Punti chiave
- Gli MSP non hanno necessariamente bisogno della certificazione CMMC, ma rientrano comunque nell’ambito di applicazione, soprattutto se accedono o gestiscono sistemi contenenti CUI e FCI.
- Il requisito CMMC più rilevante per gli MSP riguarda il Livello 2, che corrisponde ai 110 controlli previsti dal documento NIST SP 800-171 Rev. 2.
- Alcune parole chiave, quali “DoD Contract”, “DFARS”, “CUI/FCI” e “audit-ready”, menzionate durante una chiamata di approfondimento indicano un’opportunità CMMC.
- L’ambito di applicazione del CMMC è limitato ai sistemi che elaborano, archiviano o trasmettono informazioni classificate (CUI/FCI). Comprendere fin dall’inizio questi limiti aiuta gli MSP a evitare di definire un ambito di intervento troppo ampio e a ridurre i costi.
- Gli strumenti autorizzati da FedRAMP sono ormai indispensabili negli ambienti soggetti alla normativa CMMC. Gli MSP devono verificare che le proprie piattaforme RMM, di patching e di gestione siano conformi agli standard FedRAMP.
La Cybersecurity Maturity Model Certification (CMMC) è un quadro di riferimento per la sicurezza informatica creato dal Dipartimento della Difesa degli Stati Uniti (DoD) per contribuire a proteggere i dati sensibili lungo tutta la catena di approvvigionamento della difesa. È stato progettato per proteggere le informazioni relative ai contratti federali (FCI) e le informazioni non classificate soggette a controllo (CUI) gestite dagli appaltatori e dai fornitori del Dipartimento della Difesa (DoD).
Inizialmente il CMMC era stato avviato come iniziativa normativa graduale, ma dopo l’entrata in vigore ufficiale della norma definitiva 48 CRF, avvenuta il 10 novembre 2025, è diventato un requisito obbligatorio per i nuovi contratti del Dipartimento della Difesa.
E con i requisiti obbligatori di certificazione da parte di terzi che entreranno in vigore il 10 novembre 2026, gli MSP sono incoraggiati a prepararsi e a cercare opportunità legate al CMMC.
Sebbene non siano tenuti a ottenere la certificazione CMMC, gli MSP che gestiscono o amministrano sistemi contenenti FCI o CUI sono destinati ad assumere gli obblighi contrattuali e i requisiti di controllo della sicurezza associati a tali ambienti.
Scopri più rapidamente i dettagli del CMMC con la nostra guida completa dedicata agli MSP.
Una panoramica di 30 secondi per gli MSP
La maggior parte degli MSP non è tenuta a ottenere autonomamente la certificazione CMMC. Devono invece, in genere, dimostrare che i servizi e le tecnologie da loro forniti supportino la capacità dell’appaltatore di soddisfare i controlli CMMC richiesti. Sebbene l’MSP possa non essere tenuto a ottenere la certificazione CMMC, gli strumenti e i servizi da esso forniti rientreranno probabilmente nell’ambito delle valutazioni e degli audit dei clienti. Di conseguenza, il livello di sicurezza dell’MSP può influire direttamente sull’esito dell’audit del cliente.
- Se un potenziale cliente menziona il Dipartimento della Difesa (DoD), i rapporti con i subappaltatori, la norma NIST SP 800-171, le informazioni CUI/FCI, FedRAMP o i requisiti relativi agli ambienti cloud governativi, di solito è un chiaro segnale che seguiranno probabilmente discussioni sulla conformità CMMC.
- Non è necessario essere un esperto di conformità per valutare un’opportunità CMMC. Concentrati sull’ambito di applicazione, sulle responsabilità e sulle prove.
- Molte discussioni tra MSP in questo ambito vertono sul Livello 2 del CMMC, che è in linea con i requisiti della norma NIST SP 800-171 per la protezione delle informazioni classificate (CUI).
- Il modo più veloce per conquistare credibilità è porre domande più pertinenti ed essere chiari su ciò che puoi (e non puoi) dimostrare.
L’implementazione triennale del CMMC 2.0
Dato che ci troviamo nel periodo di applicazione effettiva, ecco una panoramica di ciò che ti aspetta ora che è stato pubblicato il documento CMMC 2.0 :
| Fase | Data | Cosa significa |
| Fase 1 | 10 novembre 2025 | I requisiti CMMC iniziano a comparire nei nuovi contratti del Dipartimento della Difesa. Gli appaltatori del settore della difesa devono completare le autovalutazioni di Livello 1 e Livello 2 come condizione per l’aggiudicazione del contratto e i risultati devono essere registrati nell’SPRS. Il Dipartimento della Difesa potrebbe inoltre richiedere una valutazione completa da parte di terzi (C3PAO) su specifici contratti ad alta priorità. |
| Fase 2 | 10 novembre 2026 | Le valutazioni di terze parti C3PAO saranno ora obbligatorie per la certificazione di Livello 2. Le autovalutazioni da sole non saranno sufficienti per gli appaltatori che trattano informazioni classificate (CUI). |
| Fase 3 | 10 novembre 2027 | Le valutazioni di livello 3, condotte dal Centro di valutazione della sicurezza informatica della base industriale della difesa (DIBCAC), saranno estese agli appaltatori che lavorano a programmi del Dipartimento della Difesa (DoD) ad alta priorità e ad alta sensibilità. |
| Fase 4 | 10 novembre 2028 | Tutti i requisiti CMMC 2.0 saranno obbligatori per tutti i contratti del Dipartimento della Difesa (DoD), senza eccezioni, tranne che per i contratti che prevedono esclusivamente prodotti COTS. Qualsiasi appaltatore che faccia ancora parte della catena di approvvigionamento dovrà conformarsi al livello CMMC previsto come condizione per l’aggiudicazione dell’appalto. |
Guida per MSP per individuare le opportunità offerte dal CMMC
Inizia con l’ascoltare i segnali
Se senti una delle parole chiave riportate di seguito, interrompi il tuo flusso standard di scoperta delle informazioni sull’MSP e passa alla qualificazione CMMC:
- Contratto con il Dipartimento della Difesa (DoD)/Contratto nel settore della difesa
- Appaltatore principale/subappaltatore
- NIST SP 800-171
- DFARS (Supplemento al Regolamento federale sugli appalti della Difesa)
- CUI/FCI
- Audit, valutazione, “ci servono prove”
- FedRAMP++
- ITAR (Regolamento sul traffico internazionale di armi)
Questi termini indicano solitamente che il potenziale cliente si sente sotto pressione nel dover dimostrare l’allineamento dei sistemi di controllo e fornire prove concrete, non solo nel dover “migliorare la sicurezza”.
Quando senti o leggi una di queste parole chiave, il passo successivo non è una consulenza completa sulla conformità, bensì un breve colloquio preliminare per verificare se siano in gioco informazioni CUI/FCI.
Utilizza questo percorso di qualificazione
Spesso gli MSP possono stabilire rapidamente se esiste un’opportunità CMMC chiarendo tre aspetti: quali sono gli ambiti di applicazione, quali sono le proprie responsabilità e quali prove saranno richieste (e entro quando).
1) Verifica la validità del contratto e l’esattezza dei dati
Chiedi:
- Sei un appaltatore principale o un subappaltatore del Dipartimento della Difesa (DoD), oppure fornisci supporto a uno di essi?
- Ti occupi di CUI, FCI o di entrambi?
- Quali sistemi, utenti o team hanno accesso a quei dati?
Quello che stai cercando: un nesso chiaro tra le attività legate al Dipartimento della Difesa e gli ambienti che gestisci.
2) Chiarisci l’ambito di applicazione
Chiedi:
- Quali sistemi rientrano effettivamente nell’ambito di applicazione delle norme CUI/FCI (sistemi che elaborano, archiviano o trasmettono tali dati)?
- Quei dati sono suddivisi per utenti/dispositivi specifici o sono distribuiti in tutto l’ambiente?
Perché è importante: gli errori nella definizione dell’ambito generano costi, complessità e rischi inutili. L’ambito di applicazione è solitamente limitato ai sistemi che elaborano, archiviano o trasmettono informazioni classificate (CUI/FCI), e non si estende automaticamente all’intero ambiente.
3) Verifica il “punto critico” nella preparazione
Chiedi:
- Le clausole relative al CMMC compaiono già nei tuoi contratti nuovi o rinnovati?
- Hai in programma una valutazione, un rinnovo contrattuale o una revisione del rapporto con il committente o il fornitore?
- Sei già conforme alla norma NIST SP 800-171 o stai appena iniziando?
Quello che stai cercando: una linea temporale che trasformi ciò che è “interessante” in “urgente”.
I passi successivi: Organizza la riunione preliminare (per raccogliere informazioni sulle responsabilità e sui dati)
Dopo che il cliente ha confermato di gestire informazioni classificate come CUI o FCI, procedi con una breve chiamata di definizione dell’ambito per documentare quali aspetti gestirai per l’ambiente in questione e quali prove il cliente o l’appaltatore principale si aspettano che tu fornisca. Gli MSP potrebbero assumersi obblighi in materia di sicurezza e conservazione delle prove quando accedono, amministrano o ospitano sistemi contenenti FCI o CUI; pertanto, questa misura previene l’ampliamento dell’ambito di applicazione e la corsa all’ultimo minuto in vista di un audit.
- Specifica quali servizi verranno forniti per i sistemi inclusi nell’ambito del progetto (patching, monitoraggio, configurazione, reportistica).
- Verifica cosa si intende per “controlli equivalenti” per i sistemi che gestisci e quali prove sono richieste (report, tracce di audit, log). Per “controlli equivalenti” si intende in genere la dimostrazione di misure di sicurezza tecniche e operative che supportino i risultati richiesti in materia di controlli CMMC da parte dell’appaltatore.
- Verifica se il cliente necessita di strumenti per operare in un ambiente autorizzato FedRAMP.
Insidie comuni da individuare tempestivamente
Questi malintesi bloccano gli accordi o compromettono l’attuazione:
- «Il CMMC riguarda tutto ciò che facciamo.»
- L’ambito di applicazione del CMMC riguarda i sistemi che gestiscono informazioni classificate (CUI/FCI), non necessariamente tutte le risorse IT.
- «L’appaltatore ottiene la certificazione, quindi l’MSP non è coinvolto.»
- Se accedi o gestisci sistemi rientranti nell’ambito di applicazione, fai parte del quadro dei controlli di sicurezza.
- «Il nostro MSP deve essere certificato.»
- Spesso è l’appaltatore a essere l’ente certificato, ma gli MSP potrebbero comunque dover dimostrare l’esistenza di controlli di sicurezza equivalenti per i sistemi che gestiscono.
Come definire il passo successivo
Cerca di mantenere un tono di consulenza e concreto:
- Punta sull’impatto aziendale: idoneità a supportare attività legate al Dipartimento della Difesa (DoD), fiducia dei clienti e preparazione agli audit.
- Non lasciarti confondere dagli acronimi: concentrati sull’ambito di applicazione, sui controlli e sulle prove.
- Sii chiaro riguardo ai limiti: cosa può automatizzare e verificare il tuo team e cosa invece richiede l’impostazione di criteri e procedure da parte del cliente.
Un passo successivo importante è una breve chiamata preliminare incentrata su:
- Identificare gli ambienti e i flussi di lavoro che rientrano nell’ambito di applicazione e collegati a CUI/FCI
- Verificare se l’allineamento al Livello 2 del CMMC (NIST SP 800-171) sia l’obiettivo
- Illustrare quali prove il cliente o il committente si aspetterà dall’MSP
- Chiarire quali responsabilità in materia di conformità spettano all’MSP e quali invece rimangono a carico dell’appaltatore o del consulente in materia di conformità.
Adatta la tua offerta di servizi MSP per soddisfare le esigenze dei clienti in materia di conformità CMMC.
Scopri come NinjaOne rafforza la sicurezza e semplifica la conformità.
In che modo NinjaOne può aiutare gli MSP a garantire la preparazione al CMMC
Gli MSP che supportano i fornitori che gestiscono informazioni classificate (CUI) devono spesso garantire la conformità degli ambienti al Livello 2 del CMMC (NIST SP 800-171), mantenendo al tempo stesso visibilità, automazione e controllo su tutti gli ambienti dei clienti gestiti. Molti strumenti di gestione IT di vecchia generazione non sono stati progettati per aiutare gli MSP a fornire prove di conformità in modo coerente in diversi ambienti dei clienti.
NinjaOne aiuta gli MSP a mettere in atto, automatizzare e dimostrare i controlli tecnici che supportano la preparazione al CMMC, e a permettere ai clienti del settore della difesa di mantenere l’idoneità contrattuale senza dover assumere essi stessi il ruolo di revisori della conformità.
NinjaOne è l’unica piattaforma MSP multi-tenant autorizzata FedRAMP, progettata per garantire velocità e semplicità.
- Struttura autorizzata FedRAMP: Aiuta gli MSP a mettere in atto e a dimostrare che i controlli siano in linea con i requisiti previsti dalla norma NIST SP 800-171 e dal livello 2 del CMMC.
- Piattaforma progettata per gli MSP: Vera multi-tenancy, patching automatizzato e visibilità centralizzata di tutti gli ambienti dei clienti.
- Basata sull’automazione: Patching, correzione delle vulnerabilità e report di audit basati su criteri, in linea con i controlli chiave del Livello 2 del CMMC e della norma NIST SP 800-171.
- Sicura per definizione: Controllo degli accessi basato sui ruoli (RBAC), autenticazione a più fattori (MFA), crittografia e logging completo degli audit relativo alle azioni amministrative.
- Implementazione rapida: Le implementazioni standard possono essere completate nel giro di poche settimane, a seconda della complessità dell’ambiente e dei requisiti di onboarding. Infatti, il 92% degli MSP di NinjaOne è pienamente operativo entro 30 giorni.
