NIST 800-171.
CUI-beskyttelse i systemer uden for forbundsforvaltningen: hold krav, kontraktrevision og assessment klart adskilt.
- NIST SP 800-171 Rev. 3 · NIST SP 800-171A Rev. 3
- Af Jonathan Bezdek
- Status: 22.10.2026
- Læsetid: 7 min.
Kort svar.
NIST 800-171 beskriver sikkerhedskrav til beskyttelse af Controlled Unclassified Information, forkortet CUI, i systemer uden for den amerikanske forbundsforvaltning. Myndigheder bruger publikationen i kontrakter og aftaler. Revision 3 er offentliggjort siden maj 2024; for en opgave er den aftalte udgave, det bekræftede dataomfang og det krævede assessment fortsat afgørende.
Forstå NIST SP 800-171 revision 3.
NIST SP 800-171 er en amerikansk publikation til beskyttelse af bestemte myndighedsregulerede informationer i miljøer uden for forbundsforvaltningen. Afsnit 1.1 i revision 3 beskriver tilknytningen til kontrakter og aftaler. Det skaber ikke en generel pligt for alle tyske virksomheder eller et universelt NIST-certifikat. Udgangspunktet er det konkrete forhold til en amerikansk føderal myndighed eller en tilsvarende hovedleverandør.
CUI betyder Controlled Unclassified Information og betegner ifølge den ansvarlige amerikanske myndighed NARA informationer med lovmæssigt eller myndighedsdækkende fastlagte beskyttelses- eller videregivelsesbetingelser. CUI er ikke en hemmelighedsklassificering eller et samlebegreb for alle internt fortrolige virksomhedsdata. Den berørte informationstype og dens grundlag skal afklares; et selvvalgt mærke erstatter ikke denne afklaring.
Den aktuelle publikationsversion og den aftalte revisionsopgave er forskellige oplysninger. NIST’s publikationsside angiver revision 3 fra maj 2024 som efterfølger til revision 2. En eksisterende kontrakt skifter dog ikke automatisk grundlag på grund af denne offentliggørelse. Den ansvarlige instans bør bekræfte, hvilken revision, hvilke supplerende krav og hvilke dokumentationsprocedurer der faktisk er aftalt.
Hvem CUI-beskyttelse er relevant for.
NIST 800-171 vedrører inden for det beskrevne anvendelsesområde systemer, der behandler, opbevarer eller overfører CUI, samt komponenter, der beskytter disse systemer. Afsnit 1.1 kræver derfor en holdbar systemafgrænsning. Et virksomhedsnavn, hjemsted i Europa eller grov brancheplacering besvarer ikke spørgsmålet om omfang. Et enkelt datarum bør heller ikke betragtes som det fulde omfang uden undersøgelse af forbindelserne.
Den praktiske forberedelse forbinder opgave, informationsstrøm og ansvar. Dokumenter, hvilke informationer der modtages fra hvem, hvor de bruges, og hvilke interne eller eksterne tjenester der indgår. Uafklarede klassificeringer skal forelægges den ansvarlige myndighedskontakt eller hovedleverandør. NIST’s aktuelle CUI-FAQ henviser udtrykkeligt sådanne compliancespørgsmål til disse instanser; NIST afgør ikke opfyldelsen af en enkelt kontrakt.
Også små organisationer har brug for en konkret aftale frem for en antaget størrelsesfritagelse. NIST’s FAQ om revision 3 beskriver anvendelsen gennem den kompetente myndighed. Small Business Primer SP 1318 letter opstarten for mindre virksomheder, men erstatter hverken standarden eller undersøgelse af det faktiske ydelsesomfang. En overskuelig organisation kan udforme enkle procedurer, men skal behandle de aftalte krav sporbart.
Overblik over NIST 800-171-kravene.
Følgende seks arbejdsområder samler CUI-beskyttelsesopgaven redaktionelt; de er ikke en ny opdeling af NIST-familierne. Revision 3 og Small Business Primer SP 1318 forbinder organisatoriske beslutninger med tekniske foranstaltninger. Enkelte krav gengives ikke her.
Afklar omfang og ansvar.
Beskyttelsen begynder med bekræftede informationer og en beskrevet systemgrænse. Planlægning, ansvar og relationer til understøttende tjenester hører sammen. Udpeg derfor ud over det tekniske ansvar også den person, der afklarer kontraktspørgsmål og ændringer med kunden; dermed forbliver implementeringen rettet mod det rigtige objekt.
Forbind mennesker, identiteter og adgang.
Berettigede personer har brug for passende adgange og forståelse af deres opgaver. Familieoversigten i revision 3 omfatter adgangskontrol, identifikation, bevidstgørelse og personalesikkerhed. I driften bør tiltrædelse, opgaveskifte, privilegerede aktiviteter og fratrædelse betragtes samlet frem for kun at se en teknisk loginmekanisme som en fuldstændig løsning.
Driv systemer kontrolleret.
Konfiguration, vedligeholdelse og integritet understøtter sporbar drift af det afgrænsede miljø. Den generelle implementeringsvinkel i Primer SP 1318 hjælper med at forbinde emnerne med konkrete ansvarlige. Ændringer bør vurderes ud fra konsekvenserne for CUI og eksisterende dokumentation; en engangskortlægning holder ikke omfanget permanent ajour.
Beskyt data og deres omgivelser.
CUI-beskyttelse omfatter mere end data på en server. Kommunikation, datamedier, fysiske omgivelser og involverede beskyttelseskomponenter skal ses i konteksten af de enkelte familier. Det praktiske spørgsmål er, hvor informationer faktisk bliver tilgængelige, og hvilke overgange mellem personer, systemer og leverandører der skal sikres og dokumenteres.
Organiser hændelser, risici og vurdering.
Beskyttelsesforanstaltninger kræver feedback fra overvågning, risikovurdering og hændelseshåndtering. De aktuelle NIST-publikationer adskiller kravet fra vurderingen: Et dokumenteret implementeringsudsagn er et udgangspunkt og endnu ikke et kontrolresultat. Fastlæg, hvem der vurderer konstaterede problemer, følger foranstaltninger og fører ændrede oplysninger tilbage til systembeskrivelsen.
Fastlæg indkøb og parametre sporbart.
Eksterne ydelser og organisationsspecifikke parametre hører til den bekræftede implementering. Rev. 3-FAQ’en forklarer, at myndigheder kan foreskrive parameterværdier, stille valghjælp til rådighed eller tillade egen fastlæggelse. Ikkeforeskrevne værdier skal udfyldes; fri opfindelse eller generelt overtagne værdier uden kontrol af kompetencen skaber ikke et holdbart kravgrundlag.
Organiser CUI-beskyttelse som en løbende opgave.
Bekræft opgaven.
Registrer den afgørende kontrakt eller aftale med ansvarlig instans, krævet dokumentation og de personer, der bindende kan afklare åbne fortolkningsspørgsmål.
Afgræns informationsstrømmen.
Beskriv bekræftet CUI, involverede personer og systemer samt forbindelser til beskyttelseskomponenter og eksterne tjenester i en kontrollerbar systemfremstilling.
Dokumenter revision og parametre.
Bekræft den gældende udgave samt parameterværdiernes oprindelse og ansvar, før De omsætter kravene til driftsopgaver.
Driv implementeringen ansvarligt.
Tilknyt konkrete procedurer, tekniske indstillinger og ansvarlige til de aftalte krav, og dokumenter ændringer i omfanget sporbart.
Kontroller dokumentation målrettet.
Planlæg passende undersøgelser, samtaler og test til den bekræftede revisionsopgave, og dokumenter resultater, grænser og åbne foranstaltninger.
Følg op på ændringer.
Vurder nye tjenester, datastrømme og kontraktændringer sammen med de ansvarlige, og opdater systembeskrivelse, foranstaltninger og vurderingsdokumenter tilsvarende.
Forstå assessment og dokumentation særskilt.
NIST SP 800-171A leverer procedurer til vurdering af sikkerhedskravene. Afsnit 1.1 nævner System Security Plan, forkortet SSP, som grundlag for vurderingsomfanget; afsnit 2.1 skelner mellem undersøgelse, interview og test. En kontrolplan bør fastlægge, hvilke udsagn der undersøges med hvilke beviser. Ikke alle eksempelvist nævnte dokumenter er automatisk nødvendige for alle opgaver.
Vurderingen skal muliggøre et sporbart udsagn om den faktiske implementering inden for det aftalte omfang. Assessment-Primer SP 1352 fra september 2026 giver en yderligere introduktion. En procentangivelse alene uden revision, systemgrænse og dokumenterede resultater er ikke særlig nyttig til denne vurdering. Hvilken form kunden accepterer, og hvornår revurdering er nødvendig, skal afklares i den relevante ramme.
CMMC er et selvstændigt program og ikke et andet navn for NIST 800-171. NIST’s CUI-FAQ beskriver forbindelsen til NIST-krav og vurderingsmetoder, men afgrænser NIST fra CMMC-certificeringen. En krævet programstatus eller DoD-vurdering opstår derfor ikke alene ved arbejdet med et Rev. 3-katalog. En generel gyldighed for al dokumentation kan heller ikke udledes heraf.
Forstå andre rammeværker.
NIST SP 800-53 er det bredere kontrolkatalog for sikkerhed og databeskyttelse, mens NIST SP 800-171 er tilpasset den beskrevne CUI-kontekst. NIST CSF understøtter fælles vurdering af ønskede cybersikkerhedsresultater. ISO 27001 organiserer et ledelsessystem for informationssikkerhed; et tilsvarende certifikat erstatter ikke særskilt krævet CUI- eller kontraktdokumentation.
I Secani.
Secani indeholder et redaktionelt arbejdskatalog til NIST SP 800-171 revision 3. Profiloplysninger skelner mellem bekræftet CUI-omfang, kontraktrevision, myndigheds- eller kontraktkrav, parameteransvar og eksterne leverandører. Dermed kan den underliggende klassificering fastholdes sammen med arbejdet. Kataloget er et hjælpemiddel med udestående faglig undersøgelse; det udsteder hverken CMMC-status, DoD-score eller en myndighedsafgørelse om overensstemmelse.
Næste skridt.
Begynd med en konkret opgave og en bekræftet informationsstrøm. Dokumenter, hvilken CUI der er berørt, hvilke systemer der håndterer den, og hvem der kan bekræfte den gældende kontraktrevision. Først derefter kan det meningsfuldt afgøres, hvilket arbejde og hvilken dokumentation der kræves som det næste. Den beskrevne trinrækkefølge er praktisk orientering og ikke en yderligere myndighedspålagt rækkefølge.
Kilder.
- NIST SP 800-171 Rev. 3: publikation og anvendelsesområde
- NIST SP 800-171 Rev. 3: afsnit 1 og 2 samt familieoversigt
- NARA: Controlled Unclassified Information
- NIST: FAQ om revision 3 og organisationsspecifikke parametre
- NIST SP 1318: Small Business Primer
- NIST SP 800-171A Rev. 3: afsnit 1.1 og 2.1
- NIST SP 1352: Assessment Small Business Primer
- NIST: CUI-FAQ om kontraktspørgsmål og CMMC
Ofte stillede spørgsmål.
Nej. CUI er en lovmæssigt eller myndighedsmæssigt reguleret informationskategori; en intern fortrolighedsmærkning alene er ikke nok. Afklar de berørte informationer og deres grundlag med den ansvarlige instans.
Nej. Den aktuelle NIST-publikation og den kontraktligt krævede udgave skal bekræftes hver for sig. Den konkret aftalte ramme er afgørende for implementering og assessment.
Nej. Sikkerhedskrav, vurderingsprocedurer og CMMC-programstatus har forskellige funktioner. Ifølge sin egen FAQ er NIST ikke ansvarlig for CMMC-certificering.
Nej. Den konkrete aftale, de relevante informationer og det berørte systemomfang er afgørende. Hjemstedet alene bekræfter hverken en pligt eller en undtagelse.
CUI-beskyttelse med klart omfang.
Strukturer arbejdsstatus, ansvar og den anvendte kontraktrevision med Secani.
Denne side giver generel orientering. De relevante myndighedskrav, den aftalte revision og den konkrete kontrakt er fortsat afgørende.