32 CFR vs. 48 CFR: Die zwei Regelwerke hinter der „CFR-CMMC-Regel"

Wer nach „der CFR-CMMC-Regel“ sucht, meint in der Regel eines von zwei unterschiedlichen Regelwerken – und beide zu verwechseln, ist ein häufiger und folgenreicher Fehler. 32 CFR Part 170 ist die Regel, die das CMMC-Programm überhaupt erst geschaffen hat – die Level, die Controls, die Assessment-Arten. 48 CFR, konkret die DFARS-Klausel 252.204-7021, ist die Regel, die dieses Programm im DoD-Vergabeverfahren durchsetzbar macht – sie gibt Vertragsverantwortlichen die Befugnis, ein bestimmtes CMMC-Level zu verlangen und dessen Nachweis vor Auftragsvergabe zu prüfen.

Beide Regelwerke sind final, beide in Kraft, und beide sind essenziell zu verstehen – aber sie beantworten unterschiedliche Fragen, und eine Ressource zu einer Regel sagt kaum etwas über die andere aus. Diese Seite bietet eine kurze Orientierung zu beiden, mit Links zum ausführlichen Leitfaden für das jeweils relevante Regelwerk.

Hinweis: Die Zertifizierungspflicht durch Dritte in CMMC-Phase 2 wurde vom Department of War im Juli 2026 bis zu einer Programmüberprüfung ausgesetzt. Beide unten beschriebenen Regelwerke bleiben in Kraft; die Aussetzung betrifft ausschließlich den Zeitplan der Zertifizierung. Details finden Sie unter CMMC Phase II Is Suspended. Your DFARS Obligations Are Not.

Zusammenfassung

Kernaussage: „Die CFR-CMMC-Regel“ ist keine einzelne Regel – der Begriff wird umgangssprachlich sowohl für 32 CFR (das das CMMC-Programm selbst festlegt) als auch für 48 CFR (das dieses Programm bei DoD-Vergaben durchsetzbar macht) verwendet. Beide Regelwerke sind final und in Kraft. Zu wissen, welches Regelwerk tatsächlich gemeint ist, entscheidet darüber, ob Sie sich mit Zertifizierungsstufen und Controls oder mit Vergabe- und Ausschreibungsmechanik befassen müssen.

Warum das relevant ist: Wenn Sie herausfinden möchten, welches CMMC-Level für Ihre Organisation gilt, benötigen Sie 32 CFR. Wenn Sie klären möchten, warum ein Angebot wegen eines SPRS-Eintrags abgelehnt wurde, benötigen Sie 48 CFR. Wer an der falschen Stelle sucht, verschwendet Zeit und übersieht möglicherweise genau die Anforderung, die tatsächlich relevant ist.

Die wichtigsten Punkte

1. 32 CFR Part 170 hat das CMMC-Programm selbst geschaffen. Finalisiert im Oktober 2024 und in Kraft seit dem 16. Dezember 2024, legt es die drei Zertifizierungsstufen, die erforderlichen Controls je Stufe, die Assessment-Arten und die Scoping-Regeln fest – also das, was CMMC-Compliance inhaltlich bedeutet.
2. 48 CFR macht CMMC im Vergabeprozess durchsetzbar. Über die DFARS-Klausel 252.204-7021, in Kraft seit dem 10. November 2025, erhalten Vertragsverantwortliche die Befugnis, ein bestimmtes CMMC-Level in einer Ausschreibung zu fordern und den Compliance-Status über SPRS zu prüfen, bevor ein Auftrag vergeben wird.
3. 32 CFR beantwortet die Frage „was verlangt Compliance“; 48 CFR beantwortet die Frage „wie wird Compliance bei der Vergabe durchgesetzt“. Beide Regelwerke bauen aufeinander auf und ergänzen sich – eines definiert den Standard, das andere macht ihn zur Geschäftsvoraussetzung. Sie stehen nicht in Konkurrenz und überschneiden sich nicht.
4. Beide Regelwerke sind final und in Kraft, unabhängig von der Phase-2-Aussetzung. Die im Juli 2026 verkündete Aussetzung betraf lediglich den Zeitplan für die verpflichtende Drittzertifizierung im Rahmen von Phase 2 – weder 32 CFR noch 48 CFR wurden dadurch aufgehoben. Beide bleiben die maßgeblichen Regelwerke für Struktur und Durchsetzung von CMMC.
5. Die meisten praktischen Fragen zu „der CFR-CMMC-Regel“ betreffen tatsächlich nur eines der beiden Regelwerke. Geht es um Level, Controls oder konkrete Umsetzungsanforderungen, ist 32 CFR gemeint. Geht es um Ausschreibungen, Vergabefähigkeit oder SPRS, ist 48 CFR gemeint.

32 CFR Part 170: Die Regel, die CMMC definiert

32 CFR Part 170 ist die Regel des Department of Defense, die das CMMC-Programm formal im Title 32 (National Defense) des Code of Federal Regulations verankert hat. Veröffentlicht im Federal Register im Oktober 2024 und in Kraft seit dem 16. Dezember 2024, beantwortet dieses Regelwerk die Frage: „Was verlangt CMMC-Compliance konkret?“

Diese Regel definiert die drei Zertifizierungsstufen – Level 1 (Foundational), Level 2 (Advanced) und Level 3 (Expert) – und verknüpft jede Stufe mit der Sensibilität der Daten, die eine Organisation verarbeitet. Sie legt fest, welche Controls auf jeder Stufe gelten, basierend auf NIST SP 800-171 für Level 2 und den erweiterten Anforderungen von NIST SP 800-172 für Level 3. Sie definiert die verfügbaren Assessment-Arten je Stufe, einschließlich der Kriterien für akkreditierte C3PAOs, die die Drittzertifizierung durchführen. Und sie legt Scoping-Regeln fest, die bestimmen, welche Systeme und Daten innerhalb einer Organisation tatsächlich unter die CMMC-Anforderungen fallen.

Wenn Ihre Frage lautet, welches Level für Ihre Organisation gilt, welche Controls Sie umsetzen müssen oder wie der Assessment-Prozess funktioniert, ist 32 CFR das Regelwerk, das Sie eigentlich betrifft. Ausführliche Details finden Sie in unserem Leitfaden zu 32 CFR-Anforderungen, und eine Aufschlüsselung nach Level in unserem CMMC-Level-2-Leitfaden.

48 CFR: Die Regel, die CMMC im Vergabeverfahren durchsetzt

48 CFR regelt die Federal Acquisition Regulations, und die für CMMC relevanten Ergänzungen – konkret die DFARS-Klausel 252.204-7021 – machen die Anforderungen aus 32 CFR bei der Auftragsvergabe durchsetzbar. Diese Regel ist seit dem 10. November 2025 in Kraft.

Während 32 CFR definiert, was Compliance bedeutet, gibt 48 CFR Vertragsverantwortlichen den konkreten Mechanismus, um darauf zu reagieren: ein erforderliches CMMC-Level direkt in einer Ausschreibung zu benennen, den Zertifizierungsstatus eines Auftragnehmers gegen das Supplier Performance Risk System (SPRS) abzugleichen und die Auftragsvergabe zu verweigern, falls dieser Status nicht aktuell ist. Zudem wurde die CMMC Unique Identifier eingeführt, die ein konkretes Angebot mit einem spezifischen, überprüfbaren SPRS-Eintrag verknüpft.

Wenn Ihre Frage Ausschreibungen, Vergabefähigkeit betrifft, warum ein Vertragsverantwortlicher nach Ihrem SPRS-Score fragt oder was passiert, wenn Ihr Compliance-Eintrag veraltet ist, ist 48 CFR das Regelwerk, das Sie eigentlich betrifft. Ausführliche Details, einschließlich der genauen Funktionsweise von SPRS-Bewertung und Vergabefähigkeit in der Praxis, finden Sie in unserem Leitfaden zu 48 CFR und CMMC.

Warum die Verwechslung entsteht

Beide Regelwerke werden in der alltäglichen Diskussion häufig einfach als „die CMMC-Regel“ oder „die CFR-Regel“ bezeichnet, ohne konkrete Referenz – verständlich, da die meisten Menschen ihnen eher über Sekundärquellen (Webinare, Berichterstattung, Anbieterinhalte) begegnen als über den eigentlichen Text im Federal Register. Die Verwechslung wird durch das Timing verstärkt: 32 CFR und 48 CFR wurden im Abstand von etwa einem Jahr finalisiert, werden aber häufig gemeinsam diskutiert, da sie zusammen das vollständige regulatorische Bild ergeben – eines definiert den Standard, das andere setzt ihn durch.

Die praktische Lösung ist einfach: Wenn Sie in einem Artikel, Webinar oder Gespräch auf „die CFR-CMMC-Regel“ stoßen, prüfen Sie, ob die konkrete Referenz (32 CFR oder 48 CFR) genannt wird. Ist das nicht der Fall, überlegen Sie, welche zugrunde liegende Frage tatsächlich behandelt wird – Compliance-Anforderungen oder Vertragsdurchsetzung –, denn das verrät meist, welches Regelwerk gemeint ist.

Wie Kiteworks die Einhaltung beider Regelwerke unterstützt

Kiteworks erfüllt nahezu 90 % der CMMC-2.0-Level-2-Anforderungen bereits im Auslieferungszustand – und adressiert damit direkt die Vorgaben von 32 CFR – durch eine einheitliche Data Policy Engine, die Zugriffskontrollen, Verschlüsselung und Audit-Protokollierung über sicheren E-Mail-Versand, sicheres File Sharing, Managed File Transfer und SFTP hinweg konsolidiert. AES-256-Verschlüsselung mit FIPS-140-3-validierten kryptografischen Modulen sowie ein einziger, konsolidierter und unveränderlicher Audit-Trail liefern Organisationen aktuelle, exportierbare Nachweise – sowohl für die Selbstbewertung als auch für die C3PAO-Zertifizierung gemäß 32 CFR.

Genau diese Nachweisbasis unterstützt auch einen präzisen, belastbaren SPRS-Eintrag gemäß 48 CFR – und trägt dazu bei, dass der Compliance-Status, den ein Vertragsverantwortlicher gegen SPRS prüft, eine tatsächlich aktuelle und gut dokumentierte Sicherheitslage widerspiegelt, statt einer unter Zeitdruck kurzfristig zusammengestellten Momentaufnahme.

Um zu erfahren, wie Kiteworks Ihre Organisation bei der Einhaltung beider Regelwerke unterstützt, vereinbaren Sie eine individuelle Demo.

Zurück zum Risiko- & Compliance-Glossar