Framework
CMMC Level 2
Worum es geht
Die Cybersecurity Maturity Model Certification des US Department of Defense. Level 2 umfasst die 110 Sicherheitsanforderungen aus NIST SP 800-171 Rev 2 zum Schutz von Controlled Unclassified Information (CUI). Die Programmregel trat im Dezember 2024 in Kraft, vertragliche Anforderungen werden ab November 2025 schrittweise eingeführt.
Für wen es relevant ist
Verteidigungsauftragnehmer und Unterauftragnehmer, die CUI verarbeiten, speichern oder übertragen.
So wird geprüft
Entweder eine Selbstbewertung oder, für die meisten CUI-Verträge, eine Zertifizierungsbewertung durch einen akkreditierten externen Bewerter (C3PAO), alle drei Jahre mit einer jährlichen Bestätigung. Für einige Anforderungen ist ein begrenzter Plan of Action and Milestones zulässig, der innerhalb von 180 Tagen geschlossen werden muss.
110
Praktiken
109
Einem anderen Framework zugeordnet
78%
Abgedeckte Themen (39/50)
Vergleiche
Anforderungen
Anforderungs-IDs und Titel werden so angezeigt, wie jedes Framework sie veröffentlicht, auf Englisch.
| ID | Anforderung | Themen | Zugeordnet in |
|---|---|---|---|
| AC Access Control · 22 | |||
| AC.L2-3.1.1 | Authorized Access Control | Zugriffskontrolle, Zero Trust | 11 von 13 |
| AC.L2-3.1.2 | Transaction & Function Control | Zugriffskontrolle | 11 von 13 |
| AC.L2-3.1.3 | Control CUI Flow | DLP | 7 von 13 |
| AC.L2-3.1.4 | Separation of Duties | — | 1 von 13 |
| AC.L2-3.1.5 | Least Privilege | Privilegierter Zugriff | 10 von 13 |
| AC.L2-3.1.6 | Non-Privileged Account Use | Privilegierter Zugriff | 10 von 13 |
| AC.L2-3.1.7 | Privileged Functions | Privilegierter Zugriff | 10 von 13 |
| AC.L2-3.1.8 | Unsuccessful Logon Attempts | — | 1 von 13 |
| AC.L2-3.1.9 | Privacy & Security Notices | — | 1 von 13 |
| AC.L2-3.1.10 | Session Lock | — | 1 von 13 |
| AC.L2-3.1.11 | Session Termination | — | 1 von 13 |
| AC.L2-3.1.12 | Control Remote Access | — | 1 von 13 |
| AC.L2-3.1.13 | Remote Access Confidentiality | Verschlüsselung | 10 von 13 |
| AC.L2-3.1.14 | Remote Access Routing | — | 1 von 13 |
| AC.L2-3.1.15 | Privileged Remote Access | — | 1 von 13 |
| AC.L2-3.1.16 | Wireless Access Authorization | — | 1 von 13 |
| AC.L2-3.1.17 | Wireless Access Protection | — | 1 von 13 |
| AC.L2-3.1.18 | Mobile Device Connection | Mobile Security | 7 von 13 |
| AC.L2-3.1.19 | Encrypt CUI on Mobile | Verschlüsselung, Mobile Security | 11 von 13 |
| AC.L2-3.1.20 | External Connections | Cloud-Sicherheit | 11 von 13 |
| AC.L2-3.1.21 | Portable Storage Use | — | 1 von 13 |
| AC.L2-3.1.22 | Control Public Information | — | 1 von 13 |
| AT Awareness and Training · 3 | |||
| AT.L2-3.2.1 | Role-Based Risk Awareness | Awareness & Training | 10 von 13 |
| AT.L2-3.2.2 | Role-Based Training | Awareness & Training | 10 von 13 |
| AT.L2-3.2.3 | Insider Threat Awareness | Awareness & Training, Insider-Bedrohungen | 10 von 13 |
| AU Audit and Accountability · 9 | |||
| AU.L2-3.3.1 | System Auditing | Protokollierung & Audit | 10 von 13 |
| AU.L2-3.3.2 | User Accountability | Protokollierung & Audit, Insider-Bedrohungen | 11 von 13 |
| AU.L2-3.3.3 | Event Review | — | 1 von 13 |
| AU.L2-3.3.4 | Audit Failure Alerting | — | 1 von 13 |
| AU.L2-3.3.5 | Audit Correlation | SIEM / SOC | 10 von 13 |
| AU.L2-3.3.6 | Reduction & Reporting | Forensik | 7 von 13 |
| AU.L2-3.3.7 | Authoritative Time Source | Protokollierung & Audit | 10 von 13 |
| AU.L2-3.3.8 | Audit Protection | — | 1 von 13 |
| AU.L2-3.3.9 | Audit Management | — | 1 von 13 |
| CA Security Assessment · 4 | |||
| CA.L2-3.12.1 | Security Control Assessment | Compliance | 10 von 13 |
| CA.L2-3.12.2 | Plan of Action | — | 1 von 13 |
| CA.L2-3.12.3 | Security Control Monitoring | — | 1 von 13 |
| CA.L2-3.12.4 | System Security Plan | — | 1 von 13 |
| CM Configuration Management · 9 | |||
| CM.L2-3.4.1 | System Baselining | Asset-Management, Sichere Konfiguration | 13 von 13 |
| CM.L2-3.4.2 | Security Configuration Enforcement | Sichere Konfiguration | 9 von 13 |
| CM.L2-3.4.3 | System Change Management | — | 1 von 13 |
| CM.L2-3.4.4 | Security Impact Analysis | — | 1 von 13 |
| CM.L2-3.4.5 | Access Restrictions for Change | — | 1 von 13 |
| CM.L2-3.4.6 | Least Functionality | Sichere Konfiguration | 9 von 13 |
| CM.L2-3.4.7 | Nonessential Functionality | Sichere Konfiguration | 9 von 13 |
| CM.L2-3.4.8 | Application Execution Policy | — | 1 von 13 |
| CM.L2-3.4.9 | User-Installed Software | — | 1 von 13 |
| IA Identification and Authentication · 11 | |||
| IA.L2-3.5.1 | Identification | — | 1 von 13 |
| IA.L2-3.5.2 | Authentication | — | 1 von 13 |
| IA.L2-3.5.3 | Multifactor Authentication | Multi-Faktor-Authentifizierung | 10 von 13 |
| IA.L2-3.5.4 | Replay-Resistant Authentication | — | 1 von 13 |
| IA.L2-3.5.5 | Identifier Reuse | — | 1 von 13 |
| IA.L2-3.5.6 | Identifier Handling | — | 1 von 13 |
| IA.L2-3.5.7 | Password Complexity | — | 1 von 13 |
| IA.L2-3.5.8 | Password Reuse | — | 1 von 13 |
| IA.L2-3.5.9 | Temporary Passwords | — | 1 von 13 |
| IA.L2-3.5.10 | Cryptographically-Protected Passwords | — | 1 von 13 |
| IA.L2-3.5.11 | Obscure Feedback | — | 1 von 13 |
| IR Incident Response · 3 | |||
| IR.L2-3.6.1 | Incident Handling | Incident Response, Mitigation, Erkenntnisse aus Vorfällen | 12 von 13 |
| IR.L2-3.6.2 | Incident Reporting | Kommunikation, Meldung, Kommunikation & Wiederherstellung | 12 von 13 |
| IR.L2-3.6.3 | Incident Response Testing | Incident Response | 12 von 13 |
| MA Maintenance · 6 | |||
| MA.L2-3.7.1 | Perform Maintenance | — | 1 von 13 |
| MA.L2-3.7.2 | System Maintenance Control | — | 1 von 13 |
| MA.L2-3.7.3 | Equipment Sanitization | — | 1 von 13 |
| MA.L2-3.7.4 | Media Inspection | — | 1 von 13 |
| MA.L2-3.7.5 | Nonlocal Maintenance | — | 1 von 13 |
| MA.L2-3.7.6 | Maintenance Personnel | — | 1 von 13 |
| MP Media Protection · 9 | |||
| MP.L2-3.8.1 | Media Protection | — | 1 von 13 |
| MP.L2-3.8.2 | Media Access | — | 1 von 13 |
| MP.L2-3.8.3 | Media Disposal | Datenschutz | 11 von 13 |
| MP.L2-3.8.4 | Media Markings | Datenklassifizierung | 9 von 13 |
| MP.L2-3.8.5 | Media Accountability | — | 1 von 13 |
| MP.L2-3.8.6 | Portable Storage Encryption | Verschlüsselung | 10 von 13 |
| MP.L2-3.8.7 | Removable Media | — | 1 von 13 |
| MP.L2-3.8.8 | Shared Media | — | 1 von 13 |
| MP.L2-3.8.9 | Protect Backups | Backup & Recovery | 11 von 13 |
| PE Physical Protection · 6 | |||
| PE.L2-3.10.1 | Limit Physical Access | Physische Sicherheit | 8 von 13 |
| PE.L2-3.10.2 | Monitor Facility | Physische Sicherheit | 8 von 13 |
| PE.L2-3.10.3 | Escort Visitors | Physische Sicherheit | 8 von 13 |
| PE.L2-3.10.4 | Physical Access Logs | Physische Sicherheit | 8 von 13 |
| PE.L2-3.10.5 | Manage Physical Access | Physische Sicherheit | 8 von 13 |
| PE.L2-3.10.6 | Alternative Work Sites | Physische Sicherheit | 8 von 13 |
| PS Personnel Security · 2 | |||
| PS.L2-3.9.1 | Screen Individuals | Insider-Bedrohungen | 8 von 13 |
| PS.L2-3.9.2 | Personnel Actions | — | 1 von 13 |
| RA Risk Assessment · 3 | |||
| RA.L2-3.11.1 | Risk Assessments | Risikomanagement, Risikobewertung | 10 von 13 |
| RA.L2-3.11.2 | Vulnerability Scan | Schwachstellenmanagement | 13 von 13 |
| RA.L2-3.11.3 | Vulnerability Remediation | Schwachstellenmanagement | 13 von 13 |
| SC System and Communications Protection · 16 | |||
| SC.L2-3.13.1 | Boundary Protection | Firewall / Netzsegmentierung, Webanwendungssicherheit, Zero Trust | 9 von 13 |
| SC.L2-3.13.2 | Security Engineering | Sichere Entwicklung | 8 von 13 |
| SC.L2-3.13.3 | Role Separation | — | 1 von 13 |
| SC.L2-3.13.4 | Shared Resource Control | — | 1 von 13 |
| SC.L2-3.13.5 | Public-Access System Separation | Firewall / Netzsegmentierung | 9 von 13 |
| SC.L2-3.13.6 | Network Communication by Exception | Firewall / Netzsegmentierung, Zero Trust | 9 von 13 |
| SC.L2-3.13.7 | Split Tunneling | — | 1 von 13 |
| SC.L2-3.13.8 | Data in Transit | Verschlüsselung | 10 von 13 |
| SC.L2-3.13.9 | Connections Termination | — | 1 von 13 |
| SC.L2-3.13.10 | Key Management | Verschlüsselung | 10 von 13 |
| SC.L2-3.13.11 | CUI Encryption | Verschlüsselung | 10 von 13 |
| SC.L2-3.13.12 | Collaborative Device Control | — | 1 von 13 |
| SC.L2-3.13.13 | Mobile Code | — | 1 von 13 |
| SC.L2-3.13.14 | Voice over Internet Protocol | — | keine |
| SC.L2-3.13.15 | Communications Authenticity | — | 1 von 13 |
| SC.L2-3.13.16 | Data at Rest | Verschlüsselung, Datenschutz | 11 von 13 |
| SI System and Information Integrity · 7 | |||
| SI.L2-3.14.1 | Flaw Remediation | Patch-Management | 10 von 13 |
| SI.L2-3.14.2 | Malicious Code Protection | Endpoint-Schutz, E-Mail-Sicherheit | 10 von 13 |
| SI.L2-3.14.3 | Security Alerts & Advisories | Threat Intelligence | 6 von 13 |
| SI.L2-3.14.4 | Update Malicious Code Protection | Endpoint-Schutz | 10 von 13 |
| SI.L2-3.14.5 | System & File Scanning | — | 1 von 13 |
| SI.L2-3.14.6 | Monitor Communications for Attacks | Kont. Überwachung, Angriffserkennung | 11 von 13 |
| SI.L2-3.14.7 | Identify Unauthorized Use | Kont. Überwachung, Anomalieerkennung | 10 von 13 |
Themenabdeckung
Themen mit zugeordneten CMMC-Anforderungen (39):
Awareness & TrainingRisikomanagementComplianceAsset-ManagementRisikobewertungDatenklassifizierungSchwachstellenmanagementThreat IntelligenceZugriffskontrolleMulti-Faktor-AuthentifizierungVerschlüsselungDatenschutzBackup & RecoveryPrivilegierter ZugriffFirewall / NetzsegmentierungEndpoint-SchutzPatch-ManagementSichere KonfigurationSichere EntwicklungE-Mail-SicherheitWebanwendungssicherheitZero TrustMobile SecurityCloud-SicherheitDLPKont. ÜberwachungProtokollierung & AuditAngriffserkennungAnomalieerkennungSIEM / SOCIncident ResponseForensikKommunikationMitigationMeldungErkenntnisse aus VorfällenKommunikation & WiederherstellungInsider-BedrohungenPhysische Sicherheit
Keine Zuordnung in unseren Daten Keine CMMC-Anforderung (11):