NIST 800-171.

NIST SP 800-171 ist eine US-Veröffentlichung für den Schutz bestimmter behördlich geregelter Informationen in nichtbundeseigenen Umgebungen. Abschnitt 1.1 der Revision 3 beschreibt ihren Vertrags- und Vereinbarungsbezug. Daraus entsteht keine allgemeine Pflicht für jedes deutsche Unternehmen und kein universelles NIST-Zertifikat. Der Einstieg ist die konkrete Beziehung zu einer US-Bundesbehörde oder zu einem entsprechenden Hauptauftragnehmer.

CUI bedeutet Controlled Unclassified Information und bezeichnet nach der zuständigen US-Behörde NARA Informationen mit rechtlich oder behördenweit geregelten Schutz- beziehungsweise Weitergabebedingungen. CUI ist keine Geheimklassifizierung und auch kein Sammelbegriff für alle intern vertraulichen Unternehmensdaten. Die betroffene Informationsart und ihre Grundlage müssen geklärt sein; ein selbst vergebenes Etikett ersetzt diese Klärung nicht.

Der aktuelle Veröffentlichungsstand und der vereinbarte Prüfauftrag sind unterschiedliche Angaben. Die NIST-Publikationsseite führt Revision 3 vom Mai 2024 als Nachfolger von Revision 2. Ein bestehender Vertrag wird durch diese Veröffentlichung jedoch nicht automatisch auf eine andere Grundlage umgestellt. Die zuständige Stelle sollte bestätigen, welche Revision, ergänzenden Vorgaben und Nachweisverfahren tatsächlich vereinbart sind.

NIST 800-171 betrifft im beschriebenen Anwendungsbereich Systeme, die CUI verarbeiten, speichern oder übertragen, sowie Komponenten, die diese Systeme schützen. Abschnitt 1.1 verlangt deshalb eine belastbare Systemabgrenzung. Eine Unternehmensbezeichnung, der Sitz in Europa oder eine grobe Branchenzuordnung beantworten die Scope-Frage nicht. Ebenso wenig sollte ein einzelner Datenraum ohne Prüfung seiner Verbindungen als vollständiger Umfang gelten.

Die praktische Vorbereitung verbindet Auftrag, Informationsfluss und Zuständigkeiten. Halten Sie fest, welche Informationen von wem eingehen, wo sie genutzt werden und welche internen oder externen Dienste beteiligt sind. Ungeklärte Einstufungen gehören an den zuständigen Behördenkontakt oder Hauptauftragnehmer. Die aktuelle NIST-CUI-FAQ verweist solche Compliance-Fragen ausdrücklich an diese Stellen; NIST entscheidet nicht über die Erfüllung eines einzelnen Vertrags.

Auch kleine Organisationen benötigen eine konkrete Vereinbarung statt einer angenommenen Größenbefreiung. Die NIST-FAQ zu Revision 3 beschreibt die Anwendung durch die jeweils zuständige Behörde. Der Small Business Primer SP 1318 erleichtert den Einstieg für kleinere Unternehmen, ersetzt aber weder den Standard noch eine Prüfung des tatsächlichen Leistungsumfangs. Eine überschaubare Organisation kann ihre Abläufe einfach gestalten, muss die vereinbarten Anforderungen aber nachvollziehbar behandeln.

NIST SP 800-171A liefert Verfahren für die Bewertung der Sicherheitsanforderungen. Abschnitt 1.1 nennt den System Security Plan, kurz SSP, als Grundlage für den Bewertungsumfang; Abschnitt 2.1 unterscheidet Untersuchung, Befragung und Test. Ein Prüfplan sollte festlegen, welche Aussagen mit welchen Belegen untersucht werden. Nicht jede beispielhaft aufgeführte Unterlage ist automatisch für jeden Auftrag erforderlich.

Die Bewertung soll eine nachvollziehbare Aussage über die tatsächliche Umsetzung im vereinbarten Umfang ermöglichen. Der Assessment-Primer SP 1352 vom September 2026 bietet dazu eine zusätzliche Einführung. Eine bloße Prozentzahl ohne Revisionsangabe, Systemgrenze und belegte Ergebnisse ist für diese Einordnung wenig hilfreich. Welche Form der Auftraggeber akzeptiert und wann eine erneute Bewertung nötig ist, muss im einschlägigen Rahmen geklärt werden.

CMMC ist ein eigenes Programm, kein anderer Name für NIST 800-171. Die NIST-CUI-FAQ beschreibt die Verbindung zu NIST-Anforderungen und Prüfmethoden, grenzt NIST aber von der CMMC-Zertifizierung ab. Ein geforderter Programmstatus oder eine DoD-Bewertung entsteht deshalb nicht allein durch die Bearbeitung eines Rev.-3-Katalogs. Eine allgemeine Gültigkeitsdauer für sämtliche Nachweise lässt sich daraus ebenfalls nicht ableiten.

NIST SP 800-53 ist der breitere Sicherheits- und Datenschutz-Kontrollkatalog, während NIST SP 800-171 auf den beschriebenen CUI-Kontext zugeschnitten ist. NIST CSF unterstützt die gemeinsame Einordnung angestrebter Cybersecurity-Ergebnisse. ISO 27001 organisiert ein Informationssicherheitsmanagementsystem; ein entsprechendes Zertifikat ersetzt keinen gesondert verlangten CUI- oder Vertragsnachweis.

Secani führt einen redaktionellen Arbeitskatalog zu NIST SP 800-171 Revision 3. Die Profilangaben unterscheiden bestätigten CUI-Umfang, Vertragsrevision, Behörden- oder Vertragsanforderung, Parameterzuständigkeit und externe Dienstleister. So lässt sich die zugrunde gelegte Einordnung zusammen mit der Bearbeitung festhalten. Der Katalog ist eine Arbeitshilfe mit ausstehender Fachprüfung; er stellt weder einen CMMC-Status noch einen DoD-Score oder eine behördliche Konformitätsentscheidung aus.

Beginnen Sie mit einem konkreten Auftrag und einem bestätigten Informationsfluss. Halten Sie fest, welche CUI betroffen ist, welche Systeme sie berühren und wer die anzuwendende Vertragsrevision bestätigen kann. Erst danach lässt sich sinnvoll entscheiden, welche Arbeit und welcher Nachweis als Nächstes erforderlich sind. Die beschriebene Schrittfolge ist eine praktische Orientierung, keine zusätzliche behördlich vorgeschriebene Reihenfolge.