Das Verteidigungsministerium hat den 31. Dezember 2026 als Ziel für jeden Industriepartner festgelegt, um die Defence Cyber Certification Level 0 zu erreichen. Für Organisationen, die irgendwo in der Verteidigungslieferkette tätig sind, ist es jetzt an der Zeit, mit den Vorbereitungen zu beginnen.
Fünf Monate können wie eine angenehme Zeitspanne klingen.
Doch sobald eine Organisation ihren Geltungsbereich definiert, geschäftskritische Systeme identifiziert, Sicherheitslücken behebt, Cyber Essentials abschließt, Nachweise sammelt und einen Bewertungstermin sichert, beginnt dieses Zeitfenster schnell zu schrumpfen.
Das Verteidigungsministerium hat alle Industriepartner aufgefordert, bis zum 31. Dezember 2026 die Stufe 0 des Defence Cyber Certification-Schemas zu erreichen. Diese Erwartung erstreckt sich über große Verteidigungsauftragnehmer hinaus auf die Subunternehmer, Technologieanbieter, Hersteller und professionellen Dienstleistungsorganisationen, die sie unterstützen.
Was ist Defence Cyber Certification?
Defence Cyber Certification, oder DCC, ist ein organisationsweites Assurance-Schema, das darauf ausgelegt ist, die Cyber-Resilienz in der gesamten britischen Verteidigungslieferkette zu stärken.
Es gibt vier Zertifizierungsstufen, von Stufe 0 bis Stufe 3, die auf das mit den Verträgen einer Organisation verbundene Cyber-Risiko abgestimmt sind. Stufe 0 ist die Basisstufe und richtet sich an Organisationen, die im Rahmen von Verträgen mit einem sehr geringen Cyber-Risikoprofil tätig sind.
Um Level 0 zu erreichen, muss eine Organisation über eine aktuelle Cyber Essentials-Zertifizierung verfügen, die alle anwendbaren geschäftskritischen Systeme im Geltungsbereich abdeckt. Sie muss außerdem den Level 0 Supplier Assurance Questionnaire gemäß den Anforderungen von DEFSTAN 05-138 ausfüllen.
Obwohl DCC derzeit keine pauschale gesetzliche Anforderung ist, hat das MoD alle Industriepartner aufgefordert, Level 0 zu erreichen. Wenn DEFCON 658 in einen Vertrag aufgenommen wird, kann DCC zu einer vertraglichen Verpflichtung werden und nicht nur zu einer Erwartung.
Diese Unterscheidung ist wichtig. Organisationen, die zögern, könnten sich Fragen von Hauptauftragnehmern, Kunden und Beschaffungsteams gegenübersehen, bevor sie bereit sind, diese zu beantworten.
Cyber Essentials kommt zuerst
Für Organisationen ohne Cyber Essentials ist dies die unmittelbarste Priorität.
Cyber Essentials ist keine separate, optionale Übung, die parallel zu DCC läuft. Es ist eine Voraussetzung. Die Zertifizierung der Stufe 0 kann nicht vergeben werden, es sei denn, Cyber Essentials ist bereits in den relevanten Systemen implementiert.
Organisationen, die bereits Cyber Essentials besitzen, sollten nicht automatisch davon ausgehen, dass sie bereit sind. Der Umfang ihrer bestehenden Zertifizierung muss jedes anwendbare geschäftskritische System umfassen, das für DCC erforderlich ist. Änderungen an der Infrastruktur, Remote-Arbeitsvereinbarungen, Cloud-Diensten, Geräten oder Betriebsabläufen können bedeuten, dass der Umfang überprüft werden muss.
Der Prozess sollte daher mit drei Fragen beginnen:
Eine Channel-Möglichkeit sowie eine Compliance-Frist
Für MSPs und Cybersicherheitspartner schafft DCC eine wichtige Gelegenheit, Kunden dabei zu helfen, eine Anforderung zu verstehen, von der sie möglicherweise noch nicht wissen, dass sie für sie gilt.
Kleinere Verteidigungszulieferer verfügen wahrscheinlich nicht über große interne Governance-, Risiko- und Compliance-Teams. Viele werden sich an ihren bestehenden Technologiepartner wenden, um ihre Verpflichtungen zu identifizieren, ihre Bereitschaft zu verstehen und den Zertifizierungsprozess abzuschließen.
CyberSmart ist eine von IASME akkreditierte DCC-Zertifizierungsstelle und kann Organisationen für Level 0 und Level 1 bewerten. Der Service kann die Bestätigung des Geltungsbereichs, die Cyber-Essentials-Zertifizierung und den anschließenden DCC-Bewertungsprozess abdecken. CyberSmart ermöglicht es MSPs außerdem, Kunden aus dem Verteidigungssektor auf demselben Weg zu unterstützen.
Durch Hammer Cybersecurity und CyberSmart können Partner proaktive Gespräche mit Kunden beginnen, bevor aus Dringlichkeit Panik wird.
Die Botschaft an die Lieferkette der Verteidigung ist klar: Der 31. Dezember mag die Frist sein, aber der Dezember ist nicht der Monat, um anzufangen.