Die CMMC Stufen

 Das CMMC-Modell ist pyramidal aufgebaut und passt die Sicherheitsanforderungen an die Sensitivität der verarbeiteten Daten an. Jede Stufe baut auf der vorherigen auf: 

CMMC L1 | Foundational

CMMC Level 1 konzentriert sich auf den Schutz von Federal Contract Information (FCI). Es umfasst 17 grundlegende Cyberhygiene-Praktiken, die durch eine jährliche Selbsteinschätzung nachgewiesen werden.

CMMC L2 | Advanced

CMMC Level 2 richtet sich an Unternehmen, die mit Controlled Unclassified Information (CUI) arbeiten. Dieses Level spiegelt die 110 Sicherheitsanforderungen der NIST SP 800-171 wider und erfordert in der Regel ein unabhängiges Drittanbieter-Audit (C3PAO).

CMMC L3 | Expert

CMMC Level 3 ist für Unternehmen, die an hochkritischen Verteidigungsprogrammen arbeiten und CUI verwalten. Es verlangt die Erfüllung von weit über 110 Controls (basierend auf NIST SP 800-172) zur Abwehr von fortgeschrittenen, anhaltenden Bedrohungen (APTs).

PHASE 1

Vorbereitung & Readiness Assessment

 Zunächst wird der genaue Geltungsbereich (Scoping) definiert – also wo im Unternehmen FCI oder CUI fließen. Anschließend erfolgt eine Bestandsaufnahme (Gap-Analyse) gegen die Controls des angestrebten Levels (z. B. die 110 Controls aus Level 2, aufgeteilt in Domänen wie Zugriffskontrolle oder Systemintegrität). 

PHASE 2

Behebung der Schwachstellen

 Identifizierte Lücken zu den geforderten Controls werden systematisch mit fertigen IT-Lösungsmodulen geschlossen. Für jede nicht erfüllte Sicherheitsanforderung wird ein Maßnahmenplan (Plan of Action and Milestones – POAM) sowie ein System-Sicherheitsplan (System Security Plan – SSP) erstellt, der die Umsetzung der Controls detailliert beschreibt.

PHASE 3

Institutionalisierung & Testlauf

 Die Controls dürfen nicht nur auf dem Papier existieren. In dieser Phase werden die neuen Sicherheitsrichtlinien im Alltag gelebt, Mitarbeiter geschult und die Prozesse durch interne Test-Audits auf ihre Wirksamkeit und Nachweisbarkeit überprüft. 

PHASE 4

Zertifizierung & Kontinuierliche Überwachung

 Abschließend erfolgt das offizielle Audit durch eine akkreditierte Organisation (C3PAO) für Level 2/3 oder die formelle Selbsterklärung für Level 1. Nach erfolgreichem Abschluss gilt es, die Controls durch kontinuierliches Monitoring aufrechtzuerhalten, da Bedrohungen sich ständig weiterentwickeln.