Die CMMC-2.0-Roadmap: Der Weg von Ihrem aktuellen Stand zur Zertifizierung
Die meisten Rüstungsauftragnehmer scheitern nicht an CMMC 2.0, weil sie das Framework missverstehen. Sie scheitern, weil sie es als einen einzigen Stichtag behandeln statt als eine Abfolge von Stufen mit jeweils eigenen Ergebnissen – und versuchen, unter Zeitdruck alles gleichzeitig zu erledigen, statt sich Schritt für Schritt vorzuarbeiten.
Genau diese Abfolge stellen wir hier vor – fünf Stufen, in der Reihenfolge, in der sie tatsächlich ablaufen: vom ersten ehrlichen Blick auf Ihren aktuellen Stand bis zur fortlaufenden Arbeit, zertifiziert zu bleiben. Manche dieser Stufen stecken voller Details; wo das der Fall ist, verlinken wir auf den vertiefenden Leitfaden, statt ihn hier zu wiederholen. Diese Seite ist die Landkarte. Die verlinkten Leitfäden sind das Gelände.
Hinweis: Die Anforderungen an eine Drittzertifizierung für CMMC Phase 2 wurden vom Department of War im Juli 2026 bis zum Abschluss einer Programmüberprüfung ausgesetzt. Die Anforderungen zur Selbstbewertung sowie Ihre zugrunde liegenden NIST-SP-800-171-Pflichten bleiben davon unberührt. Den aktuellen Programmstatus finden Sie in unserem Beitrag CMMC Phase II ist ausgesetzt. Ihre DFARS-Pflichten sind es nicht.
Zusammenfassung
Kernaussage: Die CMMC-2.0-Zertifizierung ist ein Weg mit fünf Stufen: Sie ermitteln die erforderliche Stufe, bewerten bestehende Lücken, beheben diese und dokumentieren die Umsetzung, verifizieren die Compliance per Selbstbewertung oder Drittzertifizierung und pflegen die Einhaltung fortlaufend. Auftragnehmer, die versuchen, diese Stufen abzukürzen oder in anderer Reihenfolge zu durchlaufen, müssen die Arbeit in der Regel wiederholen.
Warum das wichtig ist: CMMC-Compliance ist für jede Organisation, die sich um Aufträge mit Controlled Unclassified Information bewerben möchte, keine Option, sondern eine Voraussetzung. Der Weg zur Zertifizierung ist jedoch lang genug, dass ein Start ohne klare Reihenfolge Zeit und Budget verschwendet. Wer die Stufen in der richtigen Reihenfolge kennt, kann realistisch planen, statt kurz vor der Frist in Hektik zu verfallen.
Stufe 1: Ermitteln Sie Ihre erforderliche CMMC-Stufe
Bevor Sie eine Roadmap erstellen können, müssen Sie Ihr Ziel kennen. Die erforderliche CMMC-Stufe richtet sich nach der Art der Daten, mit denen Sie umgehen – nicht nach der Größe Ihrer Organisation oder danach, wie sensibel Sie Ihre eigenen Abläufe einschätzen.
Wenn Sie ausschließlich mit Federal Contract Information (FCI) umgehen, benötigen Sie Stufe 1 – verifiziert durch eine jährliche Selbstbewertung anhand von 17 grundlegenden Schutzmaßnahmen. Wenn Sie mit Controlled Unclassified Information (CUI) umgehen, benötigen Sie Stufe 2 – je nach konkretem Vertrag verifiziert durch Selbstbewertung oder Drittzertifizierung anhand aller 110 Kontrollen aus NIST SP 800-171. Eine kleine Zahl von Programmen mit höchster Priorität erfordert Stufe 3 mit zusätzlichen, erweiterten Kontrollen aus NIST SP 800-172.
Prüfen Sie direkt den Vertragstext sowie die Flow-down-Anforderungen Ihres Hauptauftragnehmers – in der Regel ist dies eindeutig festgelegt und muss nicht erraten werden. Eine vollständige Aufschlüsselung der Anforderungen jeder Stufe finden Sie in unserem CMMC-Compliance-Leitfaden.
Stufe 2: Bewerten Sie Ihre aktuellen Lücken
Nachdem Ihre Zielstufe feststeht, folgt eine ehrliche Gap-Analyse: Wo steht Ihre aktuelle Umgebung im Vergleich zu den spezifischen Kontrollen, die Ihre Stufe erfordert, und was fehlt noch?
Das bedeutet, jedes System zu erfassen, das mit CUI oder FCI in Berührung kommt – nicht nur die offensichtlichen. CUI bewegt sich durch E-Mail, File-Sharing, Managed File Transfer, von Partnern eingereichte Webformulare und zunehmend auch durch KI-Tools, die Mitarbeitende möglicherweise ohne formelle Freigabe nutzen. Eine Gap-Analyse, die sich nur auf die primären Systeme konzentriert und diese sekundären Kanäle übersieht, erzeugt einen Compliance-Plan, der von Anfang an Lücken aufweist.
Das Ergebnis dieser Stufe sollte ein realistisches Bild davon sein, wo Sie bei jeder erforderlichen Kontrollfamilie stehen – Access Control, Audit and Accountability, Configuration Management, Identification and Authentication, Media Protection, System and Communications Protection und die übrigen – und nicht nur ein vages Gefühl von „größtenteils konform“. Eine detaillierte Checkliste für ein systematisches Vorgehen finden Sie in unserer CMMC-Compliance-Checkliste.
Stufe 3: Beheben und Dokumentieren
Hier findet der Großteil der eigentlichen Arbeit statt, und es ist in der Regel die längste Stufe. Für jede in Stufe 2 identifizierte Lücke benötigen Sie entweder eine umgesetzte Kontrolle oder einen dokumentierten Plan of Action and Milestones (POA&M) mit einem realistischen Zeitplan zur Behebung.
Zwei Dokumente bilden das Fundament dieser Stufe. Ihr System Security Plan (SSP) beschreibt Kontrolle für Kontrolle, wie Ihre Organisation jede erforderliche Schutzmaßnahme umsetzt – dieses Dokument prüft ein C3PAO-Assessor Zeile für Zeile, und es muss widerspiegeln, was Sie tatsächlich tun, nicht was Sie sich wünschen. Ihr POA&M erfasst jede noch nicht vollständig umgesetzte Kontrolle mit konkreten Behebungsschritten und Terminen. Ein SSP, der Ihren tatsächlichen Stand beschönigt, ist ein größeres Risiko als ein ehrliches Dokument mit einem nachvollziehbaren Behebungsplan – insbesondere angesichts der Civil Cyber-Fraud Initiative des DoJ, die gezielt gegen Auftragnehmer vorgeht, die ihren Compliance-Status falsch darstellen.
Für Auftragnehmer mit begrenzten Ressourcen oder technischen Möglichkeiten – kleinere Teams, knappes Sicherheitsbudget, kein eigenes Compliance-Personal – ist genau hier oft der Punkt, an dem eine einheitliche Plattform, die Richtliniendurchsetzung bündelt und über alle Kanäle hinweg auditfertige Dokumentation erzeugt, den Unterschied zwischen einem handhabbaren und einem überwältigenden Projekt ausmacht. Konkrete Hinweise für kleine und mittlere Auftragnehmer finden Sie unter Beste CMMC-Compliance-Software für kleine Verteidigungsunternehmen.
Stufe 4: Verifizierung durch Assessment
Sobald die Kontrollen umgesetzt und dokumentiert sind, bestätigt die Verifizierung dies. Wie das genau abläuft, hängt von Ihrer Stufe ab und bei Stufe 2 zusätzlich von der Kritikalität Ihres jeweiligen Programms.
Stufe 1 wird jährlich per Selbstbewertung verifiziert, wobei die Ergebnisse von einer leitenden Person des Unternehmens bestätigt werden. Stufe 2 wird entweder per Selbstbewertung (bei nicht priorisierten Programmen) oder durch eine Drittbewertung eines akkreditierten C3PAO verifiziert (bei priorisierten Programmen mit den kritischsten nationalen Sicherheitsinformationen) – wobei die C3PAO-Anforderung derzeit, wie oben beschrieben, bis zum Abschluss der Programmüberprüfung durch das Department of War ausgesetzt ist. Stufe 3 erfordert ein staatlich geleitetes Assessment.
Unabhängig davon, welcher Weg für Sie gilt: Ihr SPRS-Score – veröffentlicht im Supplier Performance Risk System – muss stets aktuell und korrekt sein, denn Hauptauftragnehmer und Contracting Officers greifen bei der Bewertung von Subunternehmern direkt darauf zurück.
Stufe 5: Compliance dauerhaft aufrechterhalten
Zertifizierung ist keine einmalige Leistung. CMMC-Compliance ist ein dauerhafter Zustand, kein Projekt mit einem festen Enddatum – Kontrollen müssen weiterhin funktionieren, die Dokumentation muss aktuell bleiben, und die Rezertifizierung steht bei Stufe 2 und Stufe 3 alle drei Jahre an.
Planen Sie die Rezertifizierung von Anfang an in Ihre Roadmap ein, statt sie als zukünftiges Problem zu behandeln: Legen Sie klare Zuständigkeiten für die Pflege von SSP und POA&M fest, wenn sich Ihre Umgebung verändert, führen Sie regelmäßige interne Überprüfungen durch, statt erst kurz vor der Rezertifizierung Abweichungen zu entdecken, und halten Sie Ihren Audit-Trail durchgehend aktuell, damit Compliance-Nachweise jederzeit verfügbar sind – und nicht erst kurz vor einem Assessment mühsam rekonstruiert werden müssen.
Organisationen, die Stufe 5 ernst nehmen, empfinden die Rezertifizierung in der Regel als deutlich weniger störend als Organisationen, die SSP und POA&M zwischen den Assessments veralten lassen und ihr Compliance-Bild alle drei Jahre von Grund auf neu aufbauen müssen.
Wie Kiteworks jede Stufe der CMMC-Roadmap unterstützt
Kiteworks wurde gezielt für die technischen Anforderungen entwickelt, die NIST SP 800-171 Organisationen im Umgang mit CUI auferlegt, und deckt bereits von Haus aus fast 90 % der Anforderungen für CMMC Stufe 2 ab.
Für Stufe 2 und 3 bündelt Kiteworks alle Kanäle, über die CUI verarbeitet wird – sichere E-Mail, sicheres File-Sharing, Managed File Transfer, SFTP und sichere Datenformulare – in einer einheitlichen Policy-Engine und ersetzt damit die fragmentierten Tools und uneinheitlichen Richtlinien, die Gap-Analyse und Behebung unnötig erschweren. AES-256-Verschlüsselung mit FIPS-140-3-validierten kryptografischen Modulen und kundeneigenen Verschlüsselungsschlüsseln adressiert die Kontrollfamilie System and Communications Protection direkt.
Für Stufe 4 liefert ein einziger, konsolidierter und unveränderlicher Audit-Trail über alle Kanäle hinweg Assessoren – ob bei der Selbstbewertung oder der C3PAO-Prüfung – genau die Nachweise, die sie benötigen, ohne dass Sie Protokolle mühsam manuell aus getrennten Systemen zusammenstellen müssen.
Für Stufe 5 bleibt derselbe konsolidierte Audit-Trail durchgehend aktuell, sodass die Rezertifizierung zu einer Überprüfung vorhandener Nachweise wird, statt Ihr Compliance-Bild alle drei Jahre neu zusammensetzen zu müssen. Kiteworks verfügt zudem über die FedRAMP-Moderate-Autorisierung, die Auftragnehmern eine dokumentierte Control Inheritance bietet und so den Prüfumfang auf jeder Stufe dieser Roadmap reduziert.
Wie Kiteworks Ihre Organisation an der jeweiligen Stufe der CMMC-Roadmap konkret unterstützt, erfahren Sie in einer individuellen Demo.
Häufig gestellte Fragen
Fünf Stufen in dieser Reihenfolge: Ermitteln Sie die erforderliche CMMC-Stufe anhand der Art der Daten, mit denen Sie umgehen (FCI oder CUI); führen Sie eine Gap-Analyse über alle Systeme durch, die mit diesen Daten in Berührung kommen; beheben Sie identifizierte Lücken und dokumentieren Sie Ihren Sicherheitsstatus in einem System Security Plan sowie einem Plan of Action and Milestones; verifizieren Sie Ihre Compliance je nach Stufe und Programm per Selbstbewertung oder C3PAO-Drittzertifizierung; und pflegen Sie die Compliance fortlaufend, einschließlich der dreijährlichen Rezertifizierung für Stufe 2 und Stufe 3. Auftragnehmer, die diese Stufen in der richtigen Reihenfolge durchlaufen, haben in der Regel einen deutlich reibungsloseren Weg als jene, die versuchen, Gap-Analyse oder Dokumentation unter Zeitdruck abzukürzen.
Die Dauer variiert stark je nach Ausgangslage der Sicherheitsstruktur, der Größe der Organisation und der erforderlichen CMMC-Stufe. Organisationen mit ausgereiften Sicherheitsprogrammen und guter Dokumentationspraxis schließen den Prozess mitunter in wenigen Monaten ab. Organisationen, die mit fragmentierten Tools, uneinheitlichen Richtlinien und ohne formale Dokumentation starten, benötigen häufig ein Jahr oder länger – insbesondere für die Zertifizierung nach Stufe 2, die alle 110 Kontrollen aus NIST SP 800-171 erfordert. Die meiste Zeit beanspruchen in der Regel die Gap-Analyse und die Behebungsphase, da hier sowohl fehlende Kontrollen umgesetzt als auch prüfbare Dokumentation erstellt werden muss.
Ein System Security Plan (SSP) dokumentiert, wie Ihre Organisation jede erforderliche Sicherheitskontrolle umsetzt – er beschreibt Kontrolle für Kontrolle Ihren aktuellen Sicherheitsstatus und ist das zentrale Dokument, das ein C3PAO-Assessor bei der Zertifizierung prüft. Ein Plan of Action and Milestones (POA&M) dokumentiert Kontrollen, die noch nicht vollständig umgesetzt sind, samt konkreter Behebungsschritte und Zieltermine. Beide Dokumente müssen korrekt und aktuell sein: Ein SSP, der Kontrollen beschreibt, die tatsächlich nicht umgesetzt sind, schafft ein rechtliches Risiko im Rahmen der Civil Cyber-Fraud Initiative des DoJ, die auf Basis des False Claims Act gegen Auftragnehmer vorgeht, die ihren Compliance-Status falsch darstellen.
Nein. CMMC-Compliance ist ein dauerhafter Zustand, kein Projekt mit einem festen Enddatum. Zertifizierungen nach Stufe 2 und Stufe 3 erfordern eine Rezertifizierung alle drei Jahre, und die zugrunde liegenden Sicherheitskontrollen müssen zwischen den Assessments – nicht nur zum Zeitpunkt der Zertifizierung – umgesetzt und wirksam bleiben. Organisationen, die während des gesamten Zertifizierungszyklus aktuelle Dokumentation, laufendes Monitoring und einen kontinuierlich aktualisierten Audit-Trail pflegen, empfinden die Rezertifizierung in der Regel als deutlich einfacher als Organisationen, die ihren Compliance-Status abdriften lassen und ihn vor jedem Assessment neu rekonstruieren müssen.