-Zertifizierung?
Ja, unter bestimmten Voraussetzungen. MSPs benötigen unter Umständen eine CMMC-Zertifizierung, wenn sie Kontrollierte nicht klassifizierte Informationen (CUI) verarbeiten, auf Systeme im Geltungsbereich zugreifen oder Services erbringen, die die CMMC-Kontrollumgebung eines Kunden beeinflussen. Erbringt der MSP nur begrenzten Support außerhalb der CUI-Umgebung, ist eine Zertifizierung möglicherweise nicht erforderlich. Die Zuständigkeiten müssen trotzdem klar definiert sein.
Welchen Stellenwert hat CMMC für MSPs?
CMMC-Compliance entwickelt sich zur Grundvoraussetzung für Unternehmen, die im Rahmen eines Auftrags des US-Verteidigungsministeriums CUI verarbeiten. Wenn Ihr MSP solche Unternehmen betreut, ist wichtig zu wissen: Diese Anforderung erstreckt sich auch auf die Services, die er einbringt, und darauf, wie er sie erbringt.
Typische Herausforderungen, bevor der MSP ins Spiel kommt
Für einen CMMC-konformen MSP ist es unerlässlich, die Kundenumgebung zu verstehen, bevor die Arbeit beginnt. Viele Unternehmen, die CMMC Level 2 anstreben, starten von einer Ausgangslage, die sich schwieriger bearbeiten lässt, als sie zunächst wirkt.
Zu den typischen Herausforderungen zu Beginn gehören:
- Fehlende Dokumentation der Kontrollimplementierung: Kontrollen sind möglicherweise bereits vorhanden, aber nicht dokumentiert. Dadurch lässt sich unter Umständen weder nachweisen, dass sie funktionieren, noch, dass jemand dafür verantwortlich ist.
- Inkonsistente Systemkonfigurationen: Geräte und Systeme in der Umgebung sind unterschiedlich konfiguriert. Das erschwert es, eine einheitliche Sicherheitsbasislinie durchzusetzen oder Lücken zu erkennen.
- Eingeschränkte Transparenz über den Compliance-Status: Ohne Überwachung wissen Unternehmen oft nicht, welche Anforderungen sie erfüllen und welche nicht.
- Lücken bei Überwachung und Berichterstattung: Es gibt keine verlässliche Aufzeichnung von Systemaktivitäten oder der Durchsetzung von Kontrollen. Das führt zu Problemen, sobald Nachweise für ein Audit vorgelegt werden müssen.
- Unklare Zuständigkeiten: Es ist nicht immer eindeutig, wer für bestimmte Kontrollen verantwortlich ist. So entstehen Lücken, um die sich weder der Kunde noch der MSP gekümmert hat.
Diese Punkte schließen ein Unternehmen nicht von einer CMMC-Zertifizierung aus, bedeuten aber, dass mehr Vorarbeit nötig ist, bevor die eigentliche Implementierung beginnen kann.
So richten Sie Ihre Services an den CMMC-Anforderungen aus
Bevor Kontrollen implementiert werden können, brauchen MSPs ein klares Bild davon, wo der Kunde im Hinblick auf die CMMC-Anforderungen an MSPs steht. Ebenso entscheidend ist zu wissen, welche Services angepasst oder ergänzt werden müssen, um die Lücken zu schließen.
In dieser Phase geht es vor allem um Ausrichtung, und sie umfasst folgende Aufgaben:
- Vorhandene Systeme den erforderlichen Kontrollen zuordnen: Prüfen Sie, was bereits vorhanden ist, und gleichen Sie es mit den Kontrollen von CMMC Level 2 ab. So haben MSP und Kunde einen klaren Ausgangspunkt und vermeiden spätere Doppelarbeit.
- Lücken in der Implementierung identifizieren: Sobald die Zuordnung steht, dokumentieren Sie, was fehlt und was nur teilweise umgesetzt ist, zusammen mit den Punkten, die den geforderten Standard nicht erfüllen. Das bildet die Grundlage für den Maßnahmenplan.
- Verantwortungsgrenzen definieren: Klären Sie, welche Kontrollen der MSP verantwortet, welche der Kunde und, besonders wichtig, welche gemeinsam getragen werden. Undefinierte und vage Grenzen gehören zu den häufigsten Gründen dafür, dass Kontrollen bei der Implementierung übersehen werden.
- Maßnahmen priorisieren: Nicht jede Lücke birgt dasselbe Risiko. Konzentrieren Sie sich zuerst auf Kontrollen, die direkt die Audit-Bereitschaft beeinflussen oder auf denen andere Kontrollen aufbauen, und erst danach auf weniger dringende Punkte.
Diese Phase gibt die Richtung für die Implementierung und alles Weitere vor. MSPs, die sie überspringen oder im Schnelldurchlauf erledigen, stoßen in späteren Projektphasen auf Lücken, die sich dann deutlich schwerer beheben lassen.
Kontrollen implementieren und durchsetzen als CMMC-konformer MSP
Sind die Lücken identifiziert und die Zuständigkeiten zwischen MSP und Kunde geklärt, liegt der Fokus als Nächstes darauf, die Kontrollen einzurichten. Hier wird die Beteiligung des MSP an CMMC Level 2 am deutlichsten sichtbar. Denn die Qualität der Durchsetzung in dieser Phase entscheidet darüber, ob die Kontrollen einer Bewertung standhalten oder nicht.
Zu den wichtigen Implementierungsaufgaben gehören:
- Endpunktkonfigurationen standardisieren: Sie müssen einheitliche Sicherheitsbasislinien auf allen Geräten im Geltungsbereich anwenden. Unterschiedlich konfigurierte Endpunkte erzeugen Inkonsistenzen, die Prüfer:innen bemängeln werden.
- Patch- und Schwachstellenmanagement: Etablieren Sie einen wiederholbaren Prozess, um Schwachstellen in allen Systemen im Geltungsbereich zu erkennen und zu beheben. Nicht gepatchte Systeme gehören zu den häufigsten Beanstandungen bei CMMC-Bewertungen.
- Zugriffs- und Berechtigungsverwaltung: Setzen Sie Minimalprivilegien für Benutzerkonten und administrative Zugriffe durch. Dazu gehört, bestehende Konten zu überprüfen und unnötige Berechtigungen zu entfernen. Außerdem muss dokumentiert werden, wie Zugriffe erteilt und entzogen werden.
- Protokollierung und Überwachung: Richten Sie die Protokollierung für alle Systeme im Geltungsbereich ein und stellen Sie sicher, dass Protokolle erfasst, aufbewahrt und ausgewertet werden. Eine Überwachung ohne Aufbewahrungs- und Prüfprozess erfüllt die Anforderung der Kontrolle nicht.
Kontrollen, die zwar implementiert, aber nicht konsequent durchgesetzt werden, gelten bei einer Bewertung nicht als wirksam. Zudem ist die Durchsetzung dieser Kontrollen eine fortlaufende Aufgabe und kein einmaliges Projekt.
Compliance-Überwachung und Berichterstattung aufbauen
Nach der Implementierung können Kontrollen mit der Zeit abweichen. Systeme werden geändert, Konfigurationen angepasst und neue Geräte hinzugefügt, ohne denselben Einrichtungsprozess zu durchlaufen. Die Compliance-Überwachung für Managed Services erkennt solche Abweichungen, bevor sie bei einem Audit beanstandet werden.
Diese Überwachungsaufgaben müssen auch nach der Implementierung aktiv bleiben, darunter:
- Laufende Validierung der Systemkonfigurationen: Prüfen Sie regelmäßig, ob die Konfigurationen der Systeme im Geltungsbereich noch der geforderten Basislinie entsprechen. Unbemerkte Änderungen können bereits abgeschlossene Arbeit stillschweigend zunichtemachen.
- Erkennung von Abweichungen von den Compliance-Basislinien: Richten Sie Alarmierungen oder automatisierte Prüfungen ein, die melden, wenn ein System von den Vorgaben abweicht. Werden solche Abweichungen frühzeitig erkannt, bleibt der Aufwand für die Behebung überschaubar.
- Fortlaufende Nachverfolgung der Behebungsmaßnahmen: Führen Sie eine laufende Übersicht über identifizierte Lücken und deren Bearbeitungsstand. So sehen MSP und Kunde jederzeit, was offen ist, was gerade bearbeitet wird und was bereits erledigt ist.
Die Compliance-Berichterstattung für MSPs hängt direkt mit der Audit-Bereitschaft zusammen. Berichte müssen Folgendes zeigen:
- Nachweise für die Durchsetzung der Kontrollen: Dokumentation, dass Kontrollen aktiv sind und funktionieren, und nicht nur, dass sie irgendwann in der Vergangenheit konfiguriert wurden.
- Historische Aufzeichnungen für die Audit-Prüfung: Eine durchgängige Aufzeichnung von Überwachungsaktivitäten und Behebungsmaßnahmen über die Zeit liefert Prüfer:innen die Nachweise, die sie für die Bestätigung einer dauerhaften Compliance benötigen.
- Transparenz über den Compliance-Status: Eine regelmäßige Berichterstattung hält den Kunden auf dem Laufenden und verringert das Risiko böser Überraschungen, wenn der Bewertungstermin näher rückt.
Überwachung und Berichterstattung machen aus einer einmaligen Implementierung ein Compliance-Programm, das einer genauen Prüfung standhält.
Vorbereitung auf die Audit-Prüfung
Die CMMC-Level-2-Zertifizierung verlangt mehr, als nur Kontrollen einzurichten. Unternehmen müssen nachweisen, dass diese Kontrollen funktionieren, dokumentiert sind und durchgängig durchgesetzt wurden. Genau hier geraten viele Unternehmen ohne strukturierte Unterstützung durch einen MSP in Schwierigkeiten.
MSPs unterstützen die Audit-Bereitschaft, indem sie:
- Dokumentation vorbereiten: Systemsicherheitspläne, Richtlinien und Verfahren müssen vollständig und korrekt sein und abbilden, was tatsächlich umgesetzt ist. Prüfer:innen vergleichen die Dokumentation mit den realen Konfigurationen, weshalb Abweichungen zwischen beiden eine häufige Ursache für Beanstandungen sind.
- Nachweise sammeln und ordnen: Nachweise über die Durchsetzung der Kontrollen müssen vor Beginn der Bewertung zusammengetragen, beschriftet und strukturiert werden. Nachweise erst während der Bewertung hektisch zusammenzusuchen, kostet Zeit und hinterlässt einen schlechten Eindruck.
- Kunden im Austausch mit Prüfer:innen unterstützen: MSPs helfen Kunden dabei, Fragen der Prüfer:innen präzise und widerspruchsfrei zu beantworten. Widersprüchliche Antworten zur Umsetzung von Kontrollen können Zweifel wecken, selbst wenn die Kontrollen selbst einwandfrei funktionieren.
- Erkannte Lücken vor der Bewertung schließen: Alle Lücken, die bei Vorprüfungen auffallen, müssen vor Beginn der formellen Bewertung behoben und dokumentiert werden. Mit genügend Vorbereitungszeit lässt sich vermeiden, mit bekannten offenen Beanstandungen in eine Bewertung zu gehen.
Unternehmen, die die Audit-Vorbereitung als eigene Phase behandeln statt als Checkliste für die letzte Minute, stehen beim Bewertungstermin deutlich besser da.
Ergebnisse und langfristige Wirkung der CMMC-Zertifizierung
Unternehmen, die die Implementierung von CMMC Level 2 mit Unterstützung eines MSP abschließen, gehen messbar besser aufgestellt aus dem Prozess hervor als zu Beginn.
Typische Ergebnisse sind:
- Mehr Transparenz über die Sicherheitslage: Die während der Implementierung eingerichtete Überwachung und Berichterstattung gibt Unternehmen einen klareren, fortlaufenden Blick darauf, wie ihre Umgebung die Compliance-Anforderungen erfüllt.
- Höhere Konsistenz über alle Systeme hinweg: Standardisierte Konfigurationen und durchgesetzte Basislinien sorgen dafür, dass sich Geräte und Systeme in der Umgebung gleich verhalten. Das reduziert die Abweichungen, die Compliance-Lücken verursachen.
- Geringeres Risiko von Compliance-Lücken: Die kontinuierliche Überwachung erkennt Abweichungen, bevor sie zur Beanstandung werden, und hält die Umgebung zwischen den Bewertungszyklen auf Kurs.
- Bessere Audit-Bereitschaft: Unternehmen, die ihr Compliance-Programm pflegen, bleiben für die Neubewertung bereit, ohne jedes Mal einen großen Vorbereitungsaufwand zu betreiben.
Managed Services für CMMC-Compliance sorgen dafür, dass diese Ergebnisse Bestand haben. Ohne fortlaufende Unterstützung driften Umgebungen tendenziell zurück in den fragmentierten Zustand, in dem sie vor der Implementierung waren.
Erkenntnisse aus Implementierungen in der Praxis
Unternehmen, die eine Implementierung von CMMC Level 2 mit MSP-Unterstützung durchlaufen haben, berichten unabhängig von Größe oder Branche meist von denselben Erfahrungen. Diese Muster sollten Sie kennen, bevor Sie den Prozess starten.
Immer wiederkehrende Erkenntnisse aus der Praxis sind:
- Compliance muss Teil des Tagesgeschäfts sein: Unternehmen, die Compliance als separaten Arbeitsstrang behandeln, tun sich schwer damit, sie aufrechtzuerhalten. Kontrollen müssen Teil der täglichen Verwaltung der Umgebung sein und nicht eine parallele Anstrengung neben dem Normalbetrieb.
- Die Dokumentation muss die tatsächliche Umsetzung abbilden: Prüfer:innen gleichen die Dokumentation mit den realen Konfigurationen ab. Eine Dokumentation, die beschreibt, wie Kontrollen funktionieren sollten, statt wie sie tatsächlich funktionieren, zählt zu den häufigsten Ursachen für Audit-Beanstandungen.
- Kontinuierliche Überwachung ist unverzichtbar: Kontrollen, die implementiert und dann sich selbst überlassen werden, weichen schneller von den Vorgaben ab, als die meisten Unternehmen erwarten. Die Überwachung hält das Compliance-Programm zwischen den Bewertungen funktionsfähig.
- Klare Verantwortungsgrenzen verhindern Lücken: Wenn unklar ist, ob der MSP oder der Kunde für eine bestimmte Kontrolle zuständig ist, bleibt sie häufig unbeaufsichtigt. Zuständigkeiten früh zu definieren und im Lauf der Zusammenarbeit erneut zu überprüfen, verhindert, dass Kontrollen durchs Raster fallen.
- Frühe Vorbereitung reduziert Reibung: Unternehmen, die Dokumentation, Nachweissammlung und Lückenbehebung lange vor ihrem Bewertungstermin beginnen, erleben einen reibungsloseren Ablauf und weniger Überraschungen in letzter Minute.
All diese Erkenntnisse weisen auf dieselbe Realität hin: CMMC-Compliance ist eine operative Verpflichtung und kein Projekt mit festem Enddatum.
Das brauchen MSPs für dauerhafte CMMC-Compliance
Compliance nach CMMC Level 2 erreicht man nicht mit einer einzigen Implementierung. Sie erfordert konsequente Umsetzung in den Bereichen Ausrichtung, Durchsetzung von Kontrollen, Überwachung und Audit-Vorbereitung, und sie muss auch nach der Zertifizierung aktiv bleiben.
MSPs, die Compliance als fortlaufenden Service statt als einmaliges Projekt verstehen, helfen ihren Kunden dabei, sie zu halten. Unternehmen mit der passenden MSP-Unterstützung sind besser aufgestellt, um Bewertungsanforderungen zu erfüllen, auf Veränderungen in der Umgebung zu reagieren und die Abweichungen zu vermeiden, die Compliance-Programme mit der Zeit auseinanderfallen lassen.
Verwandte Themen:
