Kontinuierliche Nachweise für CMMC Level 2 und NIST 800-171
Warum Verteidigungsauftragnehmer die jährliche Selbstbewertung hinter sich lassen
01Ihr Score stimmt nur an dem Tag, an dem Sie ihn berechnen. Alles danach ist eine Annahme.
Kontinuierlich statt jährlich
Kontrollen werden täglich gegen Live-Telemetrie bewertet, statt einmal im Jahr für den Prüfer rekonstruiert zu werden.
CUI jederzeit bekannt
Controlled Unclassified Information wird in der Datenschicht erkannt und gekennzeichnet, sodass Sie immer wissen, wo sie liegt und wer darauf zugegriffen hat.
Nachweise, die sich selbst belegen
Jeder Kontrollzustand ist durch ein signiertes Systemereignis belegt, nicht durch einen Screenshot aus der Woche vor dem Eintreffen des C3PAO.
Eine Engine, viele Frameworks
Dasselbe Ereignis erfüllt Pflichten nach CMMC, FedRAMP und NIST CSF, ohne dass ein zweites Nachweisprogramm nötig wird.
Was Ihre Verteidigungs- und Compliance-Teams automatisieren können
02Eine Engine über den gesamten DoD-Berichtszyklus – von der CUI-Bereinigung bis zur kontinuierlichen CMMC-Bewertung und dem POA&M-Management.
Kontinuierliche CMMC 2.0-Compliance
Live-Netzwerktelemetrie wird in Echtzeit direkt auf NIST 800-171- und CMMC Level 2/3-Kontrollen abgebildet – jenseits statischer, jährlicher Selbstbewertungen.
CUI- & FCI-Datenverfolgung
Controlled Unclassified Information wird in Ihrer gesamten Infrastruktur erkannt, gekennzeichnet und überwacht, während sie durch die Datenschicht fließt.
Automatisierte SSP-Erstellung
Ihr System Security Plan (SSP) wird dynamisch auf Basis der tatsächlichen Echtzeit-Konfiguration und Ereignisdaten Ihrer Umgebung entworfen und aktualisiert.
POA&M-Management in Echtzeit
Plan-of-Action-and-Milestones-Aufgaben (POA&M) werden automatisch erzeugt und verfolgt, sobald das Versagen einer technischen Kontrolle erkannt wird.
Überwachung sicherer Enklaven
Boundary-Protection-Protokolle werden kontinuierlich erfasst und validiert, um die vollständige Isolation Ihrer Bundesdatenumgebungen sicherzustellen.
Bereitschaft zur Vorfallmeldung
Fortgeschrittene Bedrohungen werden per KI-Klassifizierung erkannt, und der vorgeschriebene 72-Stunden-Cybervorfallbericht an das DoD wird automatisch mit der erforderlichen Forensik entworfen.
Zugriffs- & Identitätsprüfung
Authentifizierungsprotokolle und Zugriffsereignisse werden über die gesamte Pipeline korreliert, um für den CUI-Zugriff eine strikte Durchsetzung des Least-Privilege-Prinzips sicherzustellen.
Integration von Lieferkettenrisiken
Compliance-Status von Unterauftragnehmern werden überwacht und erfasst, damit CMMC-Anforderungen in Ihrem gesamten Lieferantenpool weitergegeben werden.
Multi-Framework-Mapping
CMMC-, FedRAMP- und NIST-CSF-Anforderungen werden gleichzeitig erfüllt, indem ein einzelnes Sicherheitsereignis über mehrere bundesrechtliche Compliance-Domänen orchestriert wird.
Jährliche Selbstbewertung vs. kontinuierliche Engine für Bundesanforderungen
03Die meisten Readiness-Werkzeuge liefern einmal im Jahr einen Score. Klappen Sie eine Zeile auf, um zu sehen, was der Unterschied bewirkt.
Ein jährlicher Workshop erzeugt einen SPRS-Score, der bereits am Tag nach der Einreichung zu driften beginnt.
Typisches Artefakt Tabellen-Score ohne zugrunde liegende Ereignishistorie.
Live-Telemetrie wird jeder NIST 800-171-Practice zugeordnet, sobald Ereignisse eintreffen – der Kontrollzustand ist jederzeit aktuell.
Erzeugter Nachweis
- Zeitleiste je Practice mit jedem bestandenen und fehlgeschlagenen Ereignis
- Zeitgestempelte Drift-Warnungen mit dem auslösenden Systemereignis
Discovery-Scans finden CUI erst, nachdem sie sich bereits in Freigaben, Postfächer und Backups außerhalb der Enklave verbreitet haben.
Typisches Artefakt Remediation-Ticket mit einer Liste exponierter Dateien.
CUI und FCI werden im Datenstrom erkannt und gekennzeichnet, sodass kontrollierte Daten ab dem Moment ihres Auftretens verfolgt werden.
Erzeugter Nachweis
- Kennzeichnungsprotokoll je Datenfluss mit angewandter Handhabungsrichtlinie
- Grenzkarte der Systeme, die nachweislich außerhalb der Enklave liegen
Ein einmal geschriebenes und von Hand gepflegtes Dokument, das eine Architektur beschreibt, die sich längst verändert hat.
Typisches Artefakt Statisches Word-Dokument mit veraltetem Revisionsdatum.
Der SSP wird aus tatsächlicher Konfiguration und Ereignisdaten erzeugt und beschreibt die Umgebung so, wie sie heute läuft.
Erzeugter Nachweis
- Versionierter SSP mit der Konfigurationsquelle zu jeder Aussage
- Änderungsprotokoll, das jede Revision mit dem auslösenden Ereignis verknüpft
Lücken werden bei der Prüfungsvorbereitung entdeckt – Wochen oder Monate, nachdem die Kontrolle tatsächlich versagt hat.
Typisches Artefakt POA&M-Liste, kurz vor dem Audit zusammengestellt.
Ein POA&M-Eintrag wird in dem Moment eröffnet, zugewiesen und verfolgt, in dem eine technische Kontrolle versagt – mit angehängtem Nachweis des Versagens.
Erzeugter Nachweis
- POA&M-Einträge mit Erkennungszeitstempel und Remediation-Historie
- Abschlussnachweis, der zeigt, dass die Kontrolle wieder besteht
Jedes Framework läuft als eigenes Programm mit eigenen Verantwortlichen, Fragebögen und Nachweiserhebung.
Typisches Artefakt Duplizierte Nachweise je Framework.
Ein Ereignis wird jedem Framework zugeordnet, das es erfüllt, sodass CMMC, FedRAMP und NIST CSF gemeinsam voranschreiten.
Erzeugter Nachweis
- Framework-übergreifende Abdeckungskarte je Kontrollereignis
- Lückenbericht, der nur tatsächlich nicht abgedeckte Anforderungen zeigt
So arbeitet die Engine
04Vier Stufen, die kontinuierlich über den gesamten DoD-Berichtszyklus laufen.
Erfassen
Protokolle der Enklavengrenze, Identitätsereignisse, Endpunkttelemetrie und Bestätigungen von Unterauftragnehmern fließen in eine einzige gesteuerte Pipeline.
Klassifizieren
CUI und FCI werden im Datenfluss erkannt und gekennzeichnet, sodass kontrollierte Daten verfolgt werden, wohin sie sich auch bewegen.
Bewerten
Jedes Ereignis wird gegen NIST 800-171- und CMMC Level 2/3-Practices bewertet; POA&M-Einträge werden sofort eröffnet, wenn eine Kontrolle versagt.
Nachweisen
SSP, POA&M und Vorfallberichte werden aus diesen Nachweisen erzeugt und für Ihren C3PAO prüfungsbereit gehalten.
Die CMMC-Kontrollen, die DECIMA ausführt
059 NIST 800-171-Practices, kontinuierlich über die gesamte Enklave belegt – damit Ihr Score an jedem Tag stimmt.
- AC.L2-3.1.1Systemzugriff auf autorisierte Benutzer und Geräte beschränkt7 QuellenAutomatisiert
- AC.L2-3.1.5Least Privilege gegen die tatsächliche Nutzung geprüft4 QuellenMenschliche Entscheidung
- IA.L2-3.5.3Multi-Faktor-Authentifizierung für privilegierte Konten5 QuellenAutomatisiert
06Erleben Sie DECIMA in Aktion
Legen Sie Nachweise ab, sehen Sie zu, wie DECIMA jede Kontrolle automatisch prüft und wie Compliance-Entscheidungen Schritt für Schritt versiegelt werden.
NachweiskonsoleLive-Lauf
CMMC 2.0 Level 2
Kontrollierte, nicht klassifizierte Informationen nach DFARS 252.204-7012: Systemplan, POA&M und Zugriffskontrolle.
- Dokumente
- 3
- Kontrollen
- 4
- Rahmenwerke
- 1
Ihre Entscheidung
CMMC AC.L2 — Überprüfung des Least-Privilege-Zugriffs
Zur Behebung markiert. Der Kontrollverantwortliche wird benachrichtigt, und die Lücke bleibt im Paket sichtbar.
- Nachweis-Hash
- a41f9c07e2b5…d38e
- Versiegelt
- 31. Oktober 2026
- Signiert von
- Compliance-Verantwortlicher
SPRS-Score und Bestätigung
Das versiegelte Paket wird zum Score, den das US-Verteidigungsministerium sieht, und zur Bestätigung, die Ihr leitender Verantwortlicher unterzeichnet.
- BewertenScore über die 110 Praktiken berechnet, ein offener Punkt im MaßnahmenplanErledigt
- BestätigenLevel-2-Bestätigung für den leitenden Verantwortlichen entworfenErledigt
- ÜbermittelnScore und Bewertungsdatum an SPRS übermitteltErledigt
- VersiegelnPaket gehasht und der Übermittlung beigefügtErledigt
- SPRS-Score
- 107 von 110
- Bestätigung
- Level 2, Unterschrift ausstehend
Demo-Übermittlung — von dieser Seite wird nichts an SPRS übermittelt.
Genau das erhält der Prüfer — derselbe Lauf, dieselben Artefakte, dieselben Entscheidungen.
CMMC-Fragen, beantwortet
07Was Verteidigungsauftragnehmer fragen, bevor sie auf kontinuierliche Nachweise umstellen.
Hören Sie auf, sich auf die Prüfung vorzubereiten. Bleiben Sie dafür bereit.
Zeigen Sie uns eine Enklave, und wir zeigen Ihnen die CMMC-Nachweise, die eine kontinuierliche Engine daraus erzeugt.
Arbeitssitzung buchen