Was bei einem CMMC-Assessment passiert – und was dauerhafte Compliance danach wirklich bedeutet

Die meisten Inhalte zu CMMC drehen sich um die Vorbereitung auf die Zertifizierung. Deutlich seltener wird beschrieben, was das Assessment selbst tatsächlich beinhaltet – und fast nirgends wird der Teil behandelt, der nach dem erfolgreichen Abschluss am wichtigsten ist: die dauerhafte Compliance danach. Eine Zertifizierung ist eine Momentaufnahme. Die überprüften Kontrollen müssen über Jahre hinweg funktionieren, nicht nur am Tag des Assessments.

Dieser Leitfaden deckt beide Seiten ab: was ein C3PAO oder ein Self-Assessment tatsächlich prüft – und was fortlaufende Compliance erfordert, sobald die Zertifizierung erreicht ist.

Hinweis: Die Anforderungen an eine Drittzertifizierung im Rahmen von CMMC Phase 2 wurden vom Department of War im Juli 2026 bis zum Abschluss einer Programmüberprüfung ausgesetzt. Self-Assessments und bestehende Zertifizierungen sind davon nicht betroffen. Alle Details finden Sie unter CMMC Phase II ist ausgesetzt. Ihre DFARS-Pflichten sind es nicht.

Executive Summary

Kernaussage: Ein CMMC-Assessment – ob selbst durchgeführt oder von einem C3PAO abgenommen – bewertet dokumentierte Nachweise gegen jede einzelne erforderliche Kontrolle, nicht nur einen allgemeinen Eindruck von Sicherheitsreife. Das Bestehen dieses Assessments ist der Beginn, nicht das Ende einer fortlaufenden Compliance-Verpflichtung, die kontinuierliches Monitoring, Incident Reporting und eine spätere Rezertifizierung umfasst.

Warum das wichtig ist: Organisationen, die die Zertifizierung als Ziellinie betrachten, stellen bei der Rezertifizierung oft fest, dass sich ihre Compliance-Situation unbemerkt verschlechtert hat – eine ausgesetzte Kontrolle, eine undokumentierte Systemänderung, eine abgelaufene Affirmation. Wer versteht, was dauerhafte Compliance tatsächlich verlangt, verhindert, dass die Rezertifizierung zur Hektik wird, bei der Nachweise nachträglich zusammengetragen werden müssen, die eigentlich kontinuierlich hätten gepflegt werden sollen.

Die wichtigsten Erkenntnisse

1. Ein CMMC-Assessment bewertet dokumentierte Nachweise, nicht einen allgemeinen Sicherheitseindruck. Ob selbst durchgeführt oder von einem C3PAO abgenommen: Das Assessment prüft Ihren System Security Plan gegen jede einzelne erforderliche Kontrolle – eine Kontrolle, die implementiert, aber nicht dokumentiert ist, gilt als nicht vorhanden.
2. C3PAO-Assessments umfassen Dokumentenprüfung, Interviews und technische Verifizierung – nicht nur eine Checkliste. Assessoren prüfen Ihren SSP und die dazugehörigen Nachweise, führen Interviews mit Mitarbeitenden, um sicherzustellen, dass dokumentierte Prozesse der tatsächlichen Praxis entsprechen, und testen technische Kontrollen direkt, statt sich allein auf die Dokumentation zu verlassen.
3. Eine Zertifizierung hat ein Ablaufdatum, und dazwischen ist kontinuierliches Monitoring erforderlich. Zertifizierungen der Level 2 und Level 3 sind drei Jahre gültig, doch während dieser Zeit sind jährliche Affirmationen zur fortlaufenden Compliance erforderlich – eine versäumte Affirmation kann eine ansonsten gültige Zertifizierung ungültig machen.
4. Dauerhafte Compliance bedeutet, dass sich Ihre Umgebung verändern kann, ohne dass Ihre Compliance-Situation unbemerkt zusammenbricht. Neue Mitarbeitende, neue Systeme, neue Lieferanten und Konfigurationsänderungen können in einer bereits zertifizierten Umgebung Lücken öffnen. Kontinuierliches Monitoring deckt dies auf, bevor es ein Assessor – oder ein Sicherheitsvorfall – tut.
5. Für Organisationen, die durchgehend Nachweise gepflegt haben, ist die Rezertifizierung deutlich weniger aufwendig als für jene, die dies vernachlässigt haben. Eine Organisation mit einem stets aktuellen Audit-Trail und einem regelmäßig überprüften SSP kann die Rezertifizierung als reine Durchsicht bestehender Nachweise angehen. Eine Organisation, deren Dokumentation veraltet ist, muss ihre Compliance-Situation unter Zeitdruck von Grund auf neu rekonstruieren.

Was ein CMMC-Assessment tatsächlich prüft

Ob Ihre Organisation ein Self-Assessment durchführt oder sich einem C3PAO-Drittassessment unterzieht – die grundlegende Bewertung ist dieselbe: Stützen dokumentierte, überprüfbare Nachweise die Behauptung, jede einzelne erforderliche Kontrolle zu erfüllen? Ein allgemeines Gefühl, dass „wir Sicherheit ernst nehmen“, reicht nicht aus.

Im Mittelpunkt dieser Nachweise steht Ihr System Security Plan (SSP) – ein Dokument, das Kontrolle für Kontrolle beschreibt, wie Ihre Organisation jede Anforderung umsetzt. Ein Assessor prüft dieses Dokument Zeile für Zeile und gleicht es mit dem konkreten Wortlaut der Kontrollen in NIST SP 800-171 ab. Belegende Nachweise stützen die Angaben im SSP: Konfigurationsexporte, Zugriffskontrollrichtlinien, Schulungsnachweise, Incident-Response-Protokolle sowie der Audit-Trail, der zeigt, dass Logging- und Monitoring-Kontrollen tatsächlich in Betrieb sind – nicht nur als Richtlinie dokumentiert.

Für jede Kontrolle, die noch nicht vollständig umgesetzt ist, dokumentiert ein Plan of Action and Milestones (POA&M) die konkrete Lücke, die Abhilfemaßnahmen und den Zeitplan – unter CMMC 2.0 ein zulässiger Zustand, solange er offengelegt und nicht erst entdeckt wird. Ein SSP, der die vollständige Umsetzung einer Kontrolle behauptet, die tatsächlich nicht vorhanden ist, ist ein wesentlich anderes und schwerwiegenderes Problem als eine ehrlich benannte Lücke mit dokumentiertem Abhilfeplan.

Was ein Self-Assessment umfasst

Ein Self-Assessment gilt bei Level 1 grundsätzlich immer und bei Level 2 für Verträge, die keine Drittzertifizierung erfordern. Die Organisation prüft die eigene Umgebung gegen die erforderlichen Kontrollen, dokumentiert die Ergebnisse, und eine leitende Person des Unternehmens bestätigt formell die Richtigkeit dieses Assessments im Supplier Performance Risk System (SPRS).

Ein Self-Assessment bedeutet nicht, dass geringere Sorgfalt akzeptabel ist – es bedeutet, dass die Nachweispflicht bei der Organisation selbst liegt und nicht bei einem externen Assessor, und dass die bestätigende Person persönlich für die Richtigkeit der gemeldeten Angaben haftet. Angesichts des Fokus der Civil Cyber-Fraud Initiative des Department of Justice auf False-Claims-Act-Fälle im Zusammenhang mit falsch dargestellter Cybersicherheits-Compliance birgt ein ungenaues Self-Assessment ein echtes rechtliches Risiko – nicht nur ein Compliance-Risiko.

Was ein C3PAO-Drittassessment umfasst

Ein Drittassessment gilt für Level-2-Programme mit besonders kritischen nationalen Sicherheitsinformationen sowie generell für Level-3-Programme (wobei das Level-3-Assessment von staatlicher Seite und nicht durch ein C3PAO durchgeführt wird). Ein C3PAO-Assessment ist ein deutlich umfangreicherer Prozess als ein Self-Assessment und umfasst in der Regel drei Komponenten.

Dokumentenprüfung. Der Assessor prüft Ihren SSP und sämtliche unterstützenden Nachweise – Richtlinien, Konfigurationsstandards, Audit-Logs, Schulungsnachweise – und gleicht jede Angabe mit der jeweiligen Kontrollanforderung ab.

Interviews. Assessoren sprechen direkt mit den Mitarbeitenden, die für die Umsetzung und Pflege einzelner Kontrollen verantwortlich sind, um zu bestätigen, dass dokumentierte Prozesse dem tatsächlichen Tagesgeschäft entsprechen – und nicht nur auf dem Papier existieren. Eine Diskrepanz zwischen dem, was der SSP beschreibt, und dem, was Mitarbeitende tatsächlich berichten, ist ein häufiger und schwerwiegender Befund.

Technische Verifizierung. Statt sich allein auf die Dokumentation zu verlassen, prüfen Assessoren Systemkonfigurationen direkt, testen Zugriffskontrollen und sichten tatsächliche Audit-Logs, um zu bestätigen, dass technische Kontrollen wie beschrieben funktionieren – und nicht nur irgendwann in der Vergangenheit korrekt eingerichtet wurden.

Der Zeitrahmen für ein C3PAO-Assessment variiert je nach Komplexität der Organisation. Entscheidend dafür, ob der Prozess reibungslos verläuft oder Lücken zutage treten, die die Zertifizierung verzögern, ist jedoch die Vorbereitung – also die Sicherstellung, dass die Dokumentation vor Beginn des Assessments korrekt und aktuell ist. Konkrete Hinweise zur Vorbereitung finden Sie in unserer CMMC-2.0-Roadmap und unserer CMMC-2.0-Compliance-Checkliste.

Was dauerhafte Compliance nach der Zertifizierung erfordert

Die Zertifizierung bestätigt Ihre Compliance-Situation zu einem bestimmten Zeitpunkt. Diese Situation über die folgenden Monate und Jahre aufrechtzuerhalten, erfordert gezielte, fortlaufende Arbeit – und nicht erst dann, wenn die Rezertifizierung naht.

Kontinuierliches Monitoring. Kontrollen müssen dauerhaft funktionieren, nicht nur während des Assessments korrekt gearbeitet haben. Fortlaufendes Vulnerability-Scanning, die Überprüfung von Logs und regelmäßige interne Tests erkennen Abweichungen, bevor sie zu einem Befund bei der Rezertifizierung – oder schlimmer, zu einem echten Sicherheitsvorfall – werden.

Jährliche Affirmation. Zertifizierungen der Level 2 und Level 3 sind drei Jahre gültig, doch Organisationen müssen die fortlaufende Compliance während dieser Zeit jährlich bestätigen. Eine versäumte Affirmation kann eine ansonsten gültige Zertifizierung untergraben – ein rein prozeduraler Fehler, der sich mit einem dokumentierten internen Kalender vollständig vermeiden lässt.

Dokumentation aktuell halten, wenn sich die Umgebung ändert. Ein neuer Mitarbeiter, eine neue Lieferantenbeziehung, eine Systemumkonfiguration oder ein neues Tool, das ein Team einführt – all das kann in einer bereits zertifizierten Umgebung Compliance-Lücken öffnen, wenn SSP und Zugriffskontrollen nicht entsprechend aktualisiert werden. Compliance-Drift verläuft meist nicht dramatisch, sondern entsteht durch die Anhäufung kleiner, undokumentierter Änderungen über die Zeit.

Bereitschaft zur Incident-Meldung. DFARS 252.204-7012 verlangt, dass Cyber-Vorfälle mit Bezug zu geschützten Verteidigungsinformationen innerhalb von 72 Stunden gemeldet werden. Die Incident-Response-Fähigkeit einer Organisation muss tatsächlich funktionsfähig und eingeübt sein – nicht nur in einem Richtliniendokument beschrieben, das seit der Zertifizierung nie getestet wurde.

Wie Kiteworks sowohl das Assessment als auch die fortlaufende Compliance unterstützt

Kiteworks deckt nahezu 90 % der Anforderungen von CMMC 2.0 Level 2 bereits standardmäßig ab. Der Nutzen geht dabei über das eigentliche Assessment hinaus und erstreckt sich auf das kontinuierliche Monitoring, das dauerhafte Compliance tatsächlich erfordert.

Eine einheitliche Data Policy Engine setzt Zugriffskontrollen, Verschlüsselung und Audit-Logging durchgängig über sichere E-Mail, sicheres File Sharing, Managed File Transfer und SFTP hinweg um – und liefert Assessoren, ob im Self-Assessment oder bei einem C3PAO, eine einzige, konsolidierte Nachweisquelle statt verteilter Fragmente über getrennte Systeme. AES-256-Verschlüsselung mit FIPS-140-3-validierten kryptografischen Modulen erfüllt die Anforderungen an System and Communications Protection unmittelbar.

Entscheidend für den Aspekt der dauerhaften Compliance: Ein einzelner, unveränderlicher, kanalübergreifend konsolidierter Audit-Trail bleibt fortlaufend aktuell – die Nachweise für Ihre jährliche Affirmation und die spätere Rezertifizierung stehen also jederzeit zur Verfügung, statt bei jedem Bedarf unter Zeitdruck neu zusammengestellt werden zu müssen. Kiteworks verfügt zudem über die FedRAMP Moderate Authorization, unabhängig geprüft und seit Juni 2017 kontinuierlich überwacht – ein lebendiger Beweis genau jener nachhaltigen, fortlaufenden Compliance-Situation, die CMMC letztlich verlangt.

Erfahren Sie, wie Kiteworks Ihre Organisation bei Assessment und darüber hinaus unterstützt, und vereinbaren Sie eine individuelle Demo.

 

Zurück zum Risk & Compliance Glossar