CMMC Level 2 vs. NIST SP 800-53: die 110 Practices und ihr übergeordneter Katalog

Nach Paul Gillet · Aktualisiert 2026-10-17

CMMC Level 2 ist die Anforderung des US-Verteidigungsministeriums (DoD) an Auftragnehmer, die Controlled Unclassified Information (CUI) verarbeiten. Ihre 110 Practices sind die Sicherheitsanforderungen aus NIST SP 800-171 Rev 2, die das NIST aus der Moderate-Baseline von SP 800-53 abgeleitet und für Nicht-Bundesorganisationen angepasst hat. Die meisten Auftragnehmer der Stufe Level 2 benötigen alle drei Jahre eine Bewertung durch einen Dritten, einen C3PAO.

Da 800-171 aus 800-53 hervorgeht, hat nahezu jede CMMC-Practice ein direktes Gegenstück. ControlMapping verfolgt diese Zuordnungen über die eigenen Zuordnungen des NIST: Anhang D der SP 800-171 Rev 2 sowie die Verweise der SP 800-171 Rev 3 auf SP 800-53. Von SP 800-53 zu CMMC Level 2 betrachtet ist die Abdeckung nahezu vollständig. Eine Ausnahme ist die VoIP-Überwachung (SC.L2-3.13.14): Anhang D ordnet sie SC-19 zu, das das NIST in Rev 5 ohne Nachfolger zurückgezogen hat.

Von CMMC zu 800-53 betrachtet zeigt sich der größte Teil des Katalogs als nicht zugeordnet oder nur lose verwandt. Das ist zu erwarten: CMMC Level 2 ist eine bewusste Teilmenge. Sie lässt Kontrollen weg, die nur für Bundessysteme oder höhere Baselines sinnvoll sind, sowie viele Erweiterungen aus 800-53.

Eine Nuance ist zu beachten: CMMC Level 2 ist auf SP 800-171 Rev 2 festgelegt, obwohl das NIST Rev 3 veröffentlicht hat. Prüfen Sie gegen die Version, die Ihr Vertrag und die CMMC-Regel tatsächlich verlangen.

Auf einen Blick

Wie die drei NIST- und DoD-Dokumente zusammenhängen

• SP 800-53 ist der vollständige Katalog des NIST mit Sicherheits- und Datenschutzkontrollen für Bundessysteme, mit Baselines in SP 800-53B.
• SP 800-171 wählt die Kontrollen aus, die für den Schutz von Controlled Unclassified Information (CUI) in Nicht-Bundessystemen relevant sind, und passt sie an. Revision 2 umfasst 110 Anforderungen, und Anhang D ordnet jede einzelne ihrer 800-53-Quelle zu.
• CMMC Level 2 ist das Programm des DoD, das Auftragnehmer anhand dieser 110 Anforderungen aus SP 800-171 Revision 2 bewertet, mit eigenen Practice-Bezeichnungen, eigener Bewertungslogik und eigenen Zertifizierungsregeln.

CMMC Level 2 ist also eine bewusste Teilmenge von 800-53, die im Kontext von Verteidigungsaufträgen bewertet wird.

Was Revision 3 ändert und warum sie noch nicht gilt

Das NIST hat SP 800-171 Revision 3 im Jahr 2024 veröffentlicht. Sie gleicht die Anforderungen an SP 800-53 Rev 5 an, führt einige zusammen oder zieht sie zurück, ergänzt organisationsdefinierte Parameter und nummeriert sie neu (03.01.01 statt 3.1.1). CMMC Level 2 bleibt auf Revision 2 festgelegt, daher prüfen Bewertungen die Anforderungen aus Rev 2. Rev 3 ist dennoch nützlich: Wo eine Rev-2-Anforderung einer Rev-3-Anforderung entspricht, verwendet ControlMapping die Rev-3-Verweise des NIST als zusätzliche Nachweise, und Organisationen, die vorausplanen, können Kontrollen so gestalten, dass sie beide Revisionen erfüllen.

Wer was benötigt

SP 800-53 gilt für US-Bundesinformationssysteme und für Cloud-Dienste, die eine FedRAMP-Autorisierung anstreben. CMMC Level 2 gilt für Verteidigungsauftragnehmer und Unterauftragnehmer, deren Verträge CUI betreffen. Viele Unternehmen brauchen beides: einen Cloud-Anbieter, der Bundesbehörden unter FedRAMP (800-53) bedient, und Verteidigungsauftragnehmer (CMMC), oder einen Auftragnehmer, dessen eigene Systeme CUI verarbeiten und der zugleich Bundessysteme für einen anderen Kunden betreibt.

Kosten und Aufwand

Für eine Organisation, die bereits eine 800-53-Moderate-Baseline betreibt, erfordert CMMC Level 2 selten neue Technologie. Die Kosten entstehen durch die Abgrenzung der CUI-Umgebung, das Erstellen eines System Security Plan dafür, die Zuordnung von Nachweisen zu jeder Practice und die Bewertung selbst: eine Selbstbewertung oder, bei den meisten Verträgen mit CUI, eine Zertifizierungsbewertung durch einen autorisierten C3PAO alle drei Jahre. Umgekehrt steht ein CMMC-bereiter Auftragnehmer, der eine FedRAMP-Autorisierung anstrebt, einem deutlich größeren Kontrollumfang, dem föderalen Autorisierungsverfahren und der kontinuierlichen Überwachung gegenüber.

Zeitplan bis zur Zertifizierungsbewertung

CMMC-Anforderungen werden schrittweise in DoD-Verträge aufgenommen; eine Drittzertifizierung wird ab der zweiten Phase des Programms in mehr Verträgen verlangt. Ein Auftragnehmer mit einer 800-53-Umgebung benötigt typischerweise zwei bis vier Monate, um CUI abzugrenzen, den System Security Plan zu schreiben und Nachweise zu sammeln, danach folgt eine Selbstbewertung nach der Methodik des DoD und anschließend die C3PAO-Bewertung, deren Terminierung Zeit in Anspruch nehmen kann. Eine bedingte Zertifizierung mit einem begrenzten Maßnahmenplan ist möglich, wenn der Punktwert die erforderliche Mindestgrenze erreicht; offene Punkte müssen innerhalb von 180 Tagen geschlossen werden.

Praxisbeispiel: ein Unterauftragnehmer im Verteidigungsbereich

Ein Ingenieurbüro mit 120 Beschäftigten liefert Komponenten an einen Hauptauftragnehmer und erhält technische Zeichnungen, die als CUI gekennzeichnet sind. Es betreibt bereits SP 800-53 Moderate-Kontrollen für einen separaten Bundesforschungsauftrag. Es grenzt eine CUI-Enklave ab, die seinen Engineering-Dateiserver, die Konstruktionsarbeitsplätze und sein Identitätssystem umfasst, übernimmt seine 800-53-Richtlinien sowie die über Anhang D zugeordneten Nachweise und bestätigt eine FIPS-validierte Verschlüsselung für die Enklave. Seine Selbstbewertung fällt gut aus; die verbleibenden Lücken sind eng begrenzt (VoIP-Überwachung und einige Audit-Einstellungen). Es bucht eine C3PAO-Bewertung und gibt die CUI-Anforderungen an seine beiden eigenen Unterauftragnehmer weiter.

Häufige Fehler

• Den Bundes-Autorisierungsbereich statt des CUI-Bereichs abgrenzen. Beides fällt selten zusammen.
• Annehmen, dass 800-53-Nachweise unverändert passen. Prüfer arbeiten Practice für Practice, mit den Kennungen und Bewertungszielen von CMMC.
• Gemeinsam genutzte Dienste vergessen. Identität, Protokollierung und Verwaltungswerkzeuge, die die CUI-Enklave berühren, gehören zum Geltungsbereich.
• Nicht validierte Kryptografie verwenden, obwohl die Vertraulichkeit von CUI davon abhängt.
• Anforderungen nicht an Unterauftragnehmer weitergeben, die CUI erhalten.

Kernaussagen

• Wenn Sie bereits eine 800-53-Moderate-Baseline betreiben, ist CMMC Level 2 vor allem eine Übung in Nachweisen und Bewertung.
• CMMC → 800-53 (z. B. Übergang zu FedRAMP): Rechnen Sie mit einem großen Sprung im Umfang.
• Prüfen Sie, auf welche 800-171-Revision Ihr Vertrag verweist.

Diesen Vergleich herunterladen (CSV) In der Lückenanalyse öffnen →