CMMC 2.0 (Certifiering för mognadsmodell för cybersäkerhet)

CMMC 2.0 (Cybersecurity Maturity Model Certification) är ett certifieringsramverk från det amerikanska försvarsdepartementet, med tre nivåer i linje med NIST SP 800-171 och 800-172, vilket kräver att försvarsentreprenörer oberoende verifierar de kryptografiska och cybersäkerhetskontroller som skyddar federal kontraktsinformation och kontrollerad oklassificerad information.

CMMC 2.0 kräver att försvarsentreprenörer certifierar sig på en av tre nivåer baserat på känsligheten hos den information de hanterar. DFARS-förvärvsregeln trädde i kraft den 10 november 2025 och införlivade CMMC-krav i DoD-kontrakt, med kryptografirelaterade kontroller, inklusive FIPS-validerad kryptering och nyckelskydd, centrala för att uppfylla NIST SP 800-171:s krav på nivå 2.

Key Takeaways

• CMMC 2.0 har tre nivåer: Nivå 1 (Grundläggande, 15 metoder, självutvärderade, för FCI), Nivå 2 (anpassad till NIST SP 800-171, för CUI, tredjepartsutvärderad) och Nivå 3 (lägger till 24 förbättrade NIST SP 800-172-kontroller för avancerat försvar mot ihållande hot).
• DFARS-förvärvsregeln (32 CFR Part 170 och DFARS 252.204-7021) trädde i kraft den 10 november 2025, och inleddes en stegvis utrullning fram till full implementering den 10 november 2028.
• Nivå 2-certifiering kräver en tredjepartsbedömning (C3PAO) och blir ett kontraktskrav från och med den 10 november 2026 för de flesta entreprenörer som hanterar CUI.
• NIST SP 800-171:s kryptografiska kontroller, inklusive kravet på FIPS-validerad kryptering för CUI i vila och under överföring, är bland de tekniskt mest krävande kraven på nivå 2.
• CBOM-verktyg (Cryptography Bill of Materials) mappar direkt till CMMC:s kryptografiska kontrollkrav, eftersom det är avgörande för att klara en bedömning att visa exakt vilka algoritmer och nyckellängder som skyddar CUI.

Vilka är datumen för den stegvisa utrullningen av CMMC 2.0?

Fas	Datum	Krav
Fas 1	November 10, 2025	Självbedömningar på nivå 1 och nivå 2 i tillämpliga kontrakt
Fas 2	November 10, 2026	Tredjepartscertifiering på nivå 2 (C3PAO) krävs för de flesta CUI-kontrakt
Fas 3	November 10, 2027	Bedömningskrav för nivå 3 börjar
Fas 4	November 10, 2028	Fullständig implementering i alla tillämpliga försvarsdepartementets kontrakt

Vilka kryptografiska kontroller kräver CMMC 2.0?

CMMC 2.0:s nivå 2-krav överensstämmer direkt med NIST SP 800-171 , som inkluderar kontrollfamiljer som täcker kryptering av kontrollerad oklassificerad information både i vila och under överföring, vilket vanligtvis kräver FIPS-validerade kryptografiska moduler. Nivå 3 lägger till utökade krav från NIST SP 800-172, som syftar till att försvara sig mot avancerade ihållande hot, vilket ytterligare höjer ribban för nyckelhantering och kryptografisk säkring för entreprenörer som hanterar den mest känsliga informationen.

Hur stöder en kryptografisk materiallista (CBOM) CMMC-efterlevnad?

En central utmaning i en CMMC-bedömning är att konkret visa vilka kryptografiska algoritmer, nyckellängder och moduler som skyddar CUI i en organisations system, snarare än att hävda efterlevnad i allmänna termer. En CBOM tillhandahåller den konkreta inventeringen: en granskningsbar registrering av varje kryptografisk tillgång som används, som direkt kopplas till de bevis en C3PAO-bedömare förväntar sig att se när de verifierar NIST SP 800-171:s krypteringsrelaterade kontroller.

Vad bör försvarsentreprenörer göra för att förbereda sig för sin CMMC-bedömning?

1. Bestäm den erforderliga CMMC-nivån baserat på om dina kontrakt innefattar FCI (nivå 1) eller CUI (nivå 2 eller högre).
2. Bygg ett kryptografiskt inventarium (CBOM) som täcker alla system som lagrar, bearbetar eller överför CUI.
3. Bekräfta att kryptografiska moduler som skyddar CUI är FIPS-validerade och åtgärda luckor inför en tredjepartsbedömning.
4. Dokumentera en handlingsplan och milstolpar (POA&M) för eventuella utestående luckor och åtgärda inom det obligatoriska fönstret för att uppnå slutlig CMMC-status.
5. Schemalägg en C3PAO-bedömning i god tid före den tillämpliga fasdeadlinen för ditt kontrakt, eftersom tillgängligheten för bedömare är begränsad under certifieringstoppar.

Hur krypteringskonsulting hjälper

Hur krypteringskonsulttjänster hjälper CBOM Secure bygger den kryptografiska inventering som en CMMC-bedömning kräver, och kartlägger varje algoritm och nyckel till de specifika NIST SP 800-171- och 800-172-kontroller som den uppfyller, medan Compliance Advisory Services vägleder entreprenörer genom hela certifieringsprocessen. Stöds av ISO/IEC 27001:2022- och SOC 2-certifierade metoder.

Vanliga frågor om partihandel med mat och dryck

När blir CMMC 2.0 ett kontraktskrav?

DFARS-förvärvsregeln trädde i kraft den 10 november 2025 och inledde fas 1 med krav på självbedömning på nivå 1 och 2. Nivå 2-certifiering från tredje part krävs för de flesta CUI-hanteringskontrakt från och med den 10 november 2026.

Vad är skillnaden mellan CMMC nivå 1 och nivå 2?

Nivå 1 (Grundläggande) omfattar 15 grundläggande rutiner för entreprenörer som hanterar federal kontraktsinformation (FCI), verifierad genom årlig självbedömning. Nivå 2 överensstämmer helt med NIST SP 800-171 för entreprenörer som hanterar kontrollerad oklassificerad information (CUI), och kräver generellt tredjepartscertifiering (C3PAO).

Kräver CMMC FIPS-validerad kryptering?

NIST SP 800-171, som CMMC Level 2 överensstämmer med, kräver krypteringskontroller för CUI som vanligtvis kräver FIPS-validerade kryptografiska moduler. Entreprenörer bör bekräfta att deras specifika implementering uppfyller aktuell FIPS 140-3-valideringsstatus innan en bedömning.

Vad är en CBOM och varför är den viktig för CMMC?

En kryptografisk materiallista (CBOM) är en inventering av varje kryptografisk algoritm, nyckel och modul som används i en organisations system. Den är viktig för CMMC eftersom bedömare behöver konkreta bevis på vilken kryptografi som skyddar CUI, och en CBOM tillhandahåller dessa bevis direkt.

Bygg de kryptografiska bevis som din CMMC-bedömning behöver

Ta nästa steg. CBOM Secure bygger den kryptografiska inventering som din CMMC Level 2- eller Level 3-bedömning kräver, och Compliance Advisory Services vägleder dig genom certifieringen. Upptäck din kryptografi med CBOM Secure.