DFARS 252.204-7012: NIST SP 800-171, Cloud-Anbieter und 72-Stunden-Meldung

Problem in der Praxis

Deutsche Zulieferer nutzen häufig europäische oder globale Cloud-Dienste ohne FedRAMP-Bezug und Meldeprozesse, die auf europäische Behörden ausgerichtet sind. Unter DFARS 252.204-7012 müssen sie prüfen, ob der Cloud-Anbieter gleichwertige Anforderungen erfüllt, und einen zusätzlichen US-Meldeweg mit eigenem Zertifikat einrichten. Ohne Zertifikat ist eine fristgerechte Meldung praktisch nicht möglich.

CISO-Einordnung

• Sicherheitsanforderungen (Abs. (b)(1) und (b)(2)): für Systeme, die Teil eines im Auftrag der Regierung betriebenen IT-Dienstes oder -Systems sind, die Anforderungen des Vertrags (für Cloud DFARS 252.239-7010); für Covered Contractor Information Systems, die nicht Teil eines solchen Dienstes oder Systems sind, NIST SP 800-171; Abweichungen nur über schriftlichen Antrag an den Contracting Officer zur Entscheidung durch den DoD CIO.
• Cloud (Abs. (b)(2)(ii)(D)): externer Cloud-Anbieter mit Covered Defense Information muss Anforderungen gleichwertig FedRAMP Moderate erfüllen und die Absätze (c) bis (g) einhalten (Meldung, Schadsoftware, Sicherung, Zugang für Forensik, Schadensbewertung).
• Meldung (Abs. (c)): bei Vorfällen, die Covered Contractor Information Systems, die darin liegende Covered Defense Information oder operativ kritische Unterstützung betreffen: Überprüfung auf Kompromittierung und schnelle Meldung, binnen 72 Stunden nach Entdeckung, über dibnet.dod.mil mit Medium-Assurance-Zertifikat.
• Schadsoftware (Abs. (d)): im Zusammenhang mit einem gemeldeten Vorfall entdeckte und isolierte Schadsoftware nach den Anweisungen von DC3 oder des Contracting Officer an das DoD Cyber Crime Center (DC3), nicht an den Contracting Officer.
• Sicherung (Abs. (e)): Abbilder und relevante Überwachungs- und Paketmitschnittdaten mindestens 90 Tage ab Meldung.
• Unterauftragnehmer (Abs. (m)): Klausel unverändert weitergeben; Unterauftragnehmer melden dem Hauptauftragnehmer Anträge auf Abweichung und die vom Ministerium vergebene Meldenummer.
• Andere Pflichten (Abs. (l)): bleiben unberührt.

Zum Verhältnis zu FedRAMP: Die Klausel verlangt Gleichwertigkeit mit der FedRAMP-Moderate-Baseline; zum FedRAMP-Programm selbst siehe den Track fedramp.

Umsetzungsperspektive

• Systeme mit Covered Defense Information identifizieren und NIST SP 800-171 umsetzen.
• Cloud-Anbieter auf Gleichwertigkeit mit FedRAMP Moderate und auf die Pflichten aus (c) bis (g) prüfen und vertraglich binden.
• Medium-Assurance-Zertifikat frühzeitig beschaffen.
• Incident-Response-Prozess um die 72-Stunden-Meldung und die 90-Tage-Sicherung ergänzen.
• Die Klausel an betroffene Unterauftragnehmer weitergeben.

Typische Fehler

1. Der Cloud-Anbieter wird ohne Prüfung der Gleichwertigkeit genutzt.
2. Das Medium-Assurance-Zertifikat fehlt im Vorfall.
3. Abbilder werden vor Ablauf von 90 Tagen gelöscht.
4. Schadsoftware wird an den Contracting Officer geschickt.
5. Die Klausel wird nicht oder verändert an Unterauftragnehmer weitergegeben.

Risiken und Trade-offs

Ein Cloud-Anbieter mit FedRAMP-Moderate-Autorisierung erleichtert den Nachweis der Gleichwertigkeit, kann aber andere Anforderungen, etwa an den Datenstandort in Europa, berühren. Parallele Meldewege an US- und europäische Stellen erhöhen den Aufwand, lassen sich aber in einem Prozess bündeln.

Entscheidungspunkte

• Welche Systeme und Cloud-Dienste verarbeiten Covered Defense Information?
• Wie wird die Gleichwertigkeit mit FedRAMP Moderate nachgewiesen?
• Wer hält das Medium-Assurance-Zertifikat?
• Wie ist die 90-Tage-Sicherung organisiert?

Praktische Empfehlungen

1. Erfassen Sie Systeme und Cloud-Dienste mit Covered Defense Information.
2. Verlangen Sie vom Cloud-Anbieter Nachweise zur Gleichwertigkeit und zu den Pflichten aus (c) bis (g).
3. Beschaffen Sie das Medium-Assurance-Zertifikat vor dem ersten Vorfall.
4. Ergänzen Sie den Incident-Prozess um Meldung, Sicherung und DC3-Übergabe.
5. Geben Sie die Klausel unverändert an betroffene Unterauftragnehmer weiter.

Relevante Normreferenzen

• DFARS 252.204-7012 (eCFR, Stand 07.10.2026).
• NIST SP 800-171 (Bezug, keine Wiedergabe); FedRAMP Moderate Baseline (Bezug).
• DoW CIO Memoranden vom 13.07.2026 (Fortgeltung der Klausel).