Schlüsselpunkte
- Klären Sie, ob Sie als External Service Provider, der Kontrollierte nicht klassifizierte Informationen (CUI) verarbeitet, innerhalb der Prüfungsgrenze liegen.
- Ordnen Sie jeden Managed Service den 110 Kontrollen aus NIST SP 800-171 zu, erstellen Sie gemeinsam mit der Kundschaft eine Shared Responsibility Matrix und halten Sie Compliance-Lücken in einem POA&M fest.
- Pflegen Sie einen vollständigen System Security Plan sowie strukturierte Compliance-Berichte, die konkreten NIST-Kontrollen zugeordnet sind, damit Prüfer:innen die benötigte Dokumentation erhalten.
- Verfolgen Sie Konfigurationsabweichungen, Patch-Lücken und Änderungen an Berechtigungen laufend in Echtzeit, um zu belegen, dass Kontrollen nicht nur implementiert, sondern auch durchgesetzt werden.
- Bereiten Sie das Personal Ihrer Kundschaft auf Interviews mit Prüfer:innen vor und liefern Sie Audit-Nachweise innerhalb von 180 Tagen auf Anfrage, um den Conditional-Status in eine finale CMMC-Level-2-Zertifizierung zu überführen.
Cybersecurity Maturity Model Certification (CMMC) 2.0 ist ein bundesweiter Rahmen in den USA, der die Cybersicherheit von Rüstungsauftragnehmern überprüft, die Kontrollierte nicht klassifizierte Informationen (CUI) verarbeiten. Bei diesen Prüfungen wird die MSP-Unterstützung bei CMMC-Audits deutlich praxisnäher.
Mit mehr Transparenz bereiten Sie Bundes-Audits Ihrer Kundschaft frühzeitig vor und machen sie effizienter. Dieser Leitfaden zu CMMC Level 2 liefert eine strategische Checkliste, mit der Sie die Zertifizierung erreichen und zugleich Risiken senken.
Diese Aufgaben haben MSPs bei CMMC-Level-2-Audits
Den MSP-Geltungsbereich innerhalb der Prüfungsgrenze festlegen
Klären Sie zuallererst, ob Ihr MSP in den Geltungsbereich des Level-2-Audits fällt. Nach Vorgabe des US-Verteidigungsministeriums gilt für jeden External Service Provider (ESP), der die Vertraulichkeit von Kontrollierten nicht klassifizierten Informationen (CUI) beeinflusst, derselbe Compliance-Maßstab wie für den Hauptauftragnehmer.
Zu CUI zählen:
- Personenbezogene Daten (PII)
- Geschützte Geschäftsinformationen (CBI)
- Exportkontrollierte technische Daten (ITAR/EAR)
- Sicherheitsdaten kritischer Infrastrukturen
Wenn Ihr Team E-Mail-Server, Cloud-Speicher und Endpunkt-Tools verwaltet, die mit CUI in Berührung kommen, fallen Ihre Services unter die MSP-Unterstützung bei CMMC-Audits. Erstellen Sie deshalb vor Beginn einer Bewertung gemeinsam mit Ihrer Kundschaft eine Shared Responsibility Matrix. So ist klar, was der MSP verantwortet, was die Kundschaft verantwortet und was gemeinsam getragen wird.
💡 Wichtig: MSPs, die CUI verarbeiten, übertragen und speichern, benötigen eine eigene Zertifizierung nach CMMC Level 2 oder Level 3. MSPs ohne CUI-Berührung sind davon ausgenommen.
MSP-Services an den Anforderungen von CMMC Level 2 ausrichten
CMMC Level 2 setzt alle 110 Praktiken aus NIST SP 800-171 zum Schutz von CUI um. Fällt Ihr MSP in den Geltungsbereich des Audits, müssen Sie Ihre Sicherheitskontrollen an den konkreten NIST-Anforderungen ausrichten. Beispiele dafür sind:
- Verwaltung privilegierter Zugriffe
- Regelmäßige Zugriffsüberprüfungen
- Konsequente Mandantentrennung
- Lückenlose Protokollierung von CUI-bezogenen Vorfällen
- Durchsetzung von Sicherheitskonfigurationen
Führen Sie eine Zuordnung von Kontrollen zu Services durch, die jedes MSP-Tool und jeden Prozess benennt, der die jeweiligen Domänen von NIST 800-171 erfüllt. Bestehen Lücken, sollten Sie diese vor der Bewertung kennzeichnen, nicht erst währenddessen.
Audit-fähige Dokumentation aufbauen und pflegen
Mit der Weiterentwicklung digitaler Landschaften wird Audit-Fähigkeit zur Grundvoraussetzung. In einem aktuellen Bericht von Greenberg Traurig LLP. schätzen externe Prüfer:innen, dass 25 % der Zertifizierungsbewerber bereits in der Phase vor der Bewertung scheiterten, meist wegen unvollständiger oder nicht passender Dokumentation.
So werden Sie audit-fähig:
- Pflegen Sie einen laufend aktualisierten System Security Plan (SSP), der Basiskonfigurationen, Endpunkte, Personaländerungen und weitere Angaben erfasst.
- Verfolgen Sie offene Lücken mit einem Plan of Action and Milestones (POA&M).
- Erreichen Sie beim Supplier Performance Risk System (SPRS) einen Score von mindestens 80 %.
Compliance-Berichterstattung für MSPs etablieren
Prüfer:innen setzen Nachweise immer über mündliche Zusicherungen. Neben der Erfüllung der CMMC-Standards müssen MSPs auch strukturierte und reproduzierbare Belege dafür liefern, dass diese Kontrollen über die Zeit hinweg konsistent angewendet wurden.
Dazu gehören Berichte zu Patches und Schwachstellen, zur Konfigurations-Compliance, zu Aktivitäten mit erhöhten Rechten sowie Vorfallsprotokolle. Sie alle belegen ein kompetentes IT-Management vor und während des CMMC-Level-2-Audits.
Standardisieren Sie Berichtsvorlagen über alle CUI-Kundschaften hinweg und verknüpfen Sie jeden Bericht mit konkreten Kontrollen aus NIST 800-171 (ein Patch-Bericht lässt sich zum Beispiel direkt Kontrolle 3.14.1 zuordnen), um Rückfragen zu vermeiden. Das vereinfacht den Audit-Prozess für Sie und die prüfende Stelle gleichermaßen.
🥷🏻| Erfüllen Sie mit automatisierter Berichterstattung 100 % der Level-2-Anforderungen.
Erfahren Sie, wie NinjaOne Sie dabei unterstützt, CMMC-Bereitschaft zu erreichen.
Compliance durchgehend überwachen
Die MSP-Unterstützung bei CMMC-Audits sollte ein dauerhaftes Sicherheitsengagement belegen, über Überwachungstools, Echtzeit-Alarmierungen und geplante Behebungsmaßnahmen. Dokumentierte und eingeübte Abläufe sind dabei entscheidend. Management-Tools mit Fokus auf kontinuierliche Überwachung helfen, diese Konsistenz zu erreichen.
Richten Sie für jede Kundenumgebung ein laufendes Compliance-Dashboard ein, das den Echtzeitstatus wichtiger Sicherheitskontrollen abbildet. Es sollte mindestens Konfigurationsabweichungen, fehlgeschlagene Authentifizierungen, Lücken in der Patch-Compliance und Änderungen an Benutzerberechtigungen melden. So erhält Ihr MSP ein aktuelles Bild Ihres Compliance-Status.
Audit-Nachweise sammeln und vorlegen
Beim formellen Audit führen Prüfer:innen Interviews, sichten Sicherheitsartefakte und nehmen technische Validierungen vor, um den Status der Kontrollen zu bestimmen. Sind Protokolle, Konfigurationsdateien, Schulungsnachweise und weitere Unterlagen zusammengetragen, werden sie einer CMMC Third-Party Assessment Organization (C3PAO) zur Prüfung vorgelegt.
Ihre Dokumentation muss drei Dinge belegen: dass Kontrollen implementiert sind, im Betrieb laufen und konsistent durchgesetzt werden. Das C3PAO-Team prüft jede der 110 NIST-Kontrollen darauf, welche davon erfüllt sind. Erreicht Ihre Kundschaft mindestens 88 von 110, erhält sie den Conditional CMMC Status.
Legen Sie vor der Bewertung eine Nachweisbibliothek an, sortiert nach Kontrollfamilien aus NIST 800-171, um Compliance-Anforderungen schneller zu erfüllen. Hinterlegen Sie zu jeder Kontrolle:
- Eine Ausgabe oder einen Screenshot als Beleg für die Implementierung
- Ein Protokoll, das zeigt, dass die Kontrolle aktiv ist
- Einen Verweis auf die zugrunde liegende Richtlinie
Kundschaft über den gesamten Audit-Prozess hinweg begleiten
MSPs spielen eine entscheidende Rolle dabei, dass ihre Kundschaft die CMMC-Anforderungen erfüllt. Lückenanalyse, Behebung, Dokumentation, Nachweissammlung, Erstellung des SSP und laufende Überwachung sind allesamt notwendig, damit Kontrollen auch zwischen den Bewertungen wirksam bleiben.
Die MSP-Unterstützung bei CMMC-Audits bereitet Sie außerdem auf Interviews mit Prüfer:innen vor, bei denen auch externe Dienstleister direkt befragt werden können. Wirkt der MSP mit den CMMC-Praktiken nicht vertraut, fällt das auf Ihre Kundschaft zurück.
Nach der Bewertung sollte Ihr MSP die Kundschaft auch während der 180-tägigen Übergangsfrist begleiten, um verbleibende Lücken in der bestehenden Infrastruktur zu schließen und den Wechsel vom Conditional-Status zur finalen Zertifizierung zu ermöglichen.
Erstellen Sie dafür für jede Kundschaft eine Checkliste zur Vorbereitung auf die Bewertung, die Folgendes abdeckt:
- Fertiggestellter SSP und POA&M
- Nachweisbibliothek, zugeordnet zu jeder Kontrollfamilie
- Für die Interviews mit Prüfer:innen gebrieftes Personal
- Eine bestätigte Shared Responsibility Matrix
- Dokumentierter Plan zur Reaktion auf Sicherheitsvorfälle
MSP-Unterstützung bei CMMC-Audits ist operativ, nicht beratend
Bei CMMC-Level-2-Audits übernehmen MSPs eine deutlich aktivere Rolle. Stellen Sie vor der nächsten Bewertung Ihrer Kundschaft sicher, dass eine Shared Responsibility Matrix ausgearbeitet ist. Anschließend gilt: Überwachen und dokumentieren Sie Ihren Compliance-Status mit zentralisierten Tools und orientieren Sie sich dabei an NIST SP 800-171, um den Prozess zu vereinfachen.
Verwandte Themen:
