Czym jest CMMC 2.0?
CMMC to ramy oceny dojrzałości cyberbezpieczeństwa stworzone przez Departament Obrony USA (DoD) dla firm z bazy przemysłu obronnego (Defense Industrial Base, DIB). Program powstał, ponieważ wcześniejszy model (samodzielne deklarowanie zgodności z NIST SP 800-171 na podstawie klauzuli DFARS 252.204-7012) nie zapewniał realnej ochrony informacji. CMMC dodaje do istniejących wymagań mechanizm niezależnej weryfikacji.
Wersja 2.0 uprościła pierwotny model z pięciu do trzech poziomów i oparła wymagania bezpośrednio na normach NIST. Program został formalnie ustanowiony przepisem 32 CFR Part 170 (obowiązującym od grudnia 2024), a klauzula kontraktowa 48 CFR (DFARS 252.204-7021) wprowadza wymóg CMMC do umów etapami, w ciągu kilku lat od startu programu. Chronione są dwie kategorie informacji: FCI (Federal Contract Information, czyli informacje kontraktowe nieprzeznaczone do publikacji) oraz CUI (Controlled Unclassified Information, czyli informacje jawne, ale prawnie chronione, na przykład dane techniczne uzbrojenia).
Kogo dotyczy?
CMMC dotyczy każdej firmy, która realizuje kontrakty DoD lub jest podwykonawcą w takim łańcuchu, niezależnie od kraju siedziby. Wymóg spływa w dół łańcucha dostaw (flow-down): główny wykonawca musi wymagać odpowiedniego poziomu CMMC od swoich podwykonawców, jeśli przekazuje im FCI lub CUI. Oznacza to, że również europejskie i polskie firmy dostarczające komponenty, oprogramowanie lub usługi do programów obronnych USA mogą podlegać CMMC.
W praktyce CMMC obejmuje producentów części i elektroniki, firmy inżynieryjne, dostawców oprogramowania i usług IT, firmy logistyczne oraz ośrodki badawcze współpracujące z DoD. Poziom wymagany w danym kontrakcie zależy od rodzaju przetwarzanych informacji: sam FCI oznacza poziom 1, CUI poziom 2, a najbardziej wrażliwe programy poziom 3.
Trzy poziomy CMMC
CMMC 2.0 definiuje trzy poziomy o rosnących wymaganiach i rosnącym rygorze weryfikacji. Kluczowa różnica między poziomami to zakres praktyk oraz to, kto potwierdza zgodność: sama firma, niezależny asesor czy rząd.
- Poziom 1 (Foundational): 15 podstawowych praktyk ochrony FCI (z FAR 52.204-21). Wystarczy coroczna samoocena z afirmacją kierownictwa zgłaszana do systemu SPRS.
- Poziom 2 (Advanced): 110 praktyk z NIST SP 800-171 dla ochrony CUI. Dla większości kontraktów wymagana jest certyfikacja przez niezależną, akredytowaną organizację C3PAO, ważna 3 lata; część kontraktów dopuszcza coroczną samoocenę.
- Poziom 3 (Expert): poziom 2 plus 24 dodatkowe wymagania z NIST SP 800-172 (ochrona przed zaawansowanymi zagrożeniami APT). Ocenę przeprowadza rządowy zespół DIBCAC, a warunkiem wstępnym jest ważna certyfikacja poziomu 2 przez C3PAO.
- Wynik samooceny poziomu 2 (skala od -203 do 110 punktów według metodyki DoD) musi być zgłoszony do SPRS, bo zamawiający sprawdzają go przed udzieleniem kontraktu.
- Warunkowa certyfikacja jest możliwa przy wyniku co najmniej 80% z planem POA&M; praktyki o najwyższej wadze nie mogą trafić do POA&M, a plan trzeba zamknąć w 180 dni.
Jak wygląda ocena?
Ocenę certyfikacyjną poziomu 2 przeprowadza C3PAO (CMMC Third-Party Assessment Organization) akredytowana przez Cyber AB, czyli jednostkę akredytującą ekosystem CMMC. Ocena opiera się na metodyce NIST SP 800-171A. Dla każdej ze 110 praktyk asesorzy badają dowody z trzech perspektyw: przeglądają dokumentację i zapisy, prowadzą wywiady z personelem oraz testują mechanizmy w działaniu.
Fundamentem oceny jest zakres (scoping): przed oceną firma musi skategoryzować swoje zasoby według CMMC Scoping Guide (zasoby przetwarzające CUI, zasoby ochronne, zasoby zarządzane ryzykiem, zasoby wyspecjalizowane i zasoby poza zakresem). Dobrze zaprojektowana enklawa CUI potrafi znacząco zmniejszyć zakres i koszt oceny. Dwa dokumenty są w praktyce obowiązkowe: System Security Plan (SSP), opisujący wdrożenie każdej praktyki, oraz Plan of Action and Milestones (POA&M) dla braków. Certyfikat poziomu 2 jest ważny 3 lata, z coroczną afirmacją zgodności składaną przez kierownictwo w SPRS.
Ile to trwa i kosztuje?
Przygotowanie do poziomu 2 zajmuje zwykle od 6 do 18 miesięcy, w zależności od punktu startowego. Firmy, które od lat realnie stosują NIST SP 800-171, potrzebują głównie uporządkowania dowodów i dokumentacji; firmy zaczynające od zera muszą wdrożyć MFA, segmentację sieci, centralne logowanie, szyfrowanie zwalidowane FIPS 140 i procesy operacyjne, a potem pozwolić im podziałać, żeby powstały zapisy, które asesor może zbadać.
Na koszty składają się: praca własnego zespołu i ewentualnych konsultantów, inwestycje techniczne (na przykład enklawa CUI, tożsamość, SIEM), a przy certyfikacji także ocena przez C3PAO wyceniana rynkowo, zależna od wielkości zakresu i liczby lokalizacji. Szacunki DoD publikowane przy przepisie 32 CFR wskazują, że dla małych i średnich firm ocena certyfikacyjna poziomu 2 to wydatek rzędu ~100-120 tysięcy dolarów w cyklu trzyletnim (ocena plus afirmacje), a największym kosztem pozostaje samo wdrożenie wymagań, które i tak obowiązują od lat na mocy DFARS 252.204-7012. Zawężenie zakresu do enklawy CUI to najskuteczniejsza dźwignia obniżania kosztów.
Jak pomaga Guardiso?
Guardiso prowadzi Cię przez przygotowanie do CMMC 2.0: od pierwszej samooceny i wyniku SPRS po komplet dowodów gotowych na ocenę C3PAO.
- Wszystkie 110 praktyk poziomu 2 (NIST SP 800-171) tworzone automatycznie po włączeniu standardu, z opisami, statusami wdrożenia i właścicielami.
- Samoocena dojrzałości wskazująca luki przed oceną, więc wiesz, co poprawić, zanim zapłacisz za asesora.
- Polityki i procedury generowane z szablonów jako gotowa baza dokumentacyjna pod System Security Plan.
- Zbieranie dowodów per praktyka w jednym miejscu: dokumenty, zadania cykliczne i automatyczne dowody z integracji.
- Rejestr ryzyk i plan postępowania z brakami jako naturalna baza pod POA&M z terminami i właścicielami.
- Mapowanie krzyżowe na ISO 27001, SOC 2 i NIST: praca wykonana dla innych standardów zalicza pokrywające się praktyki CMMC.
- Portal dla asesora: kontrolowany dostęp do dokumentacji i dowodów bez wysyłania plików mailem.