Schlüsselpunkte
- Ob MSP oder CSP im Rahmen von CMMC, entscheidend sind die Kontrolle über die Daten und die Art der Service-Erbringung. MSPs verwalten Kundenumgebungen, während CSPs die Infrastruktur hosten und kontrollieren, in der die Daten liegen.
- Der Zugriff auf kontrollierte nicht klassifizierte Informationen (CUI) sowie deren Speicherung oder Verarbeitung kann MSPs in den Geltungsbereich bringen und sie in Richtung einer CSP-Einstufung verschieben.
- MSPs können im Rahmen von CMMC als CSPs behandelt werden, wenn sie cloud-ähnliche Services erbringen oder Systeme mit CUI kontrollieren. Das löst strengere CMMC-Anforderungen und höhere Compliance-Erwartungen aus.
Der Unterschied zwischen einem Managed Service Provider (MSP) und einem Cloud Service Provider (CSP) wirkt sich darauf aus, wie Compliance-Anforderungen angewendet werden. MSPs verwalten und betreuen Kundenumgebungen, werden aber unterschiedlich eingestuft, je nachdem, wie ihre Services mit sensiblen Daten in Berührung kommen.
MSPs, die kontrollierte nicht klassifizierte Informationen (CUI) verarbeiten, können in strengere Compliance-Grenzen fallen, wenn ihre Services denen eines CSP ähneln. Zu verstehen, wann dieser Übergang stattfindet, ist wichtig, um Verantwortlichkeiten festzulegen und sich auf Audits vorzubereiten.
Das zeichnet einen MSP im Unterschied zu einem CSP aus
Die Abgrenzung zwischen MSP und CSP dreht sich um die Service-Erbringung und die Kontrolle über die Daten. MSPs verwalten und betreuen Systeme innerhalb der Umgebung einer Kundschaft. Sie stellen Tools bereit und übernehmen die Administration, doch Eigentum und Kontrolle über Infrastruktur und Daten bleiben bei der Kundschaft.
CSPs erbringen ihre Services dagegen über gehostete oder cloudbasierte Umgebungen. Sie besitzen und betreiben die Infrastruktur, in der Kundendaten gespeichert oder über die sie übertragen werden. Dazu zählen Plattformen wie Software-as-a-Service- oder PaaS-Angebote.
Der entscheidende Unterschied liegt in der Kontrolle. MSPs arbeiten innerhalb von Systemen, die die Kundschaft kontrolliert, während CSPs die Umgebung selbst kontrollieren. Im Rahmen von CMMC wird diese Unterscheidung wichtig, weil sie bestimmt, wer für den Schutz sensibler Daten verantwortlich ist.
So verändert der Umgang mit CUI die Einstufung eines MSP
CUI ist der wichtigste Faktor dafür, ob ein MSP in den Geltungsbereich von CMMC fällt. Hat ein MSP Zugriff auf CUI oder verarbeitet bzw. speichert er diese Informationen, geht seine Rolle über reinen operativen Support hinaus.
Ein MSP kann als „im Geltungsbereich“ gelten, wenn er über administrative Zugriffe mit CUI in Berührung kommen kann. Selbst indirekter Zugriff kann Compliance-Pflichten auslösen. Noch komplexer wird die Einstufung, wenn die Tools oder Services des MSP CUI außerhalb der Kundenumgebung verarbeiten.
In solchen Fällen kann sich die Rolle des MSP in Richtung Service-Erbringung ausweiten. Umfang von Zugriff und Kontrolle über CUI entscheiden darüber, ob der MSP bestimmte CMMC-Anforderungen erfüllen muss, unabhängig davon, ob er sich selbst formal als MSP oder CSP bezeichnet.
Diese Fälle führen dazu, dass ein MSP wie ein CSP behandelt wird
Ein MSP kann wie ein CSP behandelt werden, wenn seine Services eher einer gehosteten oder cloudbasierten Bereitstellung gleichen als klassischem Support innerhalb der Kundenumgebung. Typischerweise ist das der Fall, wenn der MSP Infrastruktur oder Plattformen bereitstellt, auf denen Kundendaten liegen.
Beispiele sind das Hosten von Kundensystemen in vom MSP verwalteten Rechenzentren oder die Erbringung von Services über mehrmandantenfähige Umgebungen. In diesen Szenarien verwaltet der MSP nicht nur Systeme, sondern stellt auch die Umgebung selbst bereit.
Ausschlaggebend ist die Kontrolle. Kontrolliert der MSP die zugrunde liegende Infrastruktur und verlässt sich die Kundschaft auf diese Umgebung, um CUI zu speichern oder zu verarbeiten, kann der MSP als CSP eingestuft werden.
Das bedeutet eine CSP-Einstufung für die Compliance
Wer im Rahmen von CMMC als CSP eingestuft wird, sieht sich strengeren Compliance-Erwartungen gegenüber als in einer klassischen MSP-Rolle. CSPs sind dafür verantwortlich, das System zu verwalten und die Infrastruktur abzusichern, in der sensible Daten liegen.
Daraus folgt eine genauere Prüfung bei Assessments, denn Auditor:innen bewerten die technischen Kontrollen und die Sicherheit der Hosting-Umgebung. CSPs müssen unter Umständen stärkere Schutzmaßnahmen rund um Datenisolierung und Incident Response nachweisen.
In manchen Fällen verlangt eine CSP-Einstufung zusätzlich die Ausrichtung an weiteren Frameworks, abhängig davon, wie die Services erbracht werden und um welche Art von Daten es geht. Diese Verschiebung der Verantwortung ist erheblich. CSPs tragen eine größere Verantwortung für den Schutz von CUI, was die Compliance komplexer macht und den Dokumentationsaufwand für den Nachweis wirksamer Kontrollen erhöht.
So gelten CMMC-Anforderungen für MSPs im Geltungsbereich
CMMC-Anforderungen greifen bei MSPs abhängig davon, welchen Zugriff sie auf Systeme und CUI haben. Liegt ein MSP im Geltungsbereich, muss er nachweisen, dass die relevanten Sicherheitskontrollen implementiert sind und aufrechterhalten werden. Dazu gehört unter anderem der Nachweis, wie Zugriffe verwaltet und Daten geschützt werden.
MSPs müssen bei Assessments unter Umständen auch Belege vorlegen, etwa Audit-Logs. Wie weit diese Anforderungen reichen, hängt von der Rolle des MSP ab.
Ein MSP mit eingeschränktem Zugriff hat möglicherweise weniger Pflichten, während ein MSP mit administrativer Kontrolle über kritische Systeme stärker in die Compliance-Bemühungen eingebunden sein kann.
Darum sind klare Verantwortungsgrenzen so wichtig
Klare Verantwortungsgrenzen zwischen Unternehmen und MSP sind entscheidend, um die CMMC-Compliance aufrechtzuerhalten. Ohne klar definierte Rollen lässt sich kaum feststellen, wer für welche Kontrollen zuständig ist.
Geteilte Verantwortung ist üblich, insbesondere in Umgebungen, in denen MSPs bestimmte Systeme verwalten und die Kundschaft die Gesamtverantwortung behält. Unklarheiten können jedoch zu Lücken in der Implementierung oder Dokumentation führen.
Bei Assessments können unklare Grenzen zu Audit-Beanstandungen führen, selbst wenn Kontrollen vorhanden sind. Prüfer:innen müssen erkennen können, dass Kontrollen existieren und wer für deren Durchsetzung und Pflege verantwortlich ist.
Verantwortlichkeiten über Verträge und Dokumentation festzulegen, sorgt für Klarheit auf beiden Seiten. Das senkt außerdem das Risiko übersehener Kontrollen und erleichtert den Audit-Prozess, weil die Zuständigkeiten sauber abgebildet sind.
So steuern MSPs ihren Geltungsbereich und senken Risiken
MSPs können ihr Compliance-Risiko senken, indem sie ihren Geltungsbereich steuern und unnötige Berührungspunkte mit CUI vermeiden. Eine wirksame Strategie besteht darin, Zugriffe zu minimieren und nur dann mit sensiblen Daten zu arbeiten, wenn es für die Service-Erbringung erforderlich ist.
Auch eine klare Dokumentation der Service-Grenzen ist wichtig. MSPs sollten festlegen, was sie verwalten und wie die Verantwortung geteilt wird, um eine schleichende Ausweitung des Geltungsbereichs zu verhindern und die Ausrichtung an den CMMC-Erwartungen sicherzustellen.
Darüber hinaus sollten MSPs ihre Services so gestalten, dass CUI möglichst nicht außerhalb von Kundenumgebungen verarbeitet werden. Ist das nicht möglich, sollten entsprechende Kontrollen vorhanden sein.
Audit-Lücken vermeiden durch klare Verantwortungsgrenzen
Der Unterschied zwischen MSP und CSP im Rahmen von CMMC ergibt sich daraus, wie die Services mit Systemen und Daten in Berührung kommen. MSPs, die sensible Daten speichern und kontrollieren, können als CSPs behandelt werden und strengeren Anforderungen unterliegen.
Diese Grenze zu verstehen, ist wichtig, um Verantwortlichkeiten festzulegen, Audits vorzubereiten und die Compliance aufrechtzuerhalten. Wer die Service-Erbringung den Compliance-Erwartungen zuordnet, sorgt dafür, dass Unternehmen und MSPs Risiken senken und die CMMC-Anforderungen erfüllen.
Verwandte Themen:
