Der Weg zur FedRAMP-Zertifizierung: Klasse A über SOC 2, unabhängige Prüfung, Behördenpfad

Problem in der Praxis

Deutsche Anbieter bringen oft ein ISO-27001-Zertifikat und ein C5-Testat mit. Für den Einstieg in Klasse A zählen diese nach den Regeln 2026 nicht; verlangt ist, soweit kein FedRAMP- oder GovRAMP-Status besteht, ein SOC-2-Type-II-Bericht aus den letzten zwölf Monaten. Wer keinen hat, verliert Zeit. Für höhere Klassen ist eine von FedRAMP anerkannte Prüfstelle zu beauftragen, deren Prüfung zum Antragszeitpunkt höchstens drei Monate alt sein darf; das verlangt eine enge Zeitplanung zwischen Prüfung und Antrag.

CISO-Einordnung

Grundregeln (FRC-CSO): Zielprofil festlegen und alle einschlägigen FedRAMP-Praktiken anwenden; vollständiges FedRAMP-Zertifizierungspaket liefern; Angaben in JSON gemäß den FedRAMP-Schemata, soweit eine Regel ein Schema vorsieht; Verantwortung für Richtigkeit und Vollständigkeit auch bei Einsatz unabhängiger Prüfer, Berater oder anderer Dritter; keine parallele Rev5- und 20x-Programmzertifizierung für dasselbe Angebot.

Klasse A (FRC-CLA):

• Voraussetzung: Zertifizierung oder gleichwertiges Verfahren einschließlich einer unabhängigen Prüfung, soweit anwendbar, innerhalb der letzten 12 Monate nach FedRAMP Rev5 (einschließlich Ready), SOC 2 Type II oder GovRAMP (FRC-CLA-ASF).
• Unterlagen (FRC-CLA-EAM): bei SOC 2 Type II unter anderem der vollständige Bericht, gegebenenfalls ein Bridge- oder Gap-Letter, verifizierte Auftragsunterlagen und der voraussichtliche Zeitplan des nächsten Berichts; bei FedRAMP Ready oder GovRAMP der Readiness Assessment Report, der Security Assessment Plan und weitere geforderte Unterlagen.
• Zusätzlich gilt ein Satz verpflichtender FedRAMP-Regeln für Klasse A; laut Changelog sind die Key Security Indicators auch dann zu adressieren, wenn später ein Rev5-Programmpfad angestrebt wird.

Antrag (FRC-APP):

• Listung im FedRAMP Marketplace vor dem Antrag.
• Vollständig ausgefülltes Antragsformular; frisches Zertifizierungspaket, vom Anbieter innerhalb der letzten 7 Tage verifiziert und validiert.
• Für die Klassen B, C und D eine frische unabhängige Erstprüfung durch eine FedRAMP Recognized Prüfstelle, höchstens drei Monate alt; eine veraltete Prüfung kann durch Überprüfung der Änderungen aufgefrischt werden, außer sie ist älter als neun Monate.
• Kein Antrag durch Dritte, auch nicht durch Prüfstellen; Dritte dürfen bei der Vorbereitung helfen.

Behördenpfad (FRC-APS, nur Rev5, Klassen B bis D): abgeschlossener ATO-Prozess mit der sponsernden Behörde, dessen unterschriebenes ATO-Schreiben die Behörde über offizielle Regierungskanäle an FedRAMP übermittelt hat.

Gesetzlicher Rahmen: Die Bewertung im FedRAMP-Paket wird für die Betriebsgenehmigung der Behörden als angemessen vermutet; die Sicherheitsverantwortung der Behörde und ihre Befugnis, nachweislich nötige zusätzliche Anforderungen zu stellen, bleiben unberührt (44 U.S.C. 3613(e)). Unabhängige Prüfstellen müssen jährlich Angaben zu ausländischen Beteiligungen, ausländischem Einfluss oder ausländischer Kontrolle machen und Änderungen der ausländischen Eigentümerschaft oder Kontrolle binnen 48 Stunden nachmelden (44 U.S.C. 3612); das betrifft die Prüfstelle, nicht den Anbieter.

Umsetzungsperspektive

• Einstiegsweg festlegen: Klasse A über SOC 2 Type II, falls kein FedRAMP- oder GovRAMP-Status besteht; höhere Klassen mit anerkannter Prüfstelle.
• SOC-2-Type-II-Bericht so planen, dass er zum Antragszeitpunkt höchstens zwölf Monate alt ist; Bridge-Letter und nächsten Berichtstermin bereithalten.
• Prüfstelle aus dem Kreis der FedRAMP Recognized Stellen auswählen und den Antrag binnen drei Monaten nach Abschluss der Prüfung stellen.
• Maschinenlesbare Pakete aufbauen und den Anbieter-Check innerhalb von 7 Tagen vor dem Antrag einplanen.
• Antrag selbst stellen; Berater und Prüfer unterstützen nur.

Typische Fehler

1. ISO 27001 oder C5 wird als Einstieg für Klasse A angenommen, obwohl nur Rev5, SOC 2 Type II und GovRAMP genannt sind.
2. Der SOC-2-Bericht ist beim Antrag älter als zwölf Monate.
3. Zwischen unabhängiger Prüfung und Antrag liegen mehr als drei Monate, ohne dass die Prüfung durch eine anerkannte Prüfstelle aufgefrischt wurde (möglich, solange sie nicht älter als neun Monate ist).
4. Ein Berater stellt den Antrag im Namen des Anbieters.
5. Rev5- und 20x-Programmzertifizierung werden parallel für dasselbe Angebot verfolgt.

Risiken und Trade-offs

Klasse A ist der schnellste Einstieg, bietet aber nur minimale Zusicherung und genügt nicht für alle Einsatzszenarien. Höhere Klassen verlangen eine anerkannte Prüfung und eine enge Taktung. Ein zusätzlicher SOC-2-Bericht kostet Geld, ist aber für Anbieter ohne FedRAMP- oder GovRAMP-Status der Schlüssel zum Einstieg.

Entscheidungspunkte

• Welche Klasse ist für den Dienst angemessen, und über welchen Einstieg wird sie erreicht?
• Liegt ein SOC-2-Type-II-Bericht vor, oder muss er beauftragt werden?
• Welche FedRAMP Recognized Prüfstelle wird beauftragt, und wie wird die Drei-Monats-Frist gehalten?
• Wer verantwortet Richtigkeit und Vollständigkeit des Pakets?

Praktische Empfehlungen

1. Prüfen Sie, ob Ihre vorhandenen Nachweise einem der drei Rahmenwerke für Klasse A entsprechen.
2. Planen Sie SOC-2-Berichte so, dass sie beim Antrag höchstens zwölf Monate alt sind.
3. Takten Sie unabhängige Prüfung und Antrag innerhalb von drei Monaten.
4. Bauen Sie die maschinenlesbare Paketerstellung früh auf.
5. Stellen Sie den Antrag selbst und bleiben Sie für alle Angaben verantwortlich.

Relevante Normreferenzen

• FedRAMP Consolidated Rules for 2026, Regelsatz FedRAMP Certification (FRC-CSO, FRC-CLA-ASF, FRC-CLA-EAM, FRC-APP, FRC-APS), Abruf 10.10.2026.
• 44 U.S.C. 3612 und 3613(e).