Zusammenfassung

  • Der vorgeschlagene FedRAMP-Zeitplan sieht Hinweise am 12. Oktober und eine Rückmeldung bis zum 16. Oktober für geeignete Anbieter mit eigener oder hybrider Infrastruktur vor.
  • Die Arbeitsgruppe soll untersuchen, wie kommerzielle Zertifizierungen in künftige FedRAMP-20x-Regeln einfließen könnten; weder Teilnahme noch ein kommerzielles Zertifikat garantieren eine FedRAMP-Zertifizierung oder die Freigabe einer konkreten Behörde.

Analyse

Das US-Bundesprogramm für Risiko- und Autorisierungsmanagement (FedRAMP) hat in seinem Vorschlag für Phase 4 von FedRAMP 20x einen kurzfristigen Beteiligungsprozess angesetzt. Es will geeignete Cloud-Anbieter anhand bereits im Marketplace verfügbarer Informationen ermitteln, am 12. Oktober Hinweise über deren FedRAMP Security Inbox versenden und bis zum 16. Oktober Antworten erhalten. Das Dokument bezeichnet diese Daten als Zieltermine unter dem Vorbehalt unerwarteter Verzögerungen. Es nennt weder Empfänger noch behauptet es, die Hinweise seien bereits versandt.

Die Voraussetzungen sind eng gefasst: Der Anbieter muss eine gültige FedRAMP-Rev5-Zertifizierung der Class C oder Class D besitzen, mindestens 15 Nutzungen durch Behörden verzeichnet haben und überwiegend eigene oder hybride Infrastruktur betreiben. Mehrere geeignete Angebote desselben Anbieters werden nur einmal gezählt. Eigene Infrastruktur umfasst Anlagen, die der Anbieter selbst betreibt oder für die er im Rahmen einer Vereinbarung mit einem Dritten die Verantwortung trägt. Der Opt-in eröffnet direkte Gespräche, ist aber kein öffentlicher Zertifizierungsantrag.

Der gesonderte Pfad reagiert auf eine Lücke, die FedRAMP in seinem Vorschlag beschreibt: Die ersten drei Phasen von 20x konzentrierten sich auf Dienste, die auf bereits Rev5-zertifizierter Infrastruktur oder Plattformen laufen. Anbieter, die für eigene physische Infrastruktur einstehen, stellen eine andere Gestaltungsfrage. FedRAMP will ihre vorhandenen Branchenzertifizierungen untersuchen, mit den einschlägigen Rev5-Anforderungen abgleichen und bestehende Nachweise, soweit möglich, für eine spätere 20x-Zertifizierung nutzbar machen.

Phase 4 umfasst daneben einen Class-D-Pilot für cloudgehostete Dienste und einen eigenen Austausch mit unabhängigen Prüfstellen. Beide haben separate Kriterien und Zeitpläne. Für Anbieter eigener Infrastruktur betrifft der vorgeschlagene 16. Oktober die Entscheidung über eine Teilnahme an den ersten Gesprächen. Es ist weder eine allgemeine Frist für alle Anbieter noch eine FedRAMP-Statusentscheidung.

Die endgültigen 20x-Regeln für selbst- oder hybridgehostete Dienste sind noch offen. FedRAMP will die Ergebnisse in die konsolidierten Regeln für 2027 übernehmen und peilt den 4. November für eine öffentliche Kommentierungsrunde zu diesem Hosting-Modell an. Der Zeitplan sieht spätere Gespräche und im Februar eine weitere öffentliche Regelanfrage vor. Es handelt sich um geplante Termine, nicht um bereits abgeschlossene Schritte.

Quellen