48 CFR und CMMC: Wie das SPRS-Scoring über die Vergabefähigkeit von DoD-Aufträgen entscheidet
32 CFR legt fest, was CMMC verlangt – die Level, die Controls, die Assessment-Typen. 48 CFR ist die Regelung, die diese Anforderungen zum Zeitpunkt der Auftragsvergabe durchsetzbar macht. Sie ergänzte das Defense Federal Acquisition Regulation Supplement (DFARS) und gibt Vergabestellen (Contracting Officers) die ausdrückliche Befugnis, in einer Ausschreibung ein erforderliches CMMC-Level festzulegen, den Compliance-Status eines Auftragnehmers direkt über das Supplier Performance Risk System (SPRS) zu prüfen und die Auftragsvergabe zu verweigern, wenn dieser Status nicht aktuell ist.
Dieser Mechanismus macht CMMC vom reinen Sicherheits-Framework zu einer echten Hürde für den Gewinn von DoD-Aufträgen. Wer versteht, wie das SPRS-Scoring-System, die CMMC Unique Identifier (UID) und die Definition von „aktuell“ tatsächlich funktionieren, weiß auch, ob der eigene Compliance-Status zur Vergabefähigkeit führt – oder zum Ausschlussgrund im Angebotsverfahren wird.
Hinweis: Die Anforderungen zur Drittzertifizierung in CMMC Phase 2 wurden im Juli 2026 vom Department of War bis zum Abschluss einer Programmüberprüfung ausgesetzt. Die im Folgenden beschriebenen Phase-1-Anforderungen zu SPRS und Selbstbewertung gelten weiterhin uneingeschränkt. Alle Details dazu finden Sie unter CMMC Phase II ist ausgesetzt – Ihre DFARS-Pflichten nicht.
Zusammenfassung
Kernaussage: Die 48-CFR-DFARS-Regelung – konkret Klausel 252.204-7021 – gibt Vergabestellen die direkte Befugnis, in einer Ausschreibung ein bestimmtes CMMC-Level zu verlangen und die Auftragsvergabe zu verweigern, wenn der SPRS-Eintrag eines Auftragnehmers nicht aktuell ist. Sie ist seit dem 10. November 2025 in Kraft.
Warum das wichtig ist: Mit dieser Regelung wird CMMC-Compliance von einer reinen Sicherheitsfrage zu einer Frage der Vergabefähigkeit. Ein Auftragnehmer mit wirklich starken Cybersicherheitskontrollen kann ein Angebot allein wegen eines veralteten oder fehlenden SPRS-Scores aus rein formalen Gründen verlieren – denn Vergabestellen sind angewiesen, einen veralteten Eintrag genauso zu behandeln wie einen fehlenden.
Die wichtigsten Erkenntnisse
- 48 CFR gibt Vergabestellen die Befugnis, CMMC bei der Auftragsvergabe durchzusetzen. Die Regelung führte die DFARS-Klausel 252.204-7021 ein, die es Vergabestellen erlaubt, in einer Ausschreibung direkt ein erforderliches CMMC-Level festzulegen und Bietern, die dieses Level nicht erreicht oder aufrechterhalten haben, den Zuschlag zu verweigern.
- SPRS ist das maßgebliche System – und ein veralteter Eintrag zählt wie gar kein Eintrag. Auftragnehmer müssen aktuelle Selbstbewertungs-Scores und jährliche Affirmationen im Supplier Performance Risk System hinterlegen. Vergabestellen sind angewiesen, einen veralteten SPRS-Eintrag wie einen fehlenden zu behandeln – das kann einen ansonsten konformen Auftragnehmer allein aus formalen Gründen disqualifizieren.
- Die CMMC Unique Identifier verknüpft Ihr Angebot direkt mit Ihrem Compliance-Nachweis. Bieter geben in ihren Angeboten eine CMMC UID an, die beim Hochladen des Compliance-Status in SPRS erzeugt wird. So erhalten Vergabestellen eine direkte, überprüfbare Verbindung zwischen dem Angebot und dem tatsächlichen Zertifizierungsstatus des Auftragnehmers.
- Diese Regelung gilt und wird seit dem 10. November 2025 durchgesetzt – es handelt sich nicht um eine zukünftige Anforderung. Die Phase-1-Anforderungen dieser Regelung tauchen bereits in laufenden DoD-Ausschreibungen und -Verträgen auf. Auftragnehmer, die sich heute um neue DoD-Aufträge bewerben, benötigen unter Umständen bereits einen aktuellen SPRS-Eintrag, um überhaupt vergabefähig zu sein.
- Für Subunternehmer gilt derselbe Durchsetzungsmechanismus wie für Hauptauftragnehmer. Durch die Flowdown-Pflicht kann der SPRS-Status eines Subunternehmers darüber entscheiden, ob der Hauptauftragnehmer ihn in einem DoD-Programm einsetzen darf – die Aktualität des SPRS-Eintrags eines Subunternehmers wird damit auch zum Problem des Hauptauftragnehmers, nicht nur zu seinem eigenen.
Wie sich 48 CFR in die übergeordnete CMMC-Regelstruktur einfügt
Die Rechtsetzung zu CMMC erfolgte in zwei Schritten – ein Unterschied, den man kennen sollte, da beide Regelungen unterschiedliche Aufgaben erfüllen. 32 CFR Part 170, Ende 2024 final verabschiedet, etablierte das CMMC-Programm selbst – die drei Zertifizierungsstufen, die Scoping-Regeln, die Assessment-Typen und die Affirmationspflichten. Diese Regelung definierte, was Compliance überhaupt bedeutet.
48 CFR – konkret die Ergänzungen des DFARS durch Klausel 252.204-7021 – macht dieses Programm im Vergabeprozess durchsetzbar. Die Regelung gibt Vergabestellen die konkrete Befugnis, in einer Ausschreibung ein CMMC-Level festzulegen, den Status eines Auftragnehmers zu prüfen und entsprechend zu handeln. Während 32 CFR das Regelwerk ist, ist 48 CFR der Durchsetzungsmechanismus im Moment der Vergabe. Einen vollständigen Überblick über die Anforderungen des zugrunde liegenden Zertifizierungsprogramms finden Sie in unserer Übersicht zur CMMC 2.0 Final Rule.
Wie SPRS-Scoring und Vergabefähigkeit tatsächlich zusammenhängen
Im Supplier Performance Risk System (SPRS) hinterlegen Auftragnehmer ihre NIST-SP-800-171-Selbstbewertungs-Scores sowie ihre jährlichen Affirmationen zur fortlaufenden Compliance. Unter 48 CFR ist dieser Eintrag keine reine Formalität zur Aktenführung – er ist die Datenquelle, die Vergabestellen bei der Prüfung der Vergabefähigkeit direkt heranziehen.
Drei Faktoren entscheiden, ob ein Auftragnehmer diese Hürde nimmt. Erstens muss der Score selbst dem für die jeweilige Ausschreibung erforderlichen CMMC-Level entsprechen – Level-1-Selbstbewertung für reine FCI-Verträge, Level-2-Selbstbewertung oder C3PAO-Zertifizierung für Verträge mit CUI-Bezug, je nach Kritikalität des Programms. Zweitens muss der Eintrag aktuell sein – Level-2-Selbstbewertungen sind drei Jahre gültig, doch dazwischen sind jährliche Affirmationen zur fortlaufenden Compliance erforderlich; eine versäumte Affirmation macht einen ansonsten gültigen Score faktisch ungültig. Drittens muss der Eintrag der richtigen Entität zugeordnet sein – der konkreten juristischen Person, die sich um den Auftrag bewirbt, und nicht einem Mutterkonzern oder einer verbundenen Gesellschaft, deren Compliance-Status nicht automatisch übertragbar ist.
Die Konsequenz, wenn hier etwas schiefläuft, ist unmittelbar: Vergabestellen sind angewiesen, einen veralteten oder fehlenden SPRS-Eintrag wie fehlende Compliance zu behandeln – unabhängig davon, wie stark die tatsächliche Cybersicherheit eines Auftragnehmers ist. Ein Auftragnehmer mit exzellenten technischen Kontrollen, aber einer abgelaufenen jährlichen Affirmation, kann ein Angebot wegen einer rein formalen Lücke verlieren, die mit der tatsächlichen Sicherheitslage nichts zu tun hat.
Die CMMC Unique Identifier
Die CMMC UID wird erzeugt, sobald ein Auftragnehmer seine Assessment-Ergebnisse in SPRS hochlädt, und dient als Verbindung zwischen einem konkreten Compliance-Nachweis und einem konkreten Angebot. Bieter geben ihre CMMC UID in Angeboten an, sodass Vergabestellen direkt überprüfen können, ob der im Angebot behauptete Compliance-Status tatsächlich mit dem in SPRS hinterlegten Datensatz übereinstimmt. Damit wird eine Lücke geschlossen, durch die ein Auftragnehmer andernfalls Compliance behaupten könnte, ohne dass dies bei der Bewertung unabhängig überprüfbar wäre.
Diesen Identifier und den zugrunde liegenden SPRS-Eintrag aktuell zu halten, ist heute ein fester Bestandteil der Geschäftsentwicklung für jede Organisation, die sich um DoD-Aufträge bewirbt – und nicht mehr allein Aufgabe der Compliance-Abteilung, losgelöst vom Vertragsteam.
Was das für Subunternehmer bedeutet
Die Flowdown-Pflicht erstreckt diesen Durchsetzungsmechanismus auf die gesamte Lieferkette. Hauptauftragnehmer sind dafür verantwortlich, dass ihre Subunternehmer über das CMMC-Level verfügen, das für die von ihnen verarbeiteten CUI oder FCI erforderlich ist – ein veralteter SPRS-Eintrag eines Subunternehmers kann so zum Problem des Hauptauftragnehmers werden und dessen eigene Fähigkeit gefährden, den Vertrag zu erfüllen, wenn ein benötigter Subunternehmer keine aktuelle Compliance nachweisen kann.
Damit ist der SPRS-Status von Subunternehmern zu einem Due-Diligence-Thema für Hauptauftragnehmer geworden, die ihre Lieferketten steuern – und nicht mehr nur eine interne Compliance-Frage jedes einzelnen Subunternehmers.
Wie Kiteworks SPRS-relevante Compliance-Nachweise unterstützt
Kiteworks verwaltet SPRS-Einreichungen nicht direkt, liefert aber die zugrunde liegende Nachweisbasis, die einen präzisen und belastbaren Selbstbewertungs-Score überhaupt erst möglich macht – und zwar dauerhaft. Eine einheitliche Data Policy Engine bündelt Zugriffskontrollen, Verschlüsselung und Audit-Protokollierung über alle Kanäle hinweg, über die CUI bewegt wird – sichere E-Mail, sicheres File Sharing, Managed File Transfer und SFTP – und deckt damit von Haus aus nahezu 90 % der Anforderungen von CMMC 2.0 Level 2 ab.
Ein einziger, konsolidierter und unveränderlicher Audit-Trail über all diese Kanäle liefert Auftragnehmern aktuelle, exportierbare Nachweise zur Untermauerung ihres SPRS-Scores und ihrer jährlichen Affirmation – statt bei jeder fälligen Affirmation die Dokumentation mühsam neu zusammensuchen zu müssen. Genau diese Konsistenz sorgt dafür, dass die Compliance-Lage – und der darauf aufbauende SPRS-Eintrag – wirklich aktuell bleibt, statt nur auf dem Papier konform, in der Praxis aber veraltet zu sein.
Um zu erfahren, wie Kiteworks die Compliance-Nachweise hinter Ihrem SPRS-Eintrag unterstützt, vereinbaren Sie eine individuelle Demo.
Häufig gestellte Fragen
Die 48-CFR-Regelung ergänzte das DFARS um die Klausel 252.204-7021, die Vergabestellen die ausdrückliche Befugnis gibt, in einer Ausschreibung ein bestimmtes CMMC-Zertifizierungslevel zu verlangen und den Compliance-Status eines Auftragnehmers vor der Auftragsvergabe direkt über das Supplier Performance Risk System (SPRS) zu prüfen. Sie ist seit dem 10. November 2025 in Kraft. Während die frühere 32-CFR-Regelung festlegte, was eine CMMC-Zertifizierung voraussetzt, macht 48 CFR diese Anforderung zum Zeitpunkt der Auftragsvergabe durchsetzbar.
Vergabestellen sind angewiesen, einen veralteten SPRS-Eintrag wie einen fehlenden zu behandeln – ein Auftragnehmer kann also von einem Angebot ausgeschlossen werden, selbst wenn seine Cybersicherheitskontrollen tatsächlich stark sind, nur weil sein Selbstbewertungs-Score oder seine jährliche Affirmation nicht aktuell ist. Level-2-Selbstbewertungs-Scores sind drei Jahre gültig, erfordern dazwischen jedoch eine jährliche Affirmation zur fortlaufenden Compliance; wird diese versäumt, gilt ein ansonsten gültiger Score für die Vergabefähigkeit als faktisch veraltet.
Eine CMMC Unique Identifier wird erzeugt, sobald ein Auftragnehmer Assessment-Ergebnisse in SPRS einträgt, und wird von Bietern in DoD-Vertragsangeboten angegeben, um ein konkretes Angebot mit einem konkreten, überprüfbaren Compliance-Nachweis zu verknüpfen. Sie schließt eine Lücke, durch die ein Auftragnehmer andernfalls in einem Angebot Compliance behaupten könnte, die eine Vergabestelle nur schwer überprüfen kann – die UID bietet eine direkte Möglichkeit, den behaupteten Status mit dem tatsächlich in SPRS hinterlegten abzugleichen.
Beide. Die verpflichtenden Flowdown-Anforderungen bedeuten, dass Hauptauftragnehmer dafür verantwortlich sind, dass Subunternehmer auf jeder Ebene über das für die verarbeiteten CUI oder FCI passende CMMC-Level verfügen. Ein Subunternehmer mit veraltetem oder fehlendem SPRS-Eintrag kann die eigene Fähigkeit des Hauptauftragnehmers gefährden, den Vertrag zu erfüllen. Damit ist der SPRS-Status von Subunternehmern zu einer Due-Diligence-Aufgabe für Hauptauftragnehmer geworden, die ihr Netzwerk an Auftragnehmern steuern – und nicht mehr allein eine interne Compliance-Angelegenheit jedes einzelnen Subunternehmers.
Nein. Die vom Department of War im Juli 2026 angekündigte Aussetzung von Phase 2 pausierte lediglich die Pflicht zur verbindlichen Drittzertifizierung durch C3PAOs, die eigentlich im November 2026 in Kraft treten sollte. Die unter 48 CFR und DFARS-Klausel 252.204-7021 durchgesetzten Phase-1-Anforderungen – Selbstbewertung, SPRS-Eintrag, jährliche Affirmationen und die Befugnis der Vergabestellen, die Auftragsvergabe zu verweigern – traten am 10. November 2025 in Kraft und gelten unverändert weiter, unabhängig von der Pause bei Phase 2.
Weiterführende Ressourcen
- Blogbeitrag CMMC-Compliance für kleine Unternehmen: Herausforderungen und Lösungen
- Blogbeitrag CMMC-Compliance-Leitfaden für DIB-Zulieferer
- Blogbeitrag CMMC-Audit-Anforderungen: Worauf Assessoren bei der Bewertung Ihrer CMMC-Bereitschaft achten
- Leitfaden CMMC-2.0-Compliance-Mapping für die Kommunikation sensibler Inhalte
- Blogbeitrag Die wahren Kosten der CMMC-Compliance: Was Verteidigungsauftragnehmer einplanen müssen