Die FedRAMP Consolidated Rules 2026: Typen, Pfade, Klassen und Zeitplan

Problem in der Praxis

Viele Unterlagen, Berater und Ausschreibungstexte sprechen noch von "FedRAMP Moderate", "Agency Authorization" und "FedRAMP Ready". Seit dem 24.06.2026 führt FedRAMP diese Unterlagen nur noch als Legacy-Referenz für die Übergangszeit und warnt ausdrücklich, dass sie sich vom Programm wegbewegen. Wer heute plant, muss das Zertifizierungsprofil nach den Regeln 2026 wählen und dabei den Zeitplan beachten: Ein Rev5-Projekt, das erst nach dem 11.06.2027 einen Antrag stellen könnte, geht ins Leere.

CISO-Einordnung

Begriffe nach den FedRAMP Definitions:

• Certification Type: Rev5 oder 20x.
• Certification Path: Programm (Zertifizierung direkt durch FedRAMP) oder Behörde (auf Grundlage einer behördlichen Betriebsgenehmigung); der Behördenpfad ist ein Legacy-Pfad, nur für Rev5 verfügbar und bedarf weiter der Prüfung und Freigabe durch FedRAMP.
• Certification Class: A, B, C oder D, mit steigender Zusicherung.
• Certification Profile: Kombination aus Typ, Pfad und Klasse.
• FedRAMP Certified: Status eines Cloud-Angebots, das eine FedRAMP-Zertifizierung erhalten hat und die gesetzliche Anforderung einer FedRAMP-Autorisierung erfüllt.
• FedRAMP Recognized: Status unabhängiger Prüfstellen, die für FedRAMP Prüfungen durchführen dürfen.

20x-Klassen laut FedRAMP: Regeln für A, B und C sind final; Klasse A richtet sich an Cloud-Dienste mit reifen Sicherheits- und Compliance-Programmen, die in den Bundesmarkt einsteigen wollen, mit wenig Vorabinformation und einem kleinen Teil der laufenden Überwachungs- und Berichtspflichten; Klasse B an verbreitete Dienste mit kleinem oder leichtem Einsatz, bei denen eine behördenweite Nutzung für wichtige Arbeit unwahrscheinlich ist; Klasse C an Unternehmensdienste mit wahrscheinlicher behördenweiter Nutzung oder an wichtige Regierungsdienste; Klasse D wird in Phase 4 von 20x entwickelt. Die Rev5-Regelsätze gelten für die Klassen B, C und D.

Zeitplan ("Important Dates"), neben den oben genannten Daten: Seit 06.07.2026 können Anbieter in der Initial Implementation Phase im Marketplace gelistet werden; seit 10.08.2026 bestehen befristete Rev5-Programmpfade für Klasse B und C ohne Behördensponsor (Ready Conversion, Lost Sponsor) für einen begrenzten Kreis von Anbietern.

Legacy: Unter fedramp.gov/legacy stehen seit 24.06.2026 die früheren Unterlagen (unter anderem SSP-Vorlagen und Baselines) nur noch als Referenz für den Übergang.

Umsetzungsperspektive

• Bestehenden Status einordnen: Welches Profil entspricht dem heutigen Stand, und welche Pflichten folgen ab 01.01.2027?
• Für neue Vorhaben Typ und Klasse nach Einsatzszenario wählen; Rev5 nur, wenn der Antrag vor dem 11.06.2027 realistisch ist.
• Ready-Planungen auf 20x Klasse A umstellen.
• Interne Unterlagen und Verträge von Legacy-Begriffen auf die Begriffe der Regeln 2026 umstellen.
• Änderungen im Changelog der Consolidated Rules verfolgen.

Typische Fehler

1. Planungen beruhen auf Legacy-Dokumenten, die seit 24.06.2026 nur noch Referenz sind.
2. Ein neues Rev5-Vorhaben wird so geplant, dass der Antrag nach dem 11.06.2027 läge.
3. FedRAMP Ready wird noch angestrebt, obwohl seit 28.07.2026 keine Ready-Einreichungen mehr angenommen werden.
4. Der Behördenpfad wird für 20x geplant, obwohl er nur als Legacy für Rev5 besteht.
5. Die verpflichtende Anwendung ab 01.01.2027 wird nicht in die Planung aufgenommen.

Risiken und Trade-offs

20x setzt auf gemessene Ergebnisse und Automatisierung; Anbieter mit ausgereifter Telemetrie profitieren, Anbieter mit dokumentationslastigen Programmen müssen umbauen. Rev5 bleibt für bestimmte Fälle bestehen, schließt aber für neue Anträge im Juni 2027. Die laufende Fortschreibung der Regeln verlangt eine kontinuierliche Beobachtung statt eines einmaligen Projekts.

Entscheidungspunkte

• Welches Zertifizierungsprofil (Typ, Pfad, Klasse) passt zum Dienst?
• Ist ein Rev5-Antrag vor dem 11.06.2027 realistisch?
• Wie wird der bestehende Status auf die Regeln 2026 übergeleitet?
• Wer verfolgt Changelog und Ankündigungen?

Praktische Empfehlungen

1. Ordnen Sie Ihren Dienst einem Zertifizierungsprofil nach den Regeln 2026 zu.
2. Planen Sie Rev5-Anträge mit Abstand zum 11.06.2027 oder wechseln Sie auf 20x.
3. Ersetzen Sie Ready-Planungen durch 20x Klasse A.
4. Aktualisieren Sie interne Begriffe und Unterlagen auf die Regeln 2026.
5. Benennen Sie eine verantwortliche Person für die Beobachtung von Changelog und Ankündigungen.

Relevante Normreferenzen

• FedRAMP Consolidated Rules for 2026: Important Dates, FedRAMP Definitions, Ruleset Reference Rev5 und 20x (fedramp.gov, Abruf 10.10.2026).
• FedRAMP 20x (fedramp.gov/20x); FedRAMP Legacy Documentation (fedramp.gov/legacy).