Compliance Glossar

Die Festlegung des Umfangs Ihrer CMMC-Bewertung ist eine Voraussetzung für einen erfolgreichen Zertifizierungsprozess. Sie schafft die Grundlage, indem sie definiert, was bewertet werden muss. Dieser Ansatz verkürzt die Bewertungsdauer und minimiert die Auswirkungen der Sicherheitsmaßnahmen auf Ihre Mitarbeiter.

Daher ist es unerlässlich, alle Vermögenswerte zu berücksichtigen, unabhängig davon, ob sie innerhalb oder außerhalb des Bewertungsbereichs liegen und kontrollierte, nicht klassifizierte Informationen (CUI) verarbeiten oder nicht für die Verarbeitung nicht klassifizierter Informationen (nCUI) vorgesehen sind. Meinungsverschiedenheiten über den Bewertungsbereich können zu Verzögerungen bei der Zertifizierung führen.

CMMC-Selbstbewertung

Wenn Sie als Organisation, die die CMMC-Zertifizierung anstrebt (OSC), Level 1 erreichen möchten oder als Teilgruppe der Level-2-OSCs nicht-kritische Informationen zur nationalen Sicherheit verarbeiten, können Sie eine Selbstbewertung durchführen. Dies bedeutet, dass der CMMC-Beauftragte Ihrer Organisation die Bewertung intern durchführt.

Selbsteinschätzung Stufe 1

Bei den Bewertungen der Stufe 1 wird beurteilt, wie das OSC Bundesvertragsinformationen (FCI) mithilfe der 17 NIST 800-171-Kontrollen, die für Stufe 1 gelten, schützt. Um die Stufe-1-Konformität zu erreichen, müssen alle Ziele innerhalb dieser 17 Kontrollen erfüllt sein.

Selbsteinschätzung Stufe 2

OSCs der Stufe 2 müssen gemäß NIST 800-171 (A) bewertet werden und alle 110 Bewertungsziele erfüllen. Der Erfolg auf dieser Stufe erfordert einen umfassenden Systemsicherheitsplan (SSP), der detailliert darlegt, wie Richtlinien, Verfahren und Technologien mit jedem Bewertungsziel übereinstimmen.

Sowohl OSCs der Stufen 1 als auch 2 müssen jährlich Selbstbewertungen durchführen. Sie müssen außerdem jährlich eine Bestätigung eines leitenden Unternehmensvertreters vorlegen, die die Einhaltung aller Anforderungen bestätigt. Diese Selbstbewertungen und Bestätigungen müssen im Supplier Performance Risk System (SPRS) des US-Verteidigungsministeriums registriert werden.