Die CMMC-2.0-Endfassung: Was sie festgelegt hat und wie der aktuelle Stand aussieht
Das US-Verteidigungsministerium (Department of Defense, DoD) hat im September 2025 die endgültige Fassung der Cybersecurity Maturity Model Certification (CMMC) 2.0 verabschiedet und damit den Defense Federal Acquisition Regulation Supplement (DFARS) geändert. Die Regelung trat am 10. November 2025 in Kraft und verankert erstmals verbindliche Cybersicherheits-Zertifizierungsanforderungen in DoD-Verträgen.
Seitdem hat sich einiges getan: Die Anforderungen von Phase 1 sind planmäßig in Kraft getreten. Im Juli 2026 setzte das Department of War (vormals Department of Defense) die nächste Phase des Zertifizierungsprogramms im Rahmen einer förmlichen Überprüfung aus. Dieser Beitrag beleuchtet, was die Endfassung tatsächlich festgelegt hat, was seitdem passiert ist und worauf Rüstungsunternehmen jetzt achten müssen.
Hinweis: Die Anforderungen zur Drittzertifizierung in CMMC-Phase 2 wurden im Juli 2026 vom Department of War im Rahmen einer Programmüberprüfung ausgesetzt. Ausführliche Informationen finden Sie unter CMMC Phase II Is Suspended. Your DFARS Obligations Are Not.
Management Summary
Kernaussage: Die CMMC-2.0-Endfassung, seit dem 10. November 2025 in Kraft, macht Cybersicherheitszertifizierung zu einer verbindlichen Vertragsanforderung in der gesamten Rüstungsindustrie und betrifft mehr als 337.000 Auftragnehmer und Unterauftragnehmer. Die Selbstbewertungsanforderungen aus Phase 1 gelten. Die Drittzertifizierungspflicht aus Phase 2, ursprünglich für November 2026 vorgesehen, ist derzeit im Rahmen einer Überprüfung durch das Department of War ausgesetzt.
Warum das relevant ist: „Die Endfassung kommt noch“ ist längst nicht mehr die richtige Perspektive – sie gilt seit fast einem Jahr und hat bereits verändert, wie das DoD die Cybersicherheit von Auftragnehmern bewertet. Dringlicher ist die Frage, was die Aussetzung von Phase 2 für Ihren Compliance-Zeitplan bedeutet – und die Antwort lautet: weniger, als viele Unternehmen annehmen.
Die wichtigsten Erkenntnisse im Überblick
- Die Endfassung macht CMMC zu einer verbindlichen Vertragsanforderung – nicht zu einem Zukunftsprojekt. Seit dem 10. November 2025 verlangt die geänderte DFARS-Regelung eine CMMC-Zertifizierung auf der jeweils erforderlichen Stufe als Voraussetzung für die Teilnahmeberechtigung an DoD-Aufträgen und Unteraufträgen – und ersetzt damit das bisherige Modell der Selbstauskunft.
- Die Regelung betrifft die gesamte Rüstungslieferkette – nicht nur Hauptauftragnehmer. Mehr als 337.000 Organisationen fallen in den Geltungsbereich, darunter fast 230.000 kleine Unternehmen. Durch verpflichtende „Flowdown“-Anforderungen müssen auch Unterauftragnehmer auf jeder Ebene die für ihre verarbeiteten Daten passende Zertifizierungsstufe erreichen.
- Die Regelung sieht eine dreijährige, stufenweise Einführung vor – aktuell ist jedoch nur Phase 1 aktiv. Der ursprüngliche Zeitplan sah vor, von den Selbstbewertungsanforderungen in Phase 1 (November 2025) schrittweise bis 2028 zu vollständigen Drittzertifizierungsanforderungen überzugehen. Phase 2, die ab November 2026 eine verpflichtende C3PAO-Zertifizierung für priorisierte Programme vorgesehen hätte, ist derzeit ausgesetzt.
- Die Aussetzung von Phase 2 rührt nicht an Ihren bestehenden DFARS- oder NIST-800-171-Pflichten. Auftragnehmer müssen weiterhin die 110 Kontrollen aus NIST SP 800-171 umsetzen, eine korrekte Dokumentation führen und aktuelle Bewertungen im SPRS hinterlegen. Ausgesetzt ist ausschließlich der Mechanismus der Drittzertifizierung – nicht der zugrunde liegende Cybersicherheitsstandard.
- Trotz einer nahezu einjährigen Geltungsdauer bestehen weiterhin erhebliche Vorbereitungslücken. Eine eigene Studie von Kiteworks aus dem Jahr 2025 ergab, dass rund die Hälfte der Rüstungsunternehmen beim Inkrafttreten der Regelung nicht ausreichend vorbereitet war – insbesondere kleine und mittlere Unternehmen, die auf veraltete Systeme und manuelle Compliance-Prozesse setzen. Die Pause bei Phase 2 bietet Unternehmen eine echte Chance, diese Lücke zu schließen, bevor die Zertifizierungsanforderungen wieder greifen.
Was die Endfassung konkret festgelegt hat
Die CMMC-2.0-Endfassung hat die DFARS-Regelung so geändert, dass eine Cybersicherheitszertifizierung nun in der gesamten Rüstungsindustrie eine formale Voraussetzung für die Vertragsberechtigung darstellt. Sie ersetzt den bisherigen Ansatz der Selbstauskunft – bei dem Auftragnehmer ihre Konformität mit NIST SP 800-171 lediglich selbst bestätigten – durch ein gestuftes, überprüfbares Zertifizierungssystem.
Die Regelung definiert drei Zertifizierungsstufen, die sich an der Sensibilität der Daten orientieren: Stufe 1 für Auftragnehmer, die ausschließlich Federal Contract Information (FCI) verarbeiten, nachgewiesen durch jährliche Selbstbewertung; Stufe 2 für Auftragnehmer, die Controlled Unclassified Information (CUI) verarbeiten, nachgewiesen je nach Programmkritikalität durch Selbstbewertung oder Drittzertifizierung durch ein C3PAO; sowie Stufe 3 für die höchstpriorisierten Programme, nachgewiesen durch eine staatlich geleitete Bewertung. Eine vollständige Übersicht der Anforderungen je Stufe finden Sie in unserem CMMC-Compliance-Leitfaden.
Entscheidend ist, dass die Zertifizierung durch die Regelung zu einer verpflichtenden „Flowdown“-Anforderung wurde: Hauptauftragnehmer müssen sicherstellen, dass ihre Unterauftragnehmer auf jeder Ebene die für die von ihnen verarbeiteten Daten passende Zertifizierungsstufe erreichen. Damit reicht die praktische Wirkung von CMMC weit über direkte DoD-Auftragnehmer hinaus und erstreckt sich auf die gesamte Tiefe der Rüstungslieferkette.
Der stufenweise Zeitplan der Regelung
Die Endfassung sieht eine dreijährige, stufenweise Umsetzung vor, die der Rüstungsindustrie Zeit zur Anpassung geben soll, anstatt eine sofortige, flächendeckende Zertifizierung zu verlangen.
Phase 1 trat am 10. November 2025 in Kraft und verlangt für neue Ausschreibungen und Verträge eine Selbstbewertung nach Stufe 1 und Stufe 2. Diese Phase gilt uneingeschränkt weiter und ist von den nachfolgenden Entwicklungen nicht betroffen.
Phase 2 sollte ab dem 10. November 2026 eine verpflichtende Drittzertifizierung durch C3PAOs für Stufe-2-Programme mit besonders kritischen Informationen einführen. Genau diese Phase hat das Department of War im Juli 2026 ausgesetzt – im Rahmen einer 60-tägigen Überprüfung durch eine CMMC Reform Task Force, die die Kosten- und Betriebsbelastung der Zertifizierungspflicht für Auftragnehmer, insbesondere kleinere Unternehmen, untersucht.
Phase 3 und 4 sollten die Zertifizierungsanforderungen weiter ausweiten und für die höchstpriorisierten Programme eine staatlich geleitete Bewertung nach Stufe 3 einführen; die vollständige Umsetzung in der gesamten Defense Industrial Base (DIB) war bis 2028 vorgesehen. Auch diese Phasen sind im Rahmen der aktuellen Aussetzung derzeit gestoppt.
Was sich nicht geändert hat
Die Aussetzung ist enger gefasst, als es viele Schlagzeilen vermuten lassen. Die DFARS-Klausel 252.204-7012 – die Rüstungsunternehmen zur Umsetzung von NIST SP 800-171 und zur Meldung von Cybervorfällen verpflichtet – besteht bereits seit vor CMMC und bleibt von der Pause unberührt. Auftragnehmer müssen weiterhin alle 110 geforderten Kontrollen umsetzen, einen aktuellen System Security Plan pflegen, Abhilfemaßnahmen über einen Plan of Action and Milestones nachverfolgen und korrekte Bewertungen im Supplier Performance Risk System (SPRS) hinterlegen.
Auch die Civil Cyber-Fraud Initiative des US-Justizministeriums verfolgt unabhängig vom Status des Zertifizierungsprogramms weiterhin False-Claims-Act-Verfahren gegen Auftragnehmer, die ihre Cybersicherheits-Compliance falsch darstellen. Verändert hat sich der Nachweismechanismus – nicht die zugrunde liegende Sicherheitsverpflichtung.
Was Rüstungsunternehmen jetzt tun sollten
Betrachten Sie die aktuelle Phase als Chance, nicht als Aufschub. Unternehmen, die die Pause bei Phase 2 nutzen, um ihre NIST-SP-800-171-Lücken vollständig zu schließen – anstatt die Arbeit zurückzustellen, weil die Durchsetzung der Zertifizierung derzeit ausgesetzt ist –, werden deutlich besser aufgestellt sein, sobald die Erkenntnisse der CMMC Reform Task Force in neue Anforderungen münden.
Die eigene Kiteworks-Studie im Vorfeld des Inkrafttretens der Regelung ergab, dass rund die Hälfte der Rüstungsunternehmen nicht ausreichend vorbereitet war – insbesondere kleinere Unternehmen mit veralteten Systemen und manuellen Compliance-Prozessen. Falls das Ende 2025 auch auf Ihr Unternehmen zutraf, bietet die aktuelle Pause echten zeitlichen Spielraum, um diese Lücke zu schließen, bevor die Zertifizierungsanforderungen wieder greifen – kein Grund, die Arbeit ruhen zu lassen. Eine strukturierte Vorgehensweise für diese Zeit finden Sie in unserer CMMC-2.0-Roadmap und unserer CMMC-2.0-Compliance-Checkliste.
Wie Kiteworks die Einhaltung der Endfassung unterstützt
Kiteworks deckt bereits von Haus aus nahezu 90 % der CMMC-2.0-Anforderungen für Stufe 2 ab und bündelt die Kanäle, über die CUI und FCI typischerweise fließen – sichere E-Mail, sicheres File-Sharing, Managed File Transfer und SFTP – auf einer einzigen, governten Plattform mit AES-256-Verschlüsselung, FIPS-140-3-validierten kryptografischen Modulen und kundeneigenen Verschlüsselungsschlüsseln.
Jeder Zugriff über jeden Kanal wird in einem einzigen, unveränderlichen und konsolidierten Audit-Trail protokolliert – die Nachweisgrundlage, die heute die Dokumentation für Selbstbewertungen und künftig die Drittzertifizierung nach Wiederaufnahme von Phase 2 unterstützt. Kiteworks verfügt außerdem über die FedRAMP-Moderate-Autorisierung, die seit Juni 2017 unabhängig geprüft wird, und bietet Auftragnehmern damit eine dokumentierte Control Inheritance, die den Prüfumfang unabhängig vom jeweils geltenden Verifizierungsweg reduziert.
Um zu erfahren, wie Kiteworks Ihr Unternehmen bei der Einhaltung der aktuellen und kommenden Anforderungen der Endfassung unterstützt, vereinbaren Sie eine individuelle Demo.
Häufig gestellte Fragen
Die CMMC-2.0-Endfassung, die DFARS ändert, trat am 10. November 2025 in Kraft. Sie führte eine verpflichtende Cybersicherheitszertifizierung als Voraussetzung für die Teilnahmeberechtigung an DoD-Aufträgen ein, ersetzte das bisherige Modell der Selbstauskunft und leitete eine stufenweise Einführung ein, die bis 2028 vollständige Anforderungen für die gesamte Rüstungsindustrie vorsieht.
Nein. Die Endfassung selbst bleibt in Kraft, und die Selbstbewertungsanforderungen aus Phase 1 gelten uneingeschränkt weiter. Im Juli 2026 wurde ausschließlich Phase 2 ausgesetzt – die verpflichtende Drittzertifizierung durch C3PAOs, die ab dem 10. November 2026 hätte gelten sollen. Das Department of War hat diese spezifische Anforderung im Rahmen einer 60-tägigen Überprüfung ausgesetzt; der zugrunde liegende Rahmen der Endfassung sowie die Pflichten aus DFARS 252.204-7012 und NIST SP 800-171 bleiben jedoch vollständig bestehen.
Die Regelung betrifft mehr als 337.000 Organisationen in der gesamten Rüstungsindustrie, darunter fast 230.000 kleine Unternehmen. Grund sind verpflichtende Flowdown-Anforderungen, die Zertifizierungspflichten auf Unterauftragnehmer auf jeder Ebene der Lieferkette ausdehnen – nicht nur auf Hauptauftragnehmer mit direkten DoD-Verträgen.
Setzen Sie die Umsetzung und Dokumentation der zugrunde liegenden NIST-SP-800-171-Kontrollen fort, als gälte der ursprüngliche Zeitplan für die Zertifizierungsanforderungen weiterhin. Die Aussetzung betrifft nur den Drittverifizierungsmechanismus, nicht die Sicherheitspflichten selbst. Studien zeigen zudem, dass ein erheblicher Teil der Rüstungsunternehmen auch nach fast einem Jahr Geltungsdauer der Endfassung noch nicht ausreichend vorbereitet ist. Unternehmen, die die aktuelle Phase nutzen, um echte Lücken zu schließen – anstatt die Pause als Anlass zu nehmen, die Arbeit zurückzustellen –, werden besser aufgestellt sein, sobald die Anforderungen von Phase 2 in irgendeiner Form wieder in Kraft treten.
Weiterführende Ressourcen
- Blogbeitrag CMMC-Compliance für kleine Unternehmen: Herausforderungen und Lösungen
- Blogbeitrag CMMC-Compliance-Leitfaden für DIB-Zulieferer
- Blogbeitrag CMMC-Audit-Anforderungen: Worauf Prüfer bei der Bewertung Ihrer CMMC-Bereitschaft achten
- Leitfaden CMMC-2.0-Compliance-Mapping für die Kommunikation sensibler Inhalte
- Blogbeitrag Die wahren Kosten der CMMC-Compliance: Was Rüstungsunternehmen einplanen müssen