DFARS-Klassenausnahme 2026-O0025, Revision 3: Was sich tatsächlich für CMMC ändert

Verteidigungsauftragnehmer, die den CMMC-Zeitplan verfolgen, erhielten am 3. September 2026 einen weiteren Anhaltspunkt, als das Department of War

Revision 3 der DARS Class Deviation 2026-O0025

veröffentlichte. Die Überarbeitung schreibt die Aussetzung von CMMC Phase 2 zum 13. Juli 2026 direkt in den DFARS Part 240-Text und gibt Vergabestellen klare Anweisungen, wie sie mit CMMC-Anforderungen in Ausschreibungen und Verträgen umgehen sollen, während die Programmüberprüfung weiterläuft. Wenn Sie IT-, Risiko- oder Compliance-Verantwortlicher in der Defense Industrial Base sind, erfahren Sie hier, was sich geändert hat, was nicht – und warum die unveränderten Teile wahrscheinlich noch wichtiger sind.

Executive Summary

Hauptaussage:

Revision 3 verankert die Pause von CMMC Phase 2 formell im Vertragswerk, erlaubt die Erfüllung von CMMC Level 1 und Level 2 durch Selbsteinschätzung und verschiebt das Datum, an dem CMMC zur automatischen, universellen Vertragsanforderung wird, auf den 10. November 2028 – zwei Jahre später als vom Markt erwartet. Die zugrundeliegende Verpflichtung, geschützte Verteidigungsinformationen gemäß DFARS 252.204-7012 zu schützen, bleibt davon unberührt. Die Regierung behält sich weiterhin das Recht vor, eigene Medium- und High-Assessments nach NIST SP 800-171 durchzuführen – unabhängig vom Status der Selbsteinschätzung des Auftragnehmers.

Warum das für Sie relevant ist:

Ein selbst attestierter CMMC-Status ist eine Erklärung, die Sie gegenüber der Regierung abgeben, die im Supplier Performance Risk System (SPRS) veröffentlicht und später überprüft werden kann. Hält Ihre Selbstauskunft einer behördlichen Prüfung nicht stand, sind Sie nicht nur aus der Compliance. Sie setzen sich auch dem Risiko aus, nach dem False Claims Act belangt zu werden – für eine Angabe, auf die sich die Regierung bei der Vergabe, Verlängerung oder Erneuerung Ihres Vertrags verlassen hat.

Five Key Takeaways

1. 
   Selbsteinschätzung ist jetzt Vertragsbestandteil, nicht nur ein temporärer Workaround.
   
   Revision 3 erlaubt CMMC Level 1 und Level 2 als Selbsteinschätzungen in Beschaffungsunterlagen und weist Vergabestellen an, laufende Ausschreibungen entsprechend zu ändern. Das ist keine informelle Empfehlung mehr, sondern eine verbindliche Vorgabe für Vergabestellen.
2. 
   DFARS 252.204-7012 wurde nie ausgesetzt.
   
   Die Klausel, die Auftragnehmer zur Sicherung geschützter Verteidigungsinformationen und zur Umsetzung von NIST SP 800-171 verpflichtet, bleibt uneingeschränkt in Kraft. Revision 3 ändert nichts an der zugrundeliegenden Sicherheitsanforderung, sondern nur am Prüfmechanismus.
3. 
   Das DoD behält seine eigene Prüfkompetenz.
   
   Revision 3 bewahrt das Recht der Regierung, Medium- und High-Assessments nach NIST SP 800-171 auf jedem betroffenen Auftragnehmersystem durchzuführen – unabhängig vom Status der Selbsteinschätzung. Führt die Defense Contract Management Agency (DCMA) eine Prüfung durch, hat deren Ergebnis Vorrang vor allen anderen Bewertungen, auch Ihrer eigenen Selbsteinschätzung.
4. 
   Die universelle CMMC-Pflicht ist nicht verschwunden, sondern um zwei Jahre verschoben.
   
   Bis zum 9. November 2028 wird die CMMC-Klausel nur eingefügt, wenn eine Programmstelle im Einzelfall entscheidet, dass ein Auftragnehmer ein bestimmtes Level benötigt. Ab dem 10. November 2028 erfolgt die Einfügung automatisch für jeden Vertrag, der FCI oder CUI berührt. Das ist das eigentliche Stichtagsdatum – nicht November 2026 – und deutet darauf hin, dass Phase 2 in irgendeiner Form zurückkehren wird.
5. 
   Vergabe und Optionsausübung hängen beide vom aktuellen CMMC-Status ab.
   
   Vergabestellen müssen den SPRS-Status vor der Vergabe, vor der Optionsausübung und vor der Verlängerung der Leistungsperiode prüfen und alle drei verweigern, wenn der Status abgelaufen ist. Ein veralteter Status kann eine Verlängerung ebenso blockieren wie ein neues Geschäft.

Was Revision 3 tatsächlich bewirkt

Revision 3 ersetzt Revision 2 derselben Class Deviation und bewirkt drei wesentliche Dinge. Erstens weist sie Vergabestellen an, gemeinsam mit den Bedarfsträgern CMMC-Anforderungen in neuen und bestehenden Ausschreibungen und Verträgen zu entfernen oder anzupassen – gemäß dem CIO-Memorandum des Department of War vom 13. Juli 2026, das den Übergang zu CMMC Phase 2 aussetzt. Dieses Memo erlaubt, CMMC Level 1 und Level 2 als Selbsteinschätzungen aufzunehmen und verlangt grundlegende Compliance mit NIST SP 800-171 Rev 2 gemäß DFARS 252.204-7012.

Zweitens – und das ist der Punkt, der tatsächlich den Compliance-Zeitplan ändert und nicht nur die Kommunikation dazu – legt Revision 3 zwei verschiedene Grundlagen fest, wann die CMMC-Klausel 252.204-7021 in einen Vertrag aufgenommen wird. Bis zum 9. November 2028 wird die Klausel nur eingefügt, wenn eine Programmstelle oder ein Bedarfsträger im Einzelfall entscheidet, dass ein Auftragnehmer ein bestimmtes CMMC-Level benötigt – ähnlich wie bisher. Ab dem 10. November 2028 erfolgt die Einfügung automatisch, sobald ein Vertrag Systeme betrifft, die Federal Contract Information oder Controlled Unclassified Information verarbeiten, speichern oder übertragen – ohne Einzelfallentscheidung. Dieses Datum ist der eigentliche Auslöser für die universelle Pflicht und liegt zwei Jahre später als das bisher erwartete Datum im November 2026.

Drittens behandelt Revision 3 eine davon unabhängige Angelegenheit im Zusammenhang mit laufender Rechtsprechung: einen temporären Verzicht auf das Verbot chinesischer Militärunternehmen gemäß 10 U.S.C. 4663 für eine namentlich genannte Organisation – auf Anordnung eines Bundesgerichts. Dieser Punkt steht in keinem Zusammenhang mit CMMC, zeigt aber, wie solche Deviations funktionieren: Sie bündeln alle zum Zeitpunkt der Veröffentlichung anstehenden regulatorischen Änderungen und sind darauf ausgelegt, bei Bedarf erneut angepasst zu werden. Revision 3 existiert, weil Revision 2 aktualisiert werden musste. Revision 4 ist keine theoretische Möglichkeit.

Für Auftragnehmer, deren bestehende Verträge bereits CMMC-Phase-2-Sprache enthalten, sind Vergabestellen verpflichtet, diese per Vertragsänderung zu entfernen – entweder vor der nächsten Optionsausübung oder bei der nächsten geplanten administrativen Änderung. Das ist ein operativer Schritt, keine bloße Absichtserklärung auf einer Webseite. Wenn Ihr Vertrag Phase-2-Sprache enthält, rechnen Sie mit einer Änderung – und schließen Sie aus deren bisherigem Ausbleiben keine Rückschlüsse auf Ihre Verpflichtungen gemäß 252.204-7012.

Warum Selbsteinschätzung Ihr Risiko nicht senkt

Es lohnt sich, die Teile von Revision 3 klar zu benennen, die wie eine Erleichterung wirken, es aber nicht sind. Selbsteinschätzung klingt nach weniger Kontrolle. Tatsächlich entfällt damit die einzige Instanz, die bisher zwischen Ihrer internen Behauptung und dem Vertrauen der Regierung darauf stand: eine unabhängige Drittprüfung. Führt ein C3PAO eine Prüfung durch, gibt es einen professionellen Mittler, der für das Geprüfte einsteht. Bei Selbsteinschätzung entfällt diese Instanz. Die Genauigkeit Ihres SPRS-Scores liegt vollständig in Ihrer Verantwortung – und dieser Score wird weiterhin von Vergabestellen genutzt, um über Vergabe, Verlängerung oder Option zu entscheiden.

Das ist relevant, weil Revision 3 das Prüfungsrecht der Regierung nicht berührt hat. DFARS 252.240-7997 erlaubt dem DoD weiterhin, Medium- und High-Assessments nach NIST SP 800-171 auf betroffenen Auftragnehmersystemen durchzuführen. Die Klausel legt fest, dass bei einer Prüfung durch die DCMA deren Ergebnis Vorrang vor allen anderen Bewertungen hat – auch vor Ihrer eigenen Selbsteinschätzung. Stellt eine High-Prüfung Lücken fest, die Ihre Selbsteinschätzung übersehen oder falsch dargestellt hat, handelt es sich nicht um ein reines Formalproblem. Sie haben nach Abschluss der Prüfung 14 Werktage Zeit, zusätzliche Nachweise einzureichen oder die Feststellungen zu entkräften, bevor das DoD den zusammengefassten Score im SPRS veröffentlicht. Danach gilt dieser Score als Referenz und ist für die entscheidenden DoD-Stellen bei der Vergabe sichtbar.

An dieser Stelle wird der False Claims Act relevant – nicht als Gewissheit, sondern als ernstzunehmendes Risiko. Ein selbst attestierter CMMC-Status ist eine Erklärung, auf die sich die Regierung verlässt. Stellt sich diese Erklärung als wesentlich falsch heraus und kann die Regierung nachweisen, dass Sie dies hätten wissen müssen, greift genau hier der False Claims Act. Die zivilrechtliche Strafspanne für eine Falschangabe liegt – inflationsbereinigt ab Juli 2025 – zwischen 14.308 und 28.619 US-Dollar pro Falschangabe, berechnet pro eingereichter Falschangabe, nicht pro nicht erfülltem Kontrollpunkt. Das Justizministerium meldete für das Geschäftsjahr 2025 mehr als 6,8 Milliarden US-Dollar an False Claims Act-Rückforderungen – ein Rekordwert. Diese Summe umfasst alle Kategorien der FCA-Durchsetzung, nicht nur Cybersecurity-Fälle, ist aber ein Indikator für die aktuelle Durchsetzungsbereitschaft der Regierung. Niemand möchte erleben, wie sich das im Rahmen einer behördlichen Prüfung eines bereits vergebenen Vertrags auswirkt.

Die Aussetzung ist kein Rückzug

Ein wichtiger Punkt: Revision 3 versteht ihre CMMC-Regelungen als Umsetzung eines spezifischen CIO-Memos, mit festem Datum und eindeutigem Übergangspunkt. Das ist die Sprache einer Pause, nicht die einer Regeländerung. Die CMMC-Programmvorschrift in 32 CFR Part 170 bleibt unberührt. Die Verpflichtung für Auftragnehmer, bei Umgang mit Controlled Unclassified Information einen verifizierten CMMC-Status zu erreichen, bleibt bestehen – nur Zeitplan und Prüfmechanismus wurden verschoben.

Wer das als „CMMC ist vorbei“ interpretiert, riskiert einen hektischen Endspurt, wenn Phase-2-Anforderungen wieder in Verträge aufgenommen werden – egal, ob durch eine neue Deviation, eine finale Regel oder ein weiteres CIO-Memo. Wer jetzt echte CMMC-Level-2-Bereitschaft aufbaut, solange Selbsteinschätzung möglich ist, ist dem Endspurt voraus.

Eine separate, unabhängige Anforderung wurde ebenfalls aufgenommen

Nicht alles in Revision 3 betrifft CMMC. Die Überarbeitung setzt auch den neuen DFARS 240.374 um, der die Vergabe eines Vertrags an Organisationen verbietet, die personenbezogene Daten von Mitarbeitern des Department of Defense – einschließlich Angehöriger der Streitkräfte – verkaufen, lizenzieren oder anderweitig an Dritte übertragen, außer an die Bundesregierung. Die Ausnahmen sind eng gefasst: Übertragungen, die zur Vertragserfüllung erforderlich sind, Übertragungen mit Ausnahmegenehmigung oder solche, die gesetzlich erlaubt sind. Die zugehörige Klausel 252.240-7992 wird in Ausschreibungen und Verträge aufgenommen, auch bei kommerziellen Produkten und Dienstleistungen, sofern keine Ausnahme vorliegt.

Diese Anforderung setzt Abschnitt 803 des NDAA für das Haushaltsjahr 2024 und Abschnitt 836 des NDAA für das Haushaltsjahr 2025 um. Sie ist unabhängig von CMMC-Level, Selbsteinschätzung oder DoD-Zeitplan. Sie gilt bereits jetzt und ist überprüfbar – und sollte daher als eigenständiges Compliance-Thema behandelt werden, nicht als Teil der allgemeinen CMMC-Diskussion.

Was das für Ihre Compliance bedeutet

Das praktische Fazit: Am Inhalt der Arbeit hat sich nichts geändert. Sie müssen weiterhin die 110 Controls aus NIST SP 800-171 Rev 2 umsetzen. Sie benötigen weiterhin dokumentierte Nachweise – nicht nur ein Häkchen im SPRS –, denn eine behördliche Prüfung kann jederzeit erfolgen und die zugrundeliegende Klausel fragt nicht zuerst nach Self- oder C3PAO-Status. Sie brauchen weiterhin einen System-Sicherheitsplan, der einer Dokumentenprüfung und Validierung im Rahmen einer Medium- oder High-Prüfung standhält.

Der beste Ansatz für Compliance-Teams ist derzeit, die Selbsteinschätzung als Chance zu nutzen, Lücken mit weniger externem Druck zu schließen – und nicht als Grund, das Tempo zu drosseln. Dieses Zeitfenster ist eng, und Revision 3 signalisiert selbst, dass es nicht unbegrenzt offen bleibt.

Wie Kiteworks hilft

Kiteworks ermöglicht Auftragnehmern der Defense Industrial Base, einen selbst attestierten SPRS-Score mit echten Nachweisen zu untermauern – nicht nur mit Papierbehauptungen. Die Plattform ist FedRAMP High In Process und seit 2017 FedRAMP Moderate Authorized, unterstützt 90 % der CMMC-2.0-Level-2-Anforderungen out of the box und ist FIPS 140-3 validiert. Für Auftragnehmer, die sich auf eine Medium- oder High-Prüfung nach NIST SP 800-171 vorbereiten, bedeutet das: Audit-Logging, Zugriffskontrollen und Verschlüsselungspraktiken sind bereits dokumentiert und implementiert – nicht erst nach einer Behördenbenachrichtigung zusammengestellt. Die gleichen Data-Governance-, kontrollierten Egress- und Audit-Logging-Funktionen gelten direkt für die neue DFARS-240.374-Anforderung zum Umgang mit Mitarbeiterdaten und verschaffen Auftragnehmern Transparenz darüber, wohin personenbezogene Daten fließen, sowie einen dokumentierten Audit-Trail, falls diese Bewegungen hinterfragt werden. Die Lücke zwischen einer selbst attestierten und einer behördlich verifizierten Angabe ist genau der Bereich, in dem Kiteworks Auftragnehmern hilft, Compliance zu erreichen.

Frequently Asked Questions

Eliminiert DFARS Revision 3 die CMMC-Anforderungen?

Nein. Revision 3 kodifiziert die temporäre Aussetzung des Übergangs zu CMMC Phase 2 und erlaubt Selbsteinschätzungen für CMMC Level 1 und Level 2. Sie hebt die CMMC-Programmvorschrift in 32 CFR Part 170 nicht auf, und Vergabestellen müssen weiterhin einen aktuellen CMMC-Status vor Vergabe, Optionsausübung oder Verlängerung der Leistungsperiode bestätigen.

Wird DFARS 252.204-7012 durch diese Deviation beeinflusst?

Nein. Revision 3 bewahrt ausdrücklich DFARS 252.204-7012, der Auftragnehmer zur Sicherung geschützter Verteidigungsinformationen und zur Umsetzung von NIST SP 800-171 verpflichtet. Diese Verpflichtung gilt unabhängig davon, welche CMMC-Phase aktuell in Kraft ist.

Kann das DoD mein Unternehmen prüfen, auch wenn ich nur eine Selbsteinschätzung abgegeben habe?

Ja. DFARS 252.240-7997 bewahrt das Recht des DoD, Medium- und High-Assessments nach NIST SP 800-171 auf jedem betroffenen Auftragnehmersystem durchzuführen. Führt die DCMA eine Prüfung durch, hat deren Ergebnis Vorrang vor Ihrer eigenen Selbsteinschätzung.

Wie lange bleibt ein selbst attestierter CMMC-Status unter Revision 3 gültig?

Ein Conditional Level 2 oder Level 3 Status ist 180 Tage gültig. Ein Final Level 2 oder Level 3 Status ist bis zu 3 Jahre gültig, ein Final Level 1 Status für 1 Jahr – jeweils mit jährlicher Bestätigung der fortlaufenden Compliance.

Was passiert, wenn eine behördliche Prüfung Lücken entdeckt, die meine Selbsteinschätzung übersehen hat?

Sie haben 14 Werktage nach Abschluss der Prüfung Zeit, zusätzliche Nachweise einzureichen oder die Feststellungen zu entkräften. Nach Ablauf dieser Frist veröffentlicht das DoD den zusammengefassten Score im SPRS, der dann als Referenz für Vergabe- und Optionsentscheidungen dient.

Ab wann wird CMMC in jedem DoD-Vertrag zur Pflicht?

Nicht vor dem 10. November 2028. Bis dahin wird die CMMC-Klausel nur eingefügt, wenn eine Programmstelle im Einzelfall entscheidet, dass ein Auftragnehmer ein bestimmtes Level benötigt. Ab dem 10. November 2028 erfolgt die Einfügung automatisch für jeden Vertrag, der Systeme betrifft, die FCI oder CUI verarbeiten, speichern oder übertragen.

Enthält Revision 3 auch Regelungen, die nichts mit CMMC zu tun haben?

Ja. Sie setzt außerdem den neuen DFARS 240.374 um, der die Vergabe eines Vertrags an Organisationen verbietet, die personenbezogene Daten von DoD-Mitarbeitern an Drittparteien übertragen – außer in engen Ausnahmefällen. Diese Anforderung läuft unabhängig von CMMC auf einem eigenen Zeitplan.