Die Entscheidung des Kriegsministeriums, die Anforderungen für die CMMC-Phase-2-Bewertung zu überprüfen, spiegelt einen echten Konflikt wider, der den Kern der Vergabe von Verteidigungsaufträgen betrifft: Cybersicherheitsrahmenwerke müssen die industrielle Basis der Verteidigungsindustrie stärken, anstatt kleinere Lieferanten durch hohe Kosten aus dem Markt zu drängen. Dieser Konflikt ist berechtigt. Die Kapazitäten für Bewertungen durch Dritte, Kostenbarrieren und die Komplexität der Umsetzung haben die Beteiligung gebremst. Eine Überprüfung war daher gerechtfertigt.

Die Überprüfung ändert den Zeitplan für die Einhaltung der Vorschriften, nicht jedoch das Bedrohungsumfeld. Angreifer haben es nach wie vor auf die Netzwerke von Rüstungsunternehmen, die Kommunikation von Führungskräften und mobile Arbeitsabläufe abgesehen. CUI und FCI sind weiterhin gefährdet, solange Auftragnehmer auf nicht verwaltete Tools, ungesicherte Kanäle oder kommerzielle Messaging-Plattformen zurückgreifen, die nie für Anwendungsfälle im Bereich der nationalen Sicherheit konzipiert wurden.

Für Rüstungsunternehmen geht es nicht in erster Linie darum, ob die CMMC-Zertifizierung zu einem bestimmten Zeitpunkt gültig ist. Vielmehr geht es darum, ob das Unternehmen im Falle einer heutigen Überprüfung eine stichhaltige, dokumentierte Sicherheitslage nachweisen könnte. Diese Sicherheitslage hängt davon ab, was in Echtzeit auf den Geräten und über die Kanäle geschieht, die die Mitarbeiter nutzen.

Was die CMMC-Pause für Rüstungsunternehmen tatsächlich bedeutet

Die Überprüfung der CMMC-Phase 2 durch das DoW hebt bestehende Verpflichtungen nicht auf. Auftragnehmer unterliegen weiterhin der Bestimmung DFARS 252.204–7012, die angemessene Sicherheitsmaßnahmen für geschützte Verteidigungsinformationen vorschreibt. NIST SP 800–171 bleibt weiterhin die Grundlage. Was sich ändert, ist der Zeitplan für die Zertifizierung durch Dritte, nicht die Pflicht zum Schutz sensibler Informationen.

Unternehmen, die die Pause als Freibrief betrachten, Sicherheitsinvestitionen aufzuschieben, könnten bei Wiederaufnahme des Rahmenwerks betrieblichen und vertraglichen Risiken ausgesetzt sein. Zudem bleiben sie auch jetzt weiterhin anfällig für die Angreifer, gegen die das CMMC-Konzept ursprünglich entwickelt wurde.

Die industrielle Basis des Verteidigungssektors ist ein hochkarätiges Ziel. Akteure aus Nationalstaaten und hochentwickelte Cyberkriminelle durchforsten regelmäßig die Netzwerke von Auftragnehmern, um Zugang zu sensiblen Programmdaten, Informationen zur Lieferkette und einsatzbezogenen Kommunikationen zu erlangen.

Wo sensible Informationen am anfälligsten sind

Sicherheitskonzepte konzentrieren sich in der Regel auf Netzwerkgrenzen und die IT-Infrastruktur. Dieser Fokus ist zwar notwendig, reicht aber nicht aus. Sensible Verteidigungsinformationen werden über E-Mail-Verläufe, mobile Messaging-Anwendungen, Sprachanrufe, Plattformen zur Dateifreigabe und dezentrale Tools für die Zusammenarbeit ausgetauscht.

Hier ist das Risiko oft am größten. Kommerzielle Messaging-Plattformen wie WhatsApp, Telegram und herkömmliche SMS bieten keine zentralisierte Richtlinienkontrolle, keine kontinuierliche Identitätsprüfung und keinen Metadatenschutz für geschäftskritische Kommunikation.

Metadaten stellen ein unterschätztes Risiko dar. Selbst wenn der Inhalt von Nachrichten verschlüsselt ist, können Zeitstempel, Anrufprotokolle, die Identitäten der Teilnehmer und Verhaltensmuster sensible betriebliche Informationen preisgeben. Für Rüstungsunternehmen, die mit Regierungsbehörden zusammenarbeiten, ist diese Gefährdung von Bedeutung.

Kommunikationslösungen, die von Grund auf sicher konzipiert sind, nach behördlichen Standards zertifiziert wurden und unter vollständiger Kontrolle der Organisation eingesetzt werden, beheben diese Schwachstellen direkt.

Wie eine tragfähige Sicherheitsstrategie während der Pause aussieht

Für eine tragfähige Sicherheitsstrategie ist es nicht erforderlich, bereits heute über eine CMMC-Zertifizierung zu verfügen. Erforderlich sind jedoch dokumentierte Sicherheitsverfahren, praktische Schutzmaßnahmen in allen betrieblichen Arbeitsabläufen sowie Kommunikationsinstrumente, die Risiken mindern, anstatt neue zu schaffen.

Für Rüstungsunternehmen sollte das aktuelle Umfeld unter verschiedenen Gesichtspunkten bewertet werden.

Identitätsprüfung: Jeder Teilnehmer an einer vertraulichen Kommunikation sollte ausdrücklich autorisiert und fortlaufend überprüft werden. Verbraucheranwendungen authentifizieren Nutzer anhand ihrer Telefonnummer und nicht anhand ihrer organisatorischen Identität.

Verschlüsselte Kommunikation über alle Kanäle hinweg: Eine durchgängige Verschlüsselung für Sprachkommunikation, Nachrichtenübermittlung und Dateiaustausch ist eine Grundvoraussetzung für jedes Tool, das mit CUI oder FCI umgeht. Eine Verschlüsselung, die nur einen Teil der Kommunikationskette abdeckt, lässt Lücken offen, die Angreifer ausnutzen werden.

Keine Offenlegung von Metadaten: Eine sichere Kommunikationsplattform sollte Metadaten schützen und so verhindern, dass Angreifer das Verhalten der Organisation, die Beziehungen zwischen den Mitarbeitern und die Betriebsabläufe nachverfolgen können.

Zentrale Richtliniensteuerung und Transparenz bei der Compliance: Im Gegensatz zu Alternativen für Endverbraucher bietet eine sichere Kommunikationsplattform auf Behördenebene Sicherheitsteams eine zentrale Übersicht, konfigurierbare Datenaufbewahrung und überprüfbare Protokolle. Diese Funktionen unterstützen fundierte Selbstbewertungen und verringern den Aufwand für die Compliance-Dokumentation.

Flexibilität bei der Bereitstellung: Nicht alle Umgebungen von Auftragnehmern sind gleich. Einige erfordern cloudbasierte Lösungen. Andere erfordern eine Bereitstellung vor Ort oder isolierte Umgebungen ohne externe Infrastruktur. Die Unterstützung mehrerer Bereitstellungsmodelle hilft Auftragnehmern dabei, die Kommunikationssicherheit an ihre betrieblichen und vertraglichen Anforderungen anzupassen.

Warum sichere Kommunikation Teil der CMMC-Grundanforderungen sein sollte

Die CMMC-Überprüfung bietet politischen Entscheidungsträgern und Auftragnehmern die Möglichkeit, die Anforderungen an die Cybersicherheit praktikabler zu gestalten. Ein Rahmenwerk, das kleinere Lieferanten aus der Verteidigungsindustrie verdrängt, verfehlt seinen Zweck. Praktikabilität darf jedoch nicht auf Kosten der Sicherheit gehen. Sie sollte zu Kontrollmaßnahmen führen, die einfacher zu implementieren und zu überprüfen sind und die von Angreifern schwerer zu umgehen sind.

Sichere Kommunikation erfüllt diese Anforderungen. Eine zertifizierte, verschlüsselte Kommunikationslösung bietet Auftragnehmern eine regulierte Umgebung für vertrauliche Gespräche, den Austausch von Dateien und Koordinierungsmaßnahmen über Kanäle, die den Sicherheitsstandards der Regierung entsprechen.

Genau diese Art von praktischer, skalierbarer Kontrolle benötigt die Verteidigungsindustrie. BlackBerry® Secure Communications unterstützt einen risikobasierten Ansatz zum Schutz hochsensibler Kommunikation, ohne den täglichen Betriebsablauf unnötig zu beeinträchtigen. Sicherheitslösungen für Anwendungen im Bereich der nationalen Sicherheit müssen zuverlässig genug sein, um Vertrauen zu schaffen, und gleichzeitig so einfach zu handhaben, dass sie von großen, heterogenen und mobilen Belegschaften problemlos genutzt werden können.

BlackBerry Secure Communications ist nach FIPS, Common Criteria, FedRAMP Klasse D (High) und den NATO-Standards für vertrauliche Informationen zertifiziert und validiert und bietet damit das Maß an Sicherheit, das für verteidigungsrelevante Umgebungen erforderlich ist. Auftragnehmer, die sowohl im geheimen als auch im nicht geheimen Bereich tätig sind oder mit mehreren Behörden und Subunternehmern zusammenarbeiten, benötigen eine Lösung, die speziell auf diese Komplexität zugeschnitten ist.

Die weiterreichende Konsequenz: Die Sicherheit der Lieferkette hängt vom schwächsten Glied ab

Die Sicherheit der Lieferketten im Verteidigungsbereich hängt vom schwächsten Glied ab. Große Hauptauftragnehmer verfügen zwar möglicherweise über ausgereifte Sicherheitsprogramme, kleinere Subunternehmer und nicht-traditionelle Lieferanten hingegen oft nicht – dennoch tauschen sie häufig sensible Informationen mit Hauptauftragnehmern und Regierungsbehörden aus.

Genau diese Schwachstelle sollte durch das CMMC-Konzept behoben werden, und sie verschwindet auch während eines Überprüfungszeitraums nicht. Angreifer wissen, dass kleinere Auftragnehmer möglicherweise weniger gut geschützt sind. Sie wissen außerdem, dass die Kommunikationskanäle zwischen Auftragnehmern und staatlichen Kunden wertvolle Angriffsziele darstellen.

Der Schutz dieser Kanäle erfordert mehr als nur Perimetersicherheit. Er erfordert von Grund auf sichere Kommunikationssysteme, die über Organisationsgrenzen hinweg funktionieren, die Interoperabilität zwischen Behörden und Auftragnehmern gewährleisten und einheitliche Sicherheitsstandards einhalten – unabhängig davon, wer die Kommunikation initiiert.

Eine Lösung, die die Kommunikation durchgehend verschlüsselt, die Identität jedes Teilnehmers überprüft, Metadaten schützt und Bereitstellungskonfigurationen von der Cloud bis hin zu vollständig isolierten Umgebungen unterstützt, erfüllt diese Anforderung auf der Ebene der Lieferkette und nicht nur auf der Ebene einzelner Auftragnehmer.

Aus einer Pause Fortschritt machen

Im Rahmen des CMMC-Prüfungsverfahrens sollte jeder Rüstungsunternehmer in der Lage sein, eine Frage zu beantworten: Wie sieht unsere Sicherheitslage heute aus, unabhängig davon, welche Zertifizierungsanforderungen formal gelten?

Unternehmen, die diese Zeit nutzen, um ihre Betriebssicherheit zu stärken, ihre Vorgehensweisen zu dokumentieren und praktische Sicherheitsmaßnahmen einzuführen, werden besser aufgestellt sein, wenn die Anforderungen der Phase 2 wieder in Kraft treten. Unternehmen, die die Pause als Grund zum Abwarten betrachten, werden feststellen, dass sie gleichzeitig in Sachen Sicherheit und Compliance Aufholbedarf haben – und das unter größerem Zeitdruck und in einem Bedrohungsumfeld, das sich weiterentwickelt hat.

Das CMMC-Rahmenwerk existiert im Kern deshalb, weil die Bedrohung real ist. Die Überprüfung ist ein Signal dafür, dass der Weg zur Einhaltung der Vorschriften leichter zu bewältigen sein muss. Verteidigungsunternehmen sollten dieses Signal ernst nehmen: Sie sollten ihre Sicherheit jetzt verstärken und sich aktiv am Compliance-Prozess beteiligen, während dieser sich weiterentwickelt.

Sichere Kommunikation ist ein sinnvoller Ansatzpunkt. Sie behebt eine echte operative Schwachstelle, lässt sich in unterschiedlichen Auftragnehmerumgebungen anwenden und steht im Einklang mit den dokumentierten Sicherheitspraktiken, die für eine stichhaltige Selbstbewertung erforderlich sind.