:quality(85))
Der Defense Federal Acquisition Regulation Supplement (DFARS) ist ein Regelwerk, das den Beschaffungs- und Vergabeprozess des US-Verteidigungsministeriums reguliert. Darüber hinaus bildet es einen Rahmen für private Auftragnehmer, die Geschäftsbeziehungen mit der Behörde unterhalten. DFARS ist eine Erweiterung der Federal Acquisition Regulation (FAR), welche die Beschaffung aller 15 Haupt-Exekutivbehörden steuert, und findet sich in Kapitel 2 von Titel 48 des Code of Federal Regulations.
Aufgrund der Bedeutung für die nationale Sicherheit ist ein Großteil der Daten, Informationen und anderer Materialien, die zwischen dem Verteidigungsministerium und privaten Auftragnehmern ausgetauscht werden, als hochsensibel einzustufen. Das DoD (Department of Defense) bezeichnet diese Daten als „covered defense information“ (CDI), ein Sammelbegriff für Wissen, das definiert wird als „unclassified controlled technical information or other information … that requires safeguarding or dissemination controls pursuant to and consistent with law, regulations, and Governmentwide policies.“
Im letzten Jahrzehnt hat die Zahl der Cyberangriffe und sonstigen Cybersecurity-Bedrohungen auf private Rüstungsunternehmen und andere Akteure des US-amerikanischen Defense Industrial Base (DIB)-Netzwerks bedenklich zugenommen. Ziel dieser Angriffe ist es oftmals, die DIB zu infiltrieren und entsprechende sensible Informationen zu entwenden.
Als Reaktion auf diese neuen Risiken und die wachsende Zahl krimineller Akteure hat das Verteidigungsministerium eine neue Klausel in den Akquisitionsvorschriften aufgenommen. Dieser neue Abschnitt, DFARS 252.204-7012, zielt darauf ab, den Schutz von CDI zu verstärken, indem Auftragnehmer dazu verpflichtet werden, umfassende Sicherheitsmaßnahmen umzusetzen. Die Hauptziele dieser neuen DFARS-Klausel sind die Standardisierung der Cybersecurity bei allen Rüstungsauftragnehmern und die Bekämpfung der steigenden Zahl an Cyberangriffen auf die DIB.
Dieser neue Abschnitt, DFARS 252.204-7012, zielt darauf ab, den Schutz von CDI zu verstärken, indem Auftragnehmer dazu verpflichtet werden, umfassende Sicherheitsmaßnahmen umzusetzen.
DFARS 252.204-7012 und das NIST-Sicherheitsprotokoll
DFARS 252.204-7012, offiziell „Safeguarding Covered Defense Information and Cyber Incident Reporting“ genannt, trat am 31. Dezember 2017 in Kraft. Die Klausel – auch als Unterabschnitt bezeichnet – führte eine Reihe neuer Cybersecurity-Anforderungen ein, an die sich alle Rüstungsauftragnehmer halten müssen. Ziel dieses Abschnitts 252.204-7012 ist es, sämtliches CDI durch verschärfte Sicherheitsprotokolle bestmöglich vor Datenlecks, Cyberangriffen und anderen Bedrohungen zu schützen.
Die im Rahmen von DFARS 252.204-7012 eingeführten Maßnahmen enthalten mehrere neue Verpflichtungen. Die vermutlich wichtigste davon verlangt von sämtlichen Auftragnehmern, die von der National Institute of Standards and Technology (NIST) – einer Behörde des US-Handelsministeriums zur Förderung von Innovation und Wettbewerbsfähigkeit in Wissenschaft, Technik und Ingenieurwesen – publizierten Sicherheitsvorgaben einzuhalten. Bekannt als NIST Special Publication 800-171, beziehungsweise NIST SP 800-171, umfassen diese Richtlinien 110 einzelne Sicherheitsanforderungen in 14 „Familien“:
- Zugriffskontrolle (AC)
- Bewusstsein und Schulung
- Audit und Verantwortlichkeit
- Konfigurationsmanagement
- Identifikation und Authentifizierung
- Reaktion auf Vorfälle
- Wartung
- Schutz von Medien
- Personal-Sicherheit
- Physischer Schutz
- Risikobewertung
- Sicherheitsbewertung
- Schutz von Systemen und Kommunikation
- System- und Informationsintegrität
Durch den DFARS-Unterabschnitt 252.204-7012 sind nun alle Auftragnehmer des Verteidigungsministeriums verpflichtet, NIST SP 800-171 einzuhalten und mehr als 100 definierte Sicherheitskontrollen im Rahmen ihrer Arbeiten einzuführen. Die Bundesregierung unterhält hierzu ein CUI-Register als zentrale Informationsquelle für den adäquaten Umgang mit CDI sowie „controlled unclassified information“ (CUI – kontrollierte, aber nicht eingestufte Informationen). Das ursprüngliche SP 800-171-Dokument beschreibt, dass dieses Register „zugelassene CUI-Kategorien und -Unterkategorien identifiziert, allgemeine Beschreibungen bietet, die Grundlagen für Kontrollen festlegt und Verfahrensweisen für Verwendung, Kennzeichnung, Schutz, Transport, Verbreitung, Wiederverwendung und Entsorgung der Informationen definiert“.
Alle Rüstungsauftragnehmer unterliegen nun NIST SP 800-171 und müssen dessen 100+ Sicherheitskontrollen bei Aufträgen für das Verteidigungsministerium umsetzen.
Zusätzliche Anforderungen der DFARS-Klausel 252.204-7012
Obwohl das wichtigste neue Erfordernis der DFARS 252.204-7012 das NIST-Cybersecurity-Protokoll ist, enthält die Klausel weitere wichtige Verpflichtungen.
- Die erste dieser zusätzlichen Anforderungen betrifft die Überprüfung und das Meldewesen im Zusammenhang mit Cybersecurity-Vorfällen. Entdeckt eine Firma, die für das Verteidigungsministerium tätig ist, einen Cyber-Vorfall, der CDI oder ein entsprechendes System beeinträchtigt hat, muss dieser Vorfall umgehend über spezifische DoD-Kanäle gemeldet werden.
- Der Auftragnehmer ist zudem verpflichtet, eine umfassende Überprüfung und Auswertung des Vorfalls durchzuführen, beispielsweise zur Identifikation kompromittierter Daten, Hardware, Konten und Informationssysteme.
- Falls bei dem Vorfall schädliche Software gefunden wird, soll der Auftragnehmer diese isolieren und dem Cyber Crime Center (DC3) des Verteidigungsministeriums zur Verfügung stellen.
- Schließlich muss die betreffende Partei bei der Untersuchung des Vorfalls weiter mit dem DoD kooperieren und Zugang zu geforderten Daten, Systemen und Geräten gewähren.
DFARS 252.204-7012 verpflichtet alle Auftragnehmer und Unterauftragnehmer, dieselben Sicherheitskontrollen umzusetzen und dieselben Meldepflichten beim Umgang mit CDI einzuhalten. Daher weist die dritte Säule der Klausel Hauptauftragnehmer an, die neuen Cybersecurity-Anforderungen durch die Aufnahme von 252.204-7012 an alle Unterauftragnehmer weiterzugeben.
Die neuesten DFARS-Klauseln
Das Verteidigungsministerium veröffentlichte im Herbst 2020 die DFARS Interim Rule, die am 30. November desselben Jahres in Kraft trat. Die Interim Rule fügte Teil 252 des DFARS drei neue Klauseln hinzu: 252.204-7019, -7020 und -7021. Diese Unterabschnitte bauen auf den Pflichten aus 252.204-7012 auf und setzen zusätzliche Mechanismen zur Überprüfung und Rechenschaft für Auftragnehmer um, die mit dem DoD zusammenarbeiten.
Im Jahr 2019 erhielt die Defense Contract Management Agency den Auftrag, eine standardisierte Methode zur Bewertung der Umsetzung des NIST SP 800-171-Protokolls (erforderlich für 252.204-7012) zu entwickeln. Das Resultat war die NIST SP 800-171 DoD Assessment Methodology, ein Leitfaden für Auftragnehmer zur Bewertung ihrer Einhaltung der NIST-Sicherheitskontrollen. Der erste Teil der Interim Rule, 252.204-7019, kodifiziert dieses Assessment-Tool im DFARS, indem er alle Rüstungsauftragnehmer verpflichtet, solche Selbsteinschätzungen vorzunehmen und zu bewerten. Die Ergebnisse sind zudem an das Supplier Performance Risk System (SPRS) zu melden.
Der erste Teil der Interim Rule, 252.204-7019, kodifiziert das DoD Assessment Methodology-Tool im DFARS, indem er alle Auftragnehmer verpflichtet, Selbsteinschätzungen durchzuführen, zu bewerten und die Ergebnisse an das Supplier Performance Risk System (SPRS) zu melden.
Unterabschnitt 252.204-7020 fügt eine weitere Kontrollinstanz hinzu: Die Klausel berechtigt das Verteidigungsministerium, Zugang zu Einrichtungen, Systemen und Personal eines Auftragnehmers zu erhalten, sofern dies für eigene Bewertungen erforderlich ist. Zudem müssen Hauptauftragnehmer sicherstellen, dass auch ihre Unterauftragnehmer die NIST SP 800-171 Compliance mittels DoD Assessment Methodology selbst bewerten und die Klausel in allen Unterverträgen weitergegeben wird.
Schließlich führt Klausel 252.204-7021 das Cybersecurity Maturity Model Certification (CMMC) ein – ein neues Framework zur Bewertung der Umsetzung von Cybersecurity-Maßnahmen und verwandten Sicherheitskontrollen durch Auftragnehmer. Da die Regeln für das CMMC vom DoD noch finalisiert werden, fungiert diese Bestimmung bis auf Weiteres als Platzhalter für einen künftigen neuen Cybersecurity-Standard. Letztlich wird das DoD von allen Auftragnehmern verlangen, eine Zertifizierung nach CMMC zu erlangen – möglicherweise bis Ende 2024 oder Anfang 2025 – und DFARS 7021 bildet die Grundlage für diese Anforderung in künftigen DoD-Verträgen.
Die Bedeutung der DFARS 252.204-7012-Compliance
Cyberangriffe und damit verbundene Datenlecks stellen eine wachsende Bedrohung für die US-Regierung, das Verteidigungsministerium und den gesamten DIB dar. DFARS 252.204-7012 wurde 2017 als robuste und strenge Gegenmaßnahme gegen die zunehmende Häufigkeit und Reichweite solcher Angriffe eingeführt; heute sind nahezu alle Rüstungsauftragnehmer verpflichtet, diese Vorgaben einzuhalten. Die Klausel verlangt, dass Unternehmen umfassende Sicherheitskontrollen implementieren, standardisierte Abläufe zur Überprüfung und Meldung von Cyber-Vorfällen und Schadsoftware einrichten sowie bewährte Maßnahmen weiter an Unterauftragnehmer weitergeben, um CDI zu schützen.
DFARS 252.204-7012 wurde 2017 als robuste und strenge Gegenmaßnahme gegen die zunehmende Häufigkeit und Reichweite solcher Angriffe eingeführt; heute sind nahezu alle Rüstungsauftragnehmer verpflichtet, diese Vorgaben einzuhalten.
Die Folgen der Nichtbeachtung oder mangelhaften Umsetzung von DFARS 252.204-7012 sind erheblich und kostspielig. Auftragnehmer, die die NIST-Sicherheitskontrollen nicht implementieren, sind für Cyberkriminelle, Hacker und sonstige Angreifer anfällig und riskieren zudem erhebliche Wiederherstellungskosten. Entscheidender ist jedoch, dass das Verteidigungsministerium eigene Konsequenzen bei Nichteinhaltung von DFARS 252.204-7012 und des zugehörigen NIST-Protokolls vorgesehen hat.
Die Folgen der Nichtbeachtung oder mangelhaften Umsetzung von DFARS 252.204-7012 sind erheblich und kostspielig. Auftragnehmer, die die NIST-Sicherheitskontrollen nicht implementieren, sind für Cyberkriminelle, Hacker und sonstige Angreifer anfällig und riskieren zudem erhebliche Wiederherstellungskosten.
In einem Memo aus dem Jahr 2022 hat das Office of the Under Secretary of Defense klargestellt, dass eine mangelhafte Umsetzung von NIST SP 800-171 als Vertragsverletzung gilt. „Rechtsmittel bei einer solchen Vertragsverletzung“, so das Memo, könnten „das Zurückhalten von Zahlungen, den Verzicht auf Weiterführung des Vertrags oder die (teilweise/gesamte) Kündigung des Vertrags umfassen.“ Auftragnehmer, die diese entscheidende Sicherheitsvorgabe vernachlässigen, setzen nicht nur ihre aktuelle Vertragsbeziehung, sondern auch ihre künftigen Auftragschancen mit dem Verteidigungsministerium und der Bundesregierung aufs Spiel.
