CMMC 2.0: cos’è la certificazione CMMC per MSP

La Cybersecurity Maturity Model Certification (CMMC) stabilisce processi, pratiche e requisiti di sicurezza informatica per salvaguardare le informazioni sensibili e non classificate condivise dal Dipartimento della Difesa (DoD) e dai suoi appaltatori e subappaltatori. In particolare, mira a proteggere la base industriale della Difesa (DIB) da attacchi informatici più complessi.

La CMMC 2.0 è stata annunciata nel novembre 2021. La norma finale del programma (32 CFR Part 170) è entrata in vigore nel dicembre 2024. Dopo aver superato la review dell’OIRA il 25 agosto 2025, la norma è ora obbligatoria per gli appalti e l’applicazione dei contratti del Dipartimento della Difesa. Il mancato ottenimento della certificazione potrebbe comportare l’esclusione dalle gare d’appalto e la perdita dei contratti.

Questo articolo illustra come ottenere la certificazione CMMC e tutto ciò che hai bisogno di sapere per diventare conforme alla CMMC.

CMMC per MSP: Cosa c’è da sapere

CMMC, che non va confuso con la certificazione CCSK, è l’acronimo di Cybersecurity Maturity Model Certification. Si tratta di un nuovo standard che si applica a tutti gli appaltatori e subappaltatori del Dipartimento della Difesa (DoD). La certificazione è stata concepita come un quadro di cybersecurity per garantire la protezione delle informazioni sensibili non classificate. Inoltre, funge da protezione contro gli attacchi alla catena di fornitura da parte dei criminali informatici.

La CMMC garantisce che i fornitori e gli appaltatori del Dipartimento della Difesa proteggano le informazioni sensibili e mantengano una solida postura di sicurezza informatica. Si basa sul NIST SP 800-171 al livello 2 e aggiunge requisiti selezionati dal NIST SP 800-172 al livello 3.

Che cos’è il modello CMMC 2.0?

Il modello alla base della CMMC 2.0 è la seconda versione del modello iniziale di cybersecurity. Il modello 1.0 prevedeva un sistema di valutazione a cinque livelli, ognuno dei quali diventava progressivamente più impegnativo e costoso. Il programma 2.0 semplifica questi requisiti a tre livelli.

• Il livello 1 è necessario per le organizzazioni che lavorano con le Federal Contract Information (FCI). Questo livello richiede solo strategie di cybersecurity di base come definito nella FAR 52.204-21, “Basic Safeguarding of Covered Contractor Information Systems“. Si concentra sulla salvaguardia delle informazioni contrattuali federali (FCI). Inoltre, i requisiti del livello 1 della CMMC includono valutazioni di sicurezza e formazione di sensibilizzazione.
• Il livello 2 è necessario per le organizzazioni che lavorano con informazioni non classificate controllate (CUI) ed è conforme ai 110 controlli di sicurezza definiti nel documento NIST 800-171, “Protecting Controlled Unclassified Information in Nonfederal Systems and Organizations“. Il tipo di valutazione dipende dal contratto. Alcuni consentono l’autovalutazione (ogni 3 anni, con conferma annuale), mentre i programmi prioritari richiedono la certificazione C3PAO. POA&Ms può essere utilizzato in casi limitati con una chiusura in 180 giorni.
• Il livello 3 è il livello di conformità più elevato, destinato alle organizzazioni che lavorano con CUI e che sono bersaglio di Advanced Persistent Threats (APT), cioè minacce avanzate persistenti. Richiede la conformità al NIST 800-172, “Enhanced Security Requirements for Protecting Controlled Unclassified Information: Supplemento alla pubblicazione speciale NIST 800-171“. Comprende strategie proattive per individuare e risolvere le minacce. La certificazione viene eseguita dal DIBCAC del Dipartimento della Difesa con un ciclo triennale e affermazioni annuali. Il livello 3 include anche sofisticate capacità di rilevamento e riduzione del rischio e prevede requisiti di hardening del sistema.

Ricordati che i livelli di CMMC si basano l’uno sull’altro. Pertanto, dovrai completare il livello 1 per raggiungere il livello 2 e così via.

La struttura aggiornata ha inoltre semplificato notevolmente gli obiettivi:

• Salvaguardia delle informazioni sensibili e militari.
• Applicare gli standard di sicurezza informatica del DIB per far fronte all’evoluzione delle minacce.
• Garantire la responsabilità della conformità CMMC.
• Costruire una cultura della cybersicurezza e della resilienza informatica.
• Mantenere alta la fiducia del pubblico attraverso standard professionali ed etici.

CMMC 1.0 e 2.0 a confronto

Entrambi i programmi sono essenzialmente identici per quanto riguarda la protezione delle informazioni controllate e non classificate. Ma il programma 2.0 ha apportato diverse modifiche chiave, che possono essere descritte come segue:

• Modello più snello. CMMC 2.0 ha solo tre livelli di conformità, rispetto ai cinque (5) del modello precedente. Inoltre, la CMMC 2.0 è più strettamente allineata ai modelli di cybersecurity del NIST.
• Miglioramento del sistema di autovalutazione. CMMC 2.0 consente a tutte le aziende di Livello 1 e a un sottoinsieme di aziende di Livello 2 di dimostrare la conformità attraverso autovalutazioni, con conseguente maggiore responsabilità.
• Implementazione flessibile. CMMC 2.0 consente alle aziende di definire i propri piani d’azione e le proprie tappe fondamentali (POA e Milestone) in determinate circostanze. Inoltre, consente al Governo di rinunciare all’inclusione dei requisiti CMMC, in presenza di condizioni particolari.

Perché il Dipartimento della Difesa ha creato il programma CMMC 2.0?

Dopo il lancio della CMMC 1.0, i rappresentanti del Dipartimento della Difesa hanno ricevuto un feedback dalle parti interessate. La maggior parte dei commenti sul modello 1.0 riguardava il suo costo attuale e le modalità per aumentare la fiducia nell’ecosistema di valutazione CMMC. Ciò include anche il chiarimento e l’allineamento dei requisiti con altri standard federali e comunemente accettati.

Chi ha bisogno della certificazione CMMC?

Qualsiasi organizzazione che tratta FCI o CUI deve ottenere la certificazione CMMC al livello specificato nel contratto. Se non ha ancora un contratto, dovresti richiedere il livello più adeguato alle sue attuali capacità.

Tieni presente che se hai una clausola DFARS 7012, sei soggetto ai requisiti CMMC.

❗Se il tuo contratto include DFARS 252.204-7012 e gestisci CUI, dovresti ottenere il livello 2 una volta che la CMMC sarà inserita nelle clausole DFARS. L’attuale DFARS 252.204-7019/7020 richiede già l’inserimento dei punteggi dell’autovalutazione NIST 800-171 nell’SPRS.

Qual è la rilevanza della CMMC per gli MSP?

La conformità ai requisiti CMMC potrebbe diventare obbligatoria per i fornitori di servizi gestiti (MSP) che collaborano con clienti legati al Dipartimento della Difesa. Considerando questo scenario, gli MSP dovrebbero sviluppare un piano per soddisfare i requisiti del livello 1 della CMMC. Facendolo, l’attività dei clienti potrà continuare a operare senza problemi. Questo migliorerà anche la sicurezza generale dei clienti non connessi al Dipartimento della Difesa. Molti dei requisiti previsti dal Livello 1 del CMMC possono rappresentare servizi utili da includere nel tuo contratto di servizi gestiti (MSA). Tra questi servizi ci potrebbe essere la capacità di fornire valutazioni di sicurezza e formazione di sensibilizzazione sul tema

Per gli MSP impegnati con altri settori del governo federale e locale, un certo livello di conformità CMMC potrebbe diventare il nuovo standard per le agenzie pubbliche. La percentuale di aziende che subisce una violazione di sicurezza e la richiesta di servizi di cybersecurity sono in aumento. Di conseguenza, la CMMC può servire come guida utile per identificare un percorso di crescita dell’azienda.

Quando la CMMC diventerà obbligatoria nei contratti?

I requisiti per la certificazione del modello di maturità della sicurezza informatica (noti anche come DFARS 252.204-7021) sono stati pubblicati nel gennaio 2024. Le modalità di implementazione e inclusione nei contratti sono state descritte in modo specifico a marzo 2025.

L’attuazione del progetto è iniziata ufficialmente nel novembre 2025 e, a marzo 2026, è in corso di realizzazione una (1) delle quattro (4) fasi previste. La fase finale dovrebbe concludersi entro novembre 2028.

Per evitare esclusioni contrattuali e perdite, gli esperti raccomandano vivamente alle organizzazioni, agli appaltatori e agli MSP interessati di avviare quanto prima l’adeguamento ai requisiti CMMC.

Devo ancora rispettare la CMMC 1.0 ora che è stata pubblicata la CMMC 2.0?

Una volta che il CMMC 2.0 sarà codificato nel DFARS, il DoD richiederà a tutte le aziende di aderire al quadro CMMC rivisto.

Attualmente, il CMMC 1.0 è richiesto solo in contratti pilota selezionati, come approvato dall’Office of the Under Secretary for Acquisition and Sustainment (OUSD – A&S)

Come faccio a sapere di quale livello di certificazione ho bisogno?

Per la maggior parte dei contratti, i requisiti MSP relativi al CMMC non andranno oltre la certificazione di Livello 1. Si tratta di un primo passo importante che tutti gli appaltatori e subappaltatori del Dipartimento della Difesa dovrebbero compiere. Oltre a ciò, i nuovi contratti indicheranno il livello CMMC richiesto.

Quanto costa ottenere la certificazione CMMC?

Si stima che il rispetto del livello 1 di CMMC, lo standard più basso, costerà 3.000 dollari all’anno.

Da qui, il costo della certificazione CMMC per ogni livello successivo aumenta sostanzialmente. Secondo il Dipartimento della Difesa, il costo minimo per il livello 2 del CMMC è, in media, di 100.000 dollari. E questa cifra può comunque aumentare. Dipenderà anche da altri fattori, come la possibilità di effettuare un’autovalutazione e l’eventuale necessità di competenze esterne.

Quali sono i requisiti di ogni livello di CMMC?

I requisiti di CMMC 2.0 sono fortemente influenzati dagli standard e dalle linee guida del NIST. Possiamo riassumere questi requisiti come segue:

Come posso ottenere la certificazione CMMC?

1. Effettua un’autovalutazione utilizzando gli standard NIST 800-171.
2. Crea un piano d’azione e delle tappe (POA & Ms) in base al punteggio ottenuto dall’autovalutazione. Tenta di raggiungere il punteggio massimo di 110.
3. Presenta il punteggio al Supplier Performance Risk System (SPRS) del Dipartimento della Difesa.
4. Identifica l’ambito dei tuoi servizi. Tieni a mente che Cyber-AB, l’organismo ufficiale di accreditamento dell’ecosistema CMMC, ha rilasciato solo la guida alla valutazione per la CMMC 2.0 di Livello 1 e 2.
5. Pianifica una valutazione preliminare da parte di un’organizzazione terza per identificare le lacune nel tuo processo di sicurezza delle informazioni. Questo passaggio è facoltativo, ma consigliato. 
6. Correggi le lacune di sicurezza individuate al punto 5.
7. Utilizza il marketplace Cyber-AB per trovare una C3PAO come NSF-ISR per pianificare la tua valutazione CMMC.
8. Sottoponiti alla valutazione CMMC.
   1. La fase 1 comprende la pianificazione della pre-valutazione, l’identificazione dei membri del team di valutazione e una stima preliminare dei costi e delle attività necessarie, o almeno del loro ordine di grandezza.
   2. La fase 2 riguarda la valutazione C3PAI vera e propria. Include un’analisi e una revisione delle prove oggettive relative alle pratiche CMMC.
   3. La fase 3 consiste nella stesura di un report post-valutazione, che comprende una revisione di garanzia della qualità ed eventuali raccomandazioni.
   4. La Fase 4 può richiedere una correzione se l’organizzazione non soddisfa determinati requisiti CMMC. In genere, c’è un termine di 90 giorni per risolvere eventuali carenze.
9. A questo punto potrai ottenere la tua certificazione CMMC.

Ricordati che le aziende non possono presentare la loro autovalutazione per il CMMC ai livelli più alti. Saranno invece agenzie terze a condurre un audit imparziale e a identificare il livello di maturità della sicurezza della tua organizzazione.

Un fornitore di servizi gestiti o un organizzatore di valutazioni di terze parti (C3PAO) possono aiutarti a comprendere meglio il quadro CMMC. Una figura di questo tipo potrà aiutarti a capire anche quali miglioramenti possono essere apportati per rendere più semplice il processo di certificazione.

Come NinjaOne aiuta i professionisti dell’IT a ottenere la certificazione CMMC

Garantendo che i tuoi servizi possano essere forniti attraverso il cloud per accelerare gli sforzi di conformità CMMC e ridurre i costi. Sfruttando gli strumenti cloud, i professionisti IT possono allinearsi a molte pratiche CMMC. In particolare a quelle che migliorano la sicurezza informatica dell’intera organizzazione e riducono i rischi.

Un software di monitoraggio e gestione remota basato sul cloud, come quello offerto da NinjaOne, può essere un elemento importante nella catena di strumenti di cybersecurity. Questi strumenti accelerano il rilevamento delle vulnerabilità e ottimizzano la gestione della sicurezza. Ma gli strumenti possono essere sfruttati anche per coordinare e organizzare molte funzionalità di sicurezza fondamentali, come il patch management e l’antivirus.