CMMC 2.0 Governance-Krise: Daten zeigen, dass 62 % der Verteidigungsauftragnehmer entscheidende Kontrollen für die Zertifizierung nicht erfüllen

Rüstungsunternehmen, die eine CMMC 2.0 Level 2-Zertifizierung anstreben, stehen vor einer ernüchternden Realität: 62% verfügen nicht über die umfassenden Governance-Kontrollen, die mit dem Zertifizierungserfolg korrelieren. Diese Erkenntnis stammt aus der Kiteworks-Analyse 2025 von 104 Organisationen, die aktiv CMMC 2.0 anstreben – Teil einer umfassenderen Umfrage zu Daten- und Compliance-Praktiken von 461 Organisationen weltweit. Bericht: Mehr als die Hälfte der DoD-Zulieferer scheitert an ihren Governance-Kontrollen.

Dieses Governance-Defizit erzeugt eine Kettenreaktion von Schwachstellen in den Lieferketten der Verteidigungsindustrie. Organisationen, die die Wirksamkeit ihrer Maßnahmen messen, erzielen deutlich bessere Sicherheitsresultate – nur 19% fallen in die Kategorie mit niedriger Verschlüsselung, verglichen mit 25% bei jenen ohne konsequente Messsysteme. Für Auftragnehmer, die mit sensiblen Daten arbeiten, stellen diese Lücken erhebliche operative und Compliance-Risiken dar.

Was die Daten zur CMMC 2.0-Bereitschaft zeigen

Unter den 104 Rüstungsunternehmen, die eine CMMC 2.0 Level 2-Zertifizierung anstreben, zeichnen sich Muster ab, die jede Organisation der Verteidigungsindustrie beunruhigen sollten. Die zwischen Oktober 2024 und Januar 2025 erhobenen Umfragedaten zeigen grundlegende Diskrepanzen zwischen Sicherheitsinvestitionen und Governance-Reife.

Nur 38% der CMMC-orientierten Unternehmen haben umfassende Governance-Kontroll- und Nachverfolgungssysteme implementiert – leicht unter dem branchenübergreifenden Durchschnitt von 40%. Dieser Nachteil von zwei Prozentpunkten wird kritisch, wenn er mit anderen Governance-Mängeln kombiniert wird und so das Risiko für den Zertifizierungserfolg erhöht. Besonders aussagekräftig ist die Lücke bei der Messdisziplin: Organisationen, die irgendeine Form der Wirksamkeitsmessung einsetzen, erzielen nachweislich bessere Ergebnisse. In der CMMC-Gruppe fallen 19% der Organisationen mit Metrik-Tracking in die Kategorie niedrige Verschlüsselung (≤50% Abdeckung), verglichen mit 25% bei Organisationen ohne Messsysteme. 95% der CMMC-Organisationen verfolgen zumindest einige Metriken, gegenüber 93% in allen Branchen.

Besorgniserregend ist zudem, dass nur 22% der CMMC-Organisationen Sicherheitsanforderungen in Lieferantenverträgen verankern, verglichen mit 27% aller befragten Organisationen. Diese Lücke von fünf Prozentpunkten stellt eine grundlegende Schwäche der Lieferkettensicherheit dar – besonders kritisch angesichts der CMMC-Anforderungen zum Schutz sensibler Daten entlang der gesamten Lieferkette.

Geografische Konzentration und Größen-Dynamik

Die geografische Verteilung zeigt einen starken Druck innerhalb der US-Verteidigungsindustrie: 62% der CMMC-Befragten sind in Nordamerika tätig, gegenüber nur 32% in der Gesamtumfrage. Aus dem asiatisch-pazifischen Raum stammen 20% der CMMC-Befragten, Europa stellt 11% und der Nahe Osten/Afrika 7%. Diese Konzentration deutet darauf hin, dass internationale Zulieferer ihre CMMC-Pflichten unterschätzen oder weniger weit in der Vorbereitung sind.

Die Unternehmensgröße korreliert stark mit den Sicherheitsresultaten, jedoch anders als erwartet. Mittelständische Unternehmen (5.000–9.999 Mitarbeitende) erzielen mit 59% die höchste Top-Tier-Verschlüsselungsabdeckung (76–100%). Das übertrifft sowohl kleinere Unternehmen mit weniger als 5.000 Mitarbeitenden (52%) als auch Großunternehmen mit mehr als 20.000 Mitarbeitenden (38%) deutlich. Das Paradoxon: Der Erfolg resultiert aus Governance-Disziplin, nicht aus Ressourcen oder Größe.

Der Ansatz mittelständischer Unternehmen unterscheidet sich deutlich von dem ihrer Mitbewerber. Während 36% Richtlinien- und Datenschutzvereinbarungs-Updates priorisieren (gleichauf mit höheren Compliance-Budgets), setzen kleinere Unternehmen stark auf neue technische Kontrollen (37%) und die größten Unternehmen ebenfalls auf technische Lösungen (38%). Dieser Governance-First-Ansatz bei Mittelständlern korreliert direkt mit ihren überlegenen Ergebnissen.

Regulatorische Entwicklung und Vendor Compliance dominieren die Herausforderungen

Die Befragten bewerteten Herausforderungen nach einem gewichteten Punktesystem, wobei zwei Themen alle anderen überragen. „Mit sich ändernden Vorschriften Schritt halten“ erzielte 78 Punkte: 23% nannten es als größte Herausforderung, 38% als eine der beiden wichtigsten. CMMC-Organisationen priorisieren diese Herausforderung um sechs Prozentpunkte stärker als der Durchschnitt – ein Spiegel der dynamischen Compliance-Anforderungen im Verteidigungssektor.

Knapp dahinter folgt „Vendor Compliance und Risiko“ mit 73 Punkten: 18% sehen es als größte Herausforderung, 38% als eine der beiden wichtigsten. Bemerkenswert: 39% der CMMC-Organisationen nennen Vendor Compliance unter ihren Top-3-Herausforderungen, verglichen mit 32% branchenweit – eine Lücke von sieben Prozentpunkten, die den besonderen Druck in der Lieferkette der Verteidigungsindustrie unterstreicht.

Diese regulatorischen und lieferkettenbezogenen Herausforderungen überwiegen alle anderen deutlich. „Compliance und Datenzugriff ausbalancieren“ erreicht 59 Punkte, „Mitarbeiterschulung und Sensibilisierung“ 42 Punkte. Budgetbeschränkungen spielen mit nur 5 Punkten kaum eine Rolle – Ressourcen sind vorhanden, aber es fehlen die Governance-Rahmen, um sie effektiv einzusetzen. Dieses Muster zeigt sich über alle Unternehmensgrößen hinweg: Vendor Compliance ist die beständigste operative Herausforderung, unabhängig vom Maßstab.

Lücke im Vendor Risk Management

Die Vendor Compliance-Herausforderung verdient eine genauere Betrachtung, da sie in allen Unternehmensgrößen präsent ist und eine Schlüsselrolle für den CMMC-Erfolg spielt. Die aktuellen Vendor-Risk-Kontrollen bei CMMC-Organisationen zeigen eine gemischte Reife. Während 48% regelmäßige Lieferantenaudits durchführen (gegenüber 44% insgesamt) und 38% Third-Party-Risk-Management-Tools nutzen (gegenüber 37% insgesamt), bestehen weiterhin kritische Lücken.

Nur 28% der CMMC-Organisationen führen formale Third-Party-Risikoanalysen durch – leicht über dem Branchendurchschnitt von 25%. Besonders kritisch: Nur 22% verankern vertragliche Sicherheitsanforderungen – fünf Prozentpunkte unter dem Branchenstandard von 27%. Diese vertragliche Lücke ist besonders problematisch, da CMMC verbindliche Anforderungen für den Datenschutz entlang der gesamten Lieferkette vorschreibt. Ohne vertragliche Verpflichtungen können Unternehmen nicht sicherstellen, dass Lieferanten die geforderten Sicherheitskontrollen einhalten oder sensible Verteidigungsdaten korrekt behandeln.

Die Auswirkungen ziehen sich durch die gesamte Lieferkette. Unternehmen, die Hunderte oder Tausende Lieferanten managen, stehen vor exponentiell wachsender Komplexität, wenn keine vertraglichen Rahmenbedingungen zur Durchsetzung von Standards existieren. Die 39%, die Vendor Compliance als Top-Herausforderung nennen, unterschätzen vermutlich das volle Ausmaß ihres Risikos, zumal viele ihr gesamtes Lieferanten-Ökosystem nicht kennen.

Strategische Umsetzungsmuster zeigen Erfolgsfaktoren

Kleine und mittelgroße Unternehmen mit weniger als 5.000 Mitarbeitenden setzen vor allem auf technische Lösungen: 37% priorisieren neue technische Kontrollen. Nachrangig folgen aktualisierte Richtlinien und Datenschutzvereinbarungen (33%) sowie verbessertes Third-Party-Risk-Management (28%). Ihre Herausforderungen spiegeln die allgemeinen Muster wider: Vendor Compliance betrifft 41%, das Ausbalancieren von Zugriff und Anforderungen 39% und sich ändernde Vorschriften 37%. Mit 52% Top-Tier-Verschlüsselung erzielen diese Organisationen trotz begrenzter Ressourcen moderate Erfolge.

Mittelständische Unternehmen mit 5.000 bis 9.999 Mitarbeitenden verfolgen deutlich andere Ansätze und erzielen bessere Ergebnisse. Jeweils 36% priorisieren Richtlinien-Updates und höhere Compliance-Budgets, 32% verbessern das Third-Party-Risk-Management. Ihre Herausforderungen sind ausgeprägter: 46% kämpfen mit Vendor Compliance, 41% mit überlappenden Vorschriften. Dieser Governance-Fokus führt jedoch zur höchsten Erfolgsquote: 59% erreichen Top-Tier-Verschlüsselung.

Großunternehmen mit über 20.000 Mitarbeitenden stehen trotz großer Ressourcen vor Komplexitätsproblemen. Neue technische Kontrollen dominieren (38%), gefolgt von höheren Budgets (33%) und Richtlinien-Updates (24%). Vendor Compliance bleibt für 38% problematisch, das Auffinden regulierter Daten und das Management sich ändernder Vorschriften beschäftigen jeweils 33%. Trotz der Ressourcen erreichen nur 38% Top-Tier-Verschlüsselung – der niedrigste Wert aller Segmente. Das bestätigt: Unternehmensgröße ohne Governance-Disziplin schafft mehr Schwachstellen statt weniger.

Partner-Paradoxon und Messimperativ

Einer der überraschendsten Befunde der Umfrage betrifft externe Berater. Unternehmen mit Partnern erzielen keinen grundsätzlichen Vorteil gegenüber jenen, die die Zertifizierung eigenständig verfolgen – vorausgesetzt, beide Gruppen pflegen Messdisziplin. Bei Organisationen mit Messsystemen liefern beide Ansätze ähnliche Resultate: Rund 45–46% erreichen Top-Tier-Verschlüsselung, mit niedrigen Verschlüsselungsraten um 19–20%. Organisationen, die weder messen noch Partner einsetzen, schneiden deutlich schlechter ab – 30% fallen in die Kategorie niedrige Verschlüsselung.

Dieses Muster zeigt: Erfolgreiche CMMC-Programme betrachten Partner als Verstärker interner Disziplin, nicht als Ersatz für Governance-Reife. Die Daten belegen: Expertise ohne Messung bringt kaum Verbesserung, während Messung auch ohne externe Expertise positive Resultate erzielt. Für Rüstungsunternehmen, die Berater hinzuziehen möchten, ist die Lektion klar: Erst Messrahmen schaffen, dann externe Expertise gezielt zur Beschleunigung innerhalb dieses Rahmens nutzen.

Governance-Grundlagen für CMMC-Erfolg schaffen

Basierend auf den Umfrageergebnissen sollten Rüstungsunternehmen fünf miteinander verbundene Prioritäten setzen, um die kritischsten Lücken zu schließen. Erstens und am dringendsten: Die vertragliche Sicherheitslücke muss geschlossen werden. Da nur 22% Sicherheitsanforderungen in Verträgen verankern – fünf Prozentpunkte unter dem Branchendurchschnitt – ist dies die am einfachsten adressierbare Schwachstelle. Jede Lieferantenbeziehung erfordert explizite Datenschutzanforderungen, Flow-Down-Verpflichtungen, Audit-Rechte und Protokolle zur Meldung von Datenschutzverstößen.

Zweitens sind umfassende Messsysteme für den Erfolg unerlässlich. Die Verbesserung der Sicherheitsresultate um sechs Prozentpunkte bei messenden Organisationen erfordert die Festlegung von Key Performance Indicators für jede Kontrollfamilie, automatisierte Metrik-Erfassung, regelmäßige Governance-Reviews und Trendanalysen statt Einzelbewertungen. Unternehmen, die bereits Metriken verfolgen, sollten die Abdeckung ausweiten und die Review-Prozesse formalisieren.

Drittens muss das Vendor Risk Management über einfache Audits hinausgehen. Während 48% Lieferantenaudits durchführen (über dem Durchschnitt von 44%), erfordert umfassende Vendor Governance systematische Risikoanalysen, Technologieplattformen, kontinuierliches Monitoring und regelmäßige Neubewertungen. Die 46% der mittelständischen Unternehmen, die mit Vendor Compliance kämpfen, zeigen, dass selbst erfolgreiche Segmente hier weiter gefordert sind.

Viertens sollten Organisationen ihre Strategie an Größe und Fähigkeiten ausrichten. Die Erfolgsmodelle der Mittelständler – 59% Top-Tier-Verschlüsselung durch Governance-First-Ansätze – bieten eine replizierbare Vorlage. Governance-Investitionen und technische Kontrollen ausbalancieren, Richtlinien- und Prozessentwicklung gleichrangig mit Technologieeinsatz priorisieren und dem Drang widerstehen, Governance-Probleme allein durch Technik zu lösen.

Schließlich sollten externe Partner als Governance-Enabler und nicht als schlüsselfertige Lösungen betrachtet werden. Die Einführung von Messrahmen fordern, Wissenstransfer neben der Implementierung verlangen, interne Verantwortung für Governance-Prozesse bewahren und die Effektivität von Partnern an verbesserten Metriken messen – nicht an der bloßen Abarbeitung von Aufgaben.

Wegweiser für Rüstungsunternehmen

Die Auswirkungen reichen über den Einzelerfolg hinaus bis zur gesamten Verteidigungsindustrie. Da 62% der CMMC-orientierten Unternehmen keine umfassenden Governance-Kontrollen besitzen, bestehen systemische Schwachstellen entlang der Lieferketten. Die Herausforderung „sich ändernde Vorschriften“ mit 78 Punkten wird sich mit wachsenden Bedrohungen und Anforderungen weiter verschärfen. Vendor-Compliance-Probleme mit 73 Punkten setzen sich durch alle Lieferkettenstufen fort und schaffen zusätzliche Risiken. Unternehmen mit ausgereifter Governance sichern sich nachhaltige Wettbewerbsvorteile, während andere durch das Scheitern bei der Zertifizierung unter Konsolidierungsdruck geraten.

Erfolgsmuster existieren in allen Unternehmensgrößen und Sektoren. Mittelständler, die mit Governance-First-Ansätzen 59% Top-Tier-Verschlüsselung erreichen, zeigen, was mit richtiger Priorisierung möglich ist. Selbst ressourcenbegrenzte kleinere Unternehmen sind erfolgreich, wenn sie Messdisziplin und vertragliche Strenge über reine Technologieinvestitionen stellen. Ermutigend: CMMC-Organisationen übertreffen bereits die Branchenmittel bei der Effektivitätsmessung (95% vs. 93%), Lieferantenaudits (48% vs. 44%) und Risikoanalysen (28% vs. 25%). Was fehlt, ist die vertragliche Disziplin und umfassende Governance, um diese Aktivitäten in konsistente Sicherheitsresultate zu überführen.

Fazit: Governance als Fundament für CMMC-Erfolg

Die Daten sprechen eine klare Sprache: Der Erfolg mit CMMC 2.0 hängt stärker von Governance-Reife als von technischer Raffinesse oder Ressourcen ab. Da fast zwei Drittel der Rüstungsunternehmen ohne umfassende Governance-Kontrollen arbeiten, erfordert der Weg zur Zertifizierung grundlegende Veränderungen statt inkrementeller Verbesserungen.

Organisationen, die konsequent messen, Anforderungen vertraglich verankern und ihre Ansätze angemessen skalieren, erzielen nachweislich bessere Ergebnisse. Die Differenz von sechs Prozentpunkten bei niedrigen Verschlüsselungsraten zwischen messenden und nicht messenden Organisationen steht für Tausende potenzieller Schwachstellen in der gesamten Verteidigungsindustrie. Für jedes Unternehmen mit 25% niedriger Verschlüsselung gibt es ein anderes mit guter Governance, das nur 19% erreicht – ein signifikanter Unterschied, multipliziert über die gesamte Lieferkette.

Für Rüstungsunternehmen ist Governance keine Bürokratie – sie ist das Fundament, das alle anderen Investitionen wirksam macht. Wer dieses Fundament heute legt, positioniert sich nicht nur für die Zertifizierung, sondern für nachhaltige Wettbewerbsvorteile in einem zunehmend sicherheitsbewussten Markt. Die Muster sind durch empirische Analyse von 104 CMMC-orientierten Organisationen belegt. Die Lücken sind im Vergleich zu 461 Gesamtteilnehmern klar identifiziert. Die Frage ist, ob Ihr Unternehmen zu den erfolgreichen 38% mit ausgereifter Governance gehören wird – oder zu den 62%, die auf technische Kontrollen allein setzen.

Mit den steigenden Anforderungen von CMMC 2.0 Level 2 und der wachsenden Abhängigkeit von der Zertifizierung für Verteidigungsaufträge wird das Zeitfenster für den Aufbau solider Governance-Grundlagen immer enger. Die Daten zeigen, was funktioniert, was nicht – und warum. Der Rest hängt vom Engagement Ihrer Organisation ab, diese Erkenntnisse in die Praxis umzusetzen.

Diese Analyse basiert auf dem 2025 Data Security and Compliance Risk: Annual Survey Report von Kiteworks. Sie konzentriert sich auf 104 Organisationen, die aktiv die CMMC 2.0 Level 2-Zertifizierung anstreben, als Teil einer umfassenderen Umfrage von 461 Organisationen im April 2025.

Weitere Ressourcen

• Blog Post CMMC-Compliance für kleine Unternehmen: Herausforderungen und Lösungen
• Blog Post Wenn Sie CMMC 2.0 erfüllen müssen: Ihre vollständige CMMC-Compliance-Checkliste
• Blog Post CMMC-Audit-Anforderungen: Was Prüfer sehen müssen, um Ihre CMMC-Bereitschaft zu bewerten
• Guide CMMC 2.0-Compliance-Mapping für die Kommunikation sensibler Inhalte
• Blog Post 12 Dinge, die Zulieferer der Verteidigungsindustrie zur Vorbereitung auf CMMC 2.0 wissen müssen