NIST SP 800-171 Rev. 2 è uno standard di sicurezza federale statunitense che definisce 110 requisiti per proteggere le Controlled Unclassified Information, o CUI, nei sistemi non federali. Copre controlli pratici come la gestione degli accessi, l'autenticazione, la registrazione degli audit, la risposta agli incidenti, la gestione delle configurazioni e la protezione dei supporti.
È importante perché molti appaltatori della difesa, fornitori e service provider gestiscono CUI al di fuori delle reti federali. Negli ambienti reali, lo standard viene usato per misurare se quei sistemi sono sufficientemente sicuri da archiviare, elaborare e trasmettere dati governativi sensibili. Gli attaccanti spesso prendono di mira questi ambienti attraverso password deboli, segmentazione inadeguata o log mancanti; lo standard spinge le organizzazioni a ridurre queste lacune e a dimostrare di avere le evidenze a supporto delle proprie affermazioni. Nelle valutazioni per la difesa, è anche la baseline alla base della preparazione al livello 2 del CMMC.