Schlüsselpunkte
- Cloud-Plattformen, MSPs und Kundenunternehmen verantworten jeweils unterschiedliche Teile der geforderten Sicherheitskontrollen in der CMMC-Compliance. Keine Partei kann vollständige Compliance allein gewährleisten.
- Cloud-Plattformen sind für die physische Sicherheit der Rechenzentren, die Verfügbarkeit der Infrastruktur und grundlegende Plattform-Kontrollen zuständig. Sie können jedoch nicht beeinflussen, wie Systeme in der Umgebung eines bestimmten Unternehmens konfiguriert, genutzt oder zugänglich gemacht werden.
- MSPs bilden die entscheidende Compliance-Ebene zwischen den Fähigkeiten der Plattform und der operativen Kontrolle. Sie sind dafür verantwortlich, Systeme sicher zu konfigurieren, privilegierten Zugriff zu verwalten, Sicherheitsrichtlinien durchzusetzen und Systeme zu betreuen, die Kontrollierte nicht klassifizierte Informationen (CUI) speichern oder verarbeiten.
- Auch mit MSPs und Cloud-Plattformen im Rücken bleibt die letztliche Verantwortung für die CMMC-Compliance beim Kundenunternehmen. Dazu gehören das Festlegen von Sicherheitsrichtlinien, das Freigeben von Konfigurationen, die Governance und der Nachweis, dass alle Kontrollen dokumentiert sind.
- Eine CMMC-Verantwortungsmatrix ordnet alle 110 Kontrollen aus NIST SP 800-171 einem festgelegten Verantwortlichen zu, verteilt auf Unternehmen, MSP und Plattform.
- CMMC-Compliance-Tools und RMM-Plattformen unterstützen Audits, indem sie Transparenz über Systeme schaffen und Konfigurationen durchsetzen. Sie müssen dafür allerdings sauber konfiguriert und aktiv betreut werden.
Die Compliance mit der Cybersecurity Maturity Model Certification (CMMC) wird häufig missverstanden, nämlich als Eigenschaft eines Produkts oder einer Plattform. Tatsächlich handelt es sich um ein Modell geteilter Verantwortung, bei dem mehrere Parteien zur Implementierung und Durchsetzung der Kontrollen beitragen.
Cloud-Anbieter, MSPs und Kundenunternehmen übernehmen jeweils eigene Rollen, wenn es darum geht, die CMMC-Anforderungen zu erfüllen. Genau deshalb brauchen Sie eine CMMC-Verantwortungsmatrix, damit die Rollen klar definiert sind und alle Beteiligten wissen, wofür sie zuständig sind.
Das bedeutet geteilte Verantwortung im CMMC-Kontext
Im CMMC-Kontext beschreibt geteilte Verantwortung die Aufteilung von Kontrolle und Zuständigkeit zwischen den verschiedenen Beteiligten einer gemeinsamen Umgebung. In der Regel teilen sich die Verantwortung:
- das Kundenunternehmen
- der MSP
- die zugrunde liegende Plattform bzw. der Service-Anbieter
Wichtig dabei: Keine Partei liefert Ihnen vollständige Compliance im Alleingang. Jede Seite verantwortet einen anderen Aspekt von Sicherheit und Compliance. Wer die jeweiligen Rollen nicht kennt, riskiert Lücken. Gehen Sie deshalb nicht davon aus, dass eine Kontrolle bereits abgedeckt ist. Stimmen Sie sich stattdessen mit allen Beteiligten ab und stellen Sie sicher, dass sämtliche Richtlinien aktiv durchgesetzt werden.
Dafür sind Plattformen im Rahmen von CMMC zuständig
Plattformen sind in erster Linie für den Betrieb Ihrer zugrunde liegenden Infrastruktur zuständig. Dazu gehört in der Regel:
- das physische Rechenzentrum zu betreiben und abzusichern
- sicherzustellen, dass die Infrastruktur verfügbar und gegen Störungen widerstandsfähig ist
- das Kernnetzwerk und die Hardware zu schützen, um Ausfälle zu vermeiden
- grundlegende Sicherheitskontrollen auf Plattformebene aufrechtzuerhalten
Manche Plattformen gehen darüber hinaus und bieten Compliance-konforme Services und Zertifizierungen an. Verlassen Sie sich dennoch nicht allein auf die Compliance der Plattform. Letztlich ist sie nur ein Teil eines größeren, umfassenderen Modells. Feinheiten wie die Frage, wie Systeme in Ihren konkreten Umgebungen konfiguriert und genutzt werden, deckt die Plattform-Compliance nicht ab.
Dafür sind MSPs im Rahmen von CMMC zuständig
Während Plattformen die zugrunde liegende Infrastruktur betreiben, sorgen MSPs dafür, dass die Kontrollen auf den in der Kundenumgebung eingesetzten Plattformen implementiert und verwaltet werden. Dazu gehört:
- Systeme sicher konfigurieren und betreiben
- Zugriffskontrollen und privilegierte Konten verwalten
- Sicherheitsrichtlinien auf allen Endpunkten durchsetzen
- Systeme betreuen, die Kontrollierte nicht klassifizierte Informationen (CUI) speichern oder verarbeiten
Ihre MSPs bilden eine entscheidende Ebene zwischen den Fähigkeiten der Plattform und der operativen Compliance. Sie tragen maßgeblich dazu bei, dass Ihre Daten sicher bleiben.
Dafür bleibt das Kundenunternehmen im Rahmen von CMMC verantwortlich
Selbst mit aller Unterstützung durch Plattformen und MSPs behält das Kundenunternehmen einen Teil der Compliance-Verantwortung. Niemand kennt die eigenen Anforderungen und deren Umsetzung besser.
Typische Aufgaben auf Kundenseite sind:
- Sicherheitsrichtlinien und Anforderungen definieren
- Systemkonfigurationen und Zugriffskontrollen freigeben
- Governance und Aufsicht sicherstellen
- dafür sorgen, dass alle Kontrollen in den eigenen Umgebungen implementiert und dokumentiert sind
CMMC-Compliance lässt sich niemals vollständig auslagern, gerade nicht bei Rüstungs- und Verteidigungsauftragnehmern. Die volle Verantwortung bleibt am Ende immer bei dem Unternehmen, das geprüft wird, und bei niemandem sonst.
Hier überschneiden sich die Verantwortlichkeiten bei CMMC
Bei Compliance sind Zusammenarbeit und Abstimmung natürlich immer gefragt. Zugriffskontrollen etwa definiert stets der Kunde, durchsetzen muss sie jedoch der MSP. An Governance und Aufsicht sowie an der Reaktion auf Sicherheitsvorfälle sind alle Parteien beteiligt, und die Implementierung sämtlicher Kontrollen betrifft sowohl den Kunden als auch den MSP.
So verteilen Sie Verantwortlichkeiten in CMMC-Umgebungen wirksam
Unternehmen müssen festhalten, wer welche Kontrolle verantwortet. Das vermeidet Missverständnisse und sorgt dafür, dass alle Beteiligten ihre Aufgaben kennen. Zu den Best Practices gehören:
- für jede Anforderung einen Verantwortlichen festlegen
- geteilte Verantwortlichkeiten klar dokumentieren
- Services an konkreten Compliance-Anforderungen ausrichten
- überprüfen, dass alle Kontrollen durchgehend aktiv durchgesetzt werden
Eine solche Zuordnung stellt sicher, dass die Compliance-Lösungen Ihres MSPs zu den Audit-Erwartungen Ihres Unternehmens passen. Außerdem reduziert sie Unklarheiten, sobald Assessments und Audits anstehen.
Die Rolle von Tools und Plattformen bei der Compliance
Die eingesetzten Plattformen und Tools können Compliance und Audits unterstützen, sie ersetzen aber keine Verantwortung. CMMC-Compliance-Tools für MSPs und integrierte RMM- und Compliance-Lösungen können:
- Transparenz über den Systemstatus schaffen
- die Durchsetzung von Sicherheitskonfigurationen unterstützen
- bei Dokumentation und Validierung helfen
Denken Sie jedoch daran: Tools müssen sauber konfiguriert und betreut werden. Andernfalls tragen sie kaum etwas zur Compliance bei. Die Verantwortung für den tatsächlichen Einsatz und Betrieb liegt weiterhin beim MSP und beim Kunden.
So wirkt sich geteilte Verantwortung auf Audits aus
In einem CMMC-Assessment bewerten die Prüfer:innen, wie die Verantwortlichkeiten in einer konkreten Umgebung umgesetzt sind. Dabei gehen sie wie folgt vor:
- Sie ermitteln, wer jede Kontrolle verantwortet.
- Sie prüfen, ob die Kontrollen korrekt implementiert sind.
- Sie bestätigen, dass die Verantwortlichkeiten klar definiert sind.
Geteilte Verantwortung entscheidet über den CMMC-Erfolg
CMMC-Compliance beruht auf einem Modell geteilter Verantwortung. Daran beteiligt sind Plattformen, MSPs und Kundenunternehmen. Klar definierte Verantwortlichkeiten, eine saubere Zuordnung der Kontrollen und die Abstimmung von Services und Anforderungen sind entscheidend, damit Sie Ihre Compliance-Ziele erreichen.
Verwandte Themen:
- CMMC 2.0: Die CMMC-Zertifizierung für MSPs erklärt
- CMMC-Chancen erkennen: Discovery-Fragen und Warnsignale
- CMMC ist nicht das, wofür die meisten MSPs es halten
- So bereiten Sie Kunden auf ein unangekündigtes Compliance-Audit vor (HIPAA, CMMC, SOC 2)
- Eine interne Staging-Umgebung für sichere MSP-Rollouts aufbauen
