CMMC-Compliance: Stufen, Anforderungen und aktueller Programmstatus

Die Cybersecurity Maturity Model Certification (CMMC) ist das Rahmenwerk des Department of War (vormals Department of Defense) zur Überprüfung, ob Verteidigungsauftragnehmer Controlled Unclassified Information (CUI) und Federal Contract Information (FCI) angemessen schützen. Sie gilt für jede Organisation der Defense Industrial Base (DIB), die diese Daten im Auftrag des Ministeriums verarbeitet, und baut unmittelbar auf Cybersicherheitsanforderungen auf, die unabhängig von CMMC bereits bestehen.

Das Programm hat sich seit seiner Einführung erheblich weiterentwickelt – zuletzt am 13. Juli 2026, als die Zertifizierungspflicht bis zum Abschluss einer umfassenden Programmüberprüfung ausgesetzt wurde. Dieser Leitfaden erklärt, was CMMC verlangt, wie die drei Stufen funktionieren und – ganz entscheidend – wie der aktuelle Status des Programms aussieht und was das für Auftragnehmer jetzt konkret bedeutet.

Zusammenfassung

Kernaussage: CMMC überprüft, ob Verteidigungsauftragnehmer die Cybersicherheitsanforderungen erfüllen, die bereits nach DFARS 252.204-7012 und NIST SP 800-171 bestehen – das Programm schafft keine neuen Sicherheitspflichten, sondern einen formalen Mechanismus zur Überprüfung von Pflichten, die Auftragnehmer bereits seit 2017 tragen. Seit Juli 2026 ist die Drittanbieter-Zertifizierungskomponente dieses Überprüfungsmechanismus bis zum Abschluss einer Überprüfung pausiert – die zugrunde liegenden Cybersicherheitsanforderungen jedoch nicht.

Warum das wichtig ist: Auftragnehmer, die die Aussetzung von Phase 2 als Signal verstehen, Investitionen in Cybersicherheit zurückzustellen, liegen falsch. Die Einhaltung von NIST SP 800-171, die Dokumentation im System Security Plan, die Pflege des SPRS-Scores und die Pflichten aus DFARS 252.204-7012 bleiben vollständig durchsetzbar – einschließlich des Haftungsrisikos nach dem False Claims Act im Rahmen der Civil Cyber-Fraud Initiative des US-Justizministeriums für Auftragnehmer, die ihren Compliance-Status falsch darstellen. Die Zertifizierungspflicht wurde verschoben. Der zugrunde liegende Standard nicht.

Die wichtigsten Erkenntnisse

1. CMMC überprüft die Einhaltung bereits bestehender Anforderungen. DFARS 252.204-7012 verpflichtet Verteidigungsauftragnehmer, die CUI verarbeiten, bereits seit 2017 zur Umsetzung der 110 Sicherheitskontrollen aus NIST SP 800-171. CMMC hat diese Pflicht nicht neu geschaffen, sondern einen Zertifizierungsmechanismus eingeführt, um zu überprüfen, ob Auftragnehmer diese Pflicht tatsächlich erfüllen – als Ersatz für ein Selbstauskunftsmodell, das sich aus Sicht des DoD als nicht ausreichend zuverlässig erwiesen hatte. Das ist der wichtigste Punkt, den man bei jeder Änderung des CMMC-Programms verstehen muss: Änderungen an den Zertifizierungsanforderungen ändern nichts an den zugrunde liegenden Sicherheitskontrollen, die Auftragnehmer umsetzen müssen.
2. CMMC hat drei Stufen, die sich an der Sensibilität der Daten orientieren. Stufe 1 (Foundational) gilt für Auftragnehmer, die FCI verarbeiten, und verlangt 17 grundlegende Schutzmaßnahmen, die jährlich per Selbstbewertung überprüft werden. Stufe 2 (Advanced) gilt für Auftragnehmer, die CUI verarbeiten, und verlangt alle 110 Kontrollen aus NIST SP 800-171 – je nach Kritikalität des Programms überprüft entweder per Selbstbewertung oder per Drittanbieter-Zertifizierung. Stufe 3 (Expert) gilt für die Programme mit höchster Priorität und ergänzt Kontrollen aus NIST SP 800-172, überprüft durch eine staatlich geführte Bewertung.
3. Phase 2 – die Pflicht zur Drittanbieter-Zertifizierung – wurde am 13. Juli 2026 ausgesetzt. Das Department of War hat die Pflicht zu Bewertungen durch akkreditierte Certified Third-Party Assessment Organizations (C3PAO) ausgesetzt, die eigentlich ab dem 10. November 2026 gelten sollte. Eine CMMC Reform Task Force führt derzeit eine 60-tägige Überprüfung durch; Ergebnisse werden für Mitte September 2026 erwartet. Die Anforderungen der Phase 1 zur Selbstbewertung, die seit dem 10. November 2025 gelten, bleiben unverändert in Kraft.
4. Die Aussetzung berührt die Pflichten aus DFARS 252.204-7012 und NIST SP 800-171 nicht. Jede juristische Analyse der Aussetzung kommt zum selben Schluss: Die Pause betrifft den CMMC-Zertifizierungsmechanismus, nicht die zugrunde liegenden vertraglichen Cybersicherheitsanforderungen. Auftragnehmer, die DFARS 252.204-7012 unterliegen, müssen weiterhin NIST SP 800-171 umsetzen, aktuelle System Security Plans pflegen, ihre Scores im Supplier Performance Risk System (SPRS) veröffentlichen und Mängel über dokumentierte Plans of Action and Milestones (POA&Ms) beheben.
5. Die Überprüfung ist ein Kontrollpunkt, keine endgültige Entscheidung – und könnte das Programm eher umgestalten als beenden. Rechts- und Politikexperten, die die Aussetzung beobachten, betonen übereinstimmend: Eine 60-tägige Überprüfung mit anschließenden Empfehlungen ist etwas anderes als ein formales Rulemaking-Verfahren, das Anforderungen tatsächlich ändert – und Letzteres dauert mindestens mehrere Monate. Die Überprüfung könnte die C3PAO-Pflicht weiter verschieben, festlegen, welche Verträge eine Drittanbieter-Bewertung statt einer Selbstbewertung erfordern, oder das Bewertungsmodell grundlegend neu strukturieren. Dass der zugrunde liegende NIST-SP-800-171-Standard abgeschwächt wird, ist dagegen sehr unwahrscheinlich, da dieser Standard unabhängig von CMMC fest in DFARS verankert ist.

Programmstatus: Die Aussetzung von Phase 2 im Juli 2026

Am 13. Juli 2026 gab das Department of War (DoW, vormals und weiterhin gebräuchlich als Department of Defense bzw. DoD bezeichnet) die sofortige Aussetzung der Anforderungen von CMMC Phase 2 bekannt. Das Memo, herausgegeben von DoW-CIO Kirsten Davies unter der Nummer 26-P-1023, stoppte die Pflicht, ab dem 10. November 2026 verbindliche C3PAO-Drittanbieter-Zertifizierungsbewertungen in neue Ausschreibungen und Verträge aufzunehmen. Die Aussetzung pausierte zugleich sämtliche anstehenden und künftigen CMMC-Umsetzungsmeilensteine – das heißt, auch die Phasen 3 und 4 des ursprünglich geplanten vierstufigen Rollouts liegen derzeit auf Eis.

Gleichzeitig kündigte das Ministerium eine CMMC Reform Task Force an, die das Programm in einer 60-tägigen Überprüfung umfassend unter die Lupe nehmen soll. Die Überprüfung reagiert auf anhaltende Bedenken – wiederholt vorgebracht von kleinen und mittleren Verteidigungsauftragnehmern – hinsichtlich der Kosten und des operativen Aufwands der Drittanbieter-Zertifizierung, und spiegelt die übergeordneten Prioritäten des Acquisition Transformation System des Ministeriums wider: schnellere Verfügbarkeit von Fähigkeiten und geringere Zugangshürden für kleine, mittlere und nicht traditionelle Verteidigungsauftragnehmer. Eine öffentliche Request for Information sammelt Rückmeldungen aus der Branche zu Kosten, Umsetzung und Wirksamkeit des aktuellen Zertifizierungsrahmens; Rückmeldungen werden bis zum 14. August 2026 erbeten. Die Task Force soll ihre Ergebnisse voraussichtlich Mitte September 2026 an den DoW-CIO übermitteln.

Was sich durch die Aussetzung ändert: Neue Ausschreibungen und Verträge beschränken sich während der Überprüfungsphase auf die Selbstbewertungsanforderungen von CMMC Stufe 1 und Stufe 2. Die verbindliche C3PAO-Drittanbieter-Zertifizierungspflicht, die ab dem 10. November 2026 gelten sollte, ist ausgesetzt. Programmverantwortliche können derzeit keine Anforderungen aus Phase 2, 3 oder 4 in neue Verträge aufnehmen.

Was sich durch die Aussetzung nicht ändert: Die Selbstbewertungsanforderungen der Phase 1, die seit dem 10. November 2025 gelten, bleiben vollständig in Kraft. Auftragnehmer, die DFARS 252.204-7012 unterliegen, müssen weiterhin die 110 Kontrollen aus NIST SP 800-171 umsetzen, aktuelle und korrekte System Security Plans pflegen und ihre Scores im SPRS veröffentlichen. Auftragnehmer, die den Selbstbewertungsanforderungen von DFARS 252.204-7021 für Stufe 1 oder Stufe 2 unterliegen, müssen ihre Compliance weiterhin jährlich bestätigen. Die Civil Cyber-Fraud Initiative des US-Justizministeriums verfolgt weiterhin False-Claims-Act-Verfahren gegen Auftragnehmer, die ihre Cybersicherheits-Compliance falsch darstellen – ein rechtliches Risiko, das völlig unabhängig von der Aussetzung der CMMC-Zertifizierung besteht.

Was Auftragnehmer jetzt tun sollten: Betrachten Sie Mitte September 2026 als Kontrollpunkt für neue Informationen, nicht als Frist oder endgültige Entscheidung. Pflegen Sie aktuelle Selbstbewertungen, SSP-Dokumentation und SPRS-Scores weiterhin so, als gelte der ursprüngliche Zeitplan für die Zertifizierungsanforderungen unverändert – denn eine Überprüfung, die in Empfehlungen mündet, ist etwas anderes als ein Rulemaking-Verfahren, das Anforderungen tatsächlich ändert, und selbst nach Vorliegen solcher Empfehlungen dauert ein Rulemaking-Verfahren mindestens mehrere Monate. Beheben Sie identifizierte Lücken weiterhin über dokumentierte POA&Ms. Verstehen Sie die Aussetzung nicht als Signal, Investitionen in Cybersicherheit zurückzustellen: Das Sicherheitsniveau, das das DoD überprüft, hat sich nicht geändert – lediglich der Mechanismus zu seiner Überprüfung steht derzeit auf dem Prüfstand.

Was CMMC verlangt

Die Anforderungen von CMMC richten sich nach der Art der Daten, die ein Auftragnehmer verarbeitet, und davon abhängig, welche Zertifizierungsstufe zur Anwendung kommt.

Federal Contract Information (FCI) sind Informationen, die nicht für die Veröffentlichung bestimmt sind und im Rahmen eines Vertrags zur Entwicklung oder Lieferung eines Produkts oder einer Dienstleistung von der Regierung bereitgestellt oder für sie erzeugt werden. Auftragnehmer, die ausschließlich FCI verarbeiten, unterliegen CMMC Stufe 1.

Controlled Unclassified Information (CUI) sind sensible Informationen, die aufgrund von Gesetzen, Vorschriften oder behördenweiten Richtlinien geschützt werden müssen, ohne jedoch die Schwelle zur Einstufung als Verschlusssache zu erreichen. Zu CUI zählen unter anderem technische Zeichnungen, exportkontrollierte Daten und bestimmte beschaffungssensible Informationen. Auftragnehmer, die CUI verarbeiten, unterliegen CMMC Stufe 2.

Die drei CMMC-Stufen im Überblick:

Stufe 1 (Foundational). Gilt für Auftragnehmer, die FCI verarbeiten. Erfordert die Umsetzung von 17 grundlegenden Schutzmaßnahmen gemäß FAR 52.204-21. Wird durch eine jährliche Selbstbewertung überprüft – auf dieser Stufe ist unabhängig vom Ausgang der Phase-2-Überprüfung kein Drittanbieter-Audit erforderlich.

Stufe 2 (Advanced). Gilt für Auftragnehmer, die CUI verarbeiten, speichern oder übertragen. Erfordert die Umsetzung aller 110 Sicherheitskontrollen aus NIST SP 800-171. Die Überprüfungsmethode richtet sich nach der Kritikalität des Programms: Priorisierte Programme mit sicherheitskritischen nationalen Informationen erfordern eine Drittanbieter-Zertifizierung durch eine akkreditierte C3PAO (derzeit im Rahmen der Aussetzung von Juli 2026 pausiert); nicht priorisierte Programme erfordern eine jährliche Selbstbewertung (von der Aussetzung nicht betroffen).

Stufe 3 (Expert). Gilt für die Programme mit höchster Priorität, die mit den sensibelsten CUI-Daten arbeiten. Ergänzt die Basisanforderungen von Stufe 2 um eine Auswahl erweiterter Sicherheitsanforderungen aus NIST SP 800-172. Wird durch eine staatlich geführte Bewertung überprüft. Stufe 3 betrifft eine deutlich kleinere Zahl an Verträgen und war von der Aussetzung der Phase 2 im Juli 2026, die sich gezielt auf die C3PAO-Pflicht für Stufe 2 bezog, nicht unmittelbar betroffen.

Wie CMMC mit NIST SP 800-171 und DFARS zusammenhängt

Wer den Zusammenhang zwischen diesen drei Elementen versteht, versteht auch, warum die Aussetzung von Phase 2 die Pflichten der Auftragnehmer nicht verringert.

DFARS 252.204-7012 ist die seit 2017 geltende Vertragsklausel, die Verteidigungsauftragnehmer, die geschützte Verteidigungsinformationen verarbeiten, zur Umsetzung angemessener Sicherheitsmaßnahmen verpflichtet – definiert als Einhaltung von NIST SP 800-171 – sowie zur zügigen Meldung von Cybervorfällen. Diese Klausel besteht unabhängig von CMMC und wurde durch keine aktuelle Maßnahme ausgesetzt, geändert oder pausiert.

NIST SP 800-171 ist der technische Standard – 110 konkrete Sicherheitskontrollen in 14 Kontrollfamilien –, der definiert, was „angemessene Sicherheit“ im Sinne von DFARS 252.204-7012 bedeutet. Das ist die eigentliche Sicherheitsarbeit, die Auftragnehmer leisten müssen: Zugriffskontrolle, Incident Response, Verschlüsselung, Audit-Protokollierung, Konfigurationsmanagement und mehr. CMMC hat diese Anforderungen nicht geschaffen – sie bestanden bereits mehrere Jahre vor CMMC.

CMMC ist die Verifizierungs- und Zertifizierungsebene, die auf dem Fundament von DFARS/NIST 800-171 aufsetzt. Ihr Ziel ist der Übergang von einem Selbstauskunftsmodell (das sich aus Sicht des DoD angesichts dokumentierter Fälle, in denen Auftragnehmer eine Compliance bestätigten, die sie tatsächlich nicht umgesetzt hatten, als nicht ausreichend zuverlässig erwiesen hatte) zu einem verifizierten Modell – entweder über eine sorgfältige Selbstbewertung mit SPRS-Scoring oder über eine unabhängige Drittanbieter-Bewertung. Die Aussetzung von Juli 2026 betrifft ausschließlich die Drittanbieter-Bewertungskomponente dieser Verifizierungsebene – nicht die zugrunde liegende DFARS-Klausel oder die von ihr geforderten NIST-800-171-Kontrollen.

Deshalb kommen alle rechtlichen und politischen Analysen der Aussetzung zum selben Ergebnis: Der Zeitplan für die Zertifizierung hat sich verschoben, die Sicherheitsanforderungen nicht.

Was der Schutz von CUI in der Praxis konkret erfordert

Die 110 Kontrollen aus NIST SP 800-171 übersetzen sich in konkrete technische und organisatorische Fähigkeiten, die Auftragnehmer umsetzen und nachweisen können müssen – unabhängig davon, ob die Überprüfung per Selbstbewertung oder per Drittanbieter-Zertifizierung erfolgt.

Zugriffskontrolle. Der Zugriff auf CUI muss auf autorisierte Nutzer und Systeme beschränkt sein, mit Authentifizierungsmechanismen, die der Sensibilität der Informationen angemessen sind, sowie protokolliertem und auditierbarem Zugriff.

Verschlüsselung. CUI muss sowohl im Ruhezustand als auch bei der Übertragung durch FIPS-validierte Kryptografie geschützt werden. FIPS 140-3 ist der aktuell geltende Validierungsstandard.

Audit und Nachvollziehbarkeit. Systeme, die CUI verarbeiten, müssen Audit-Datensätze erzeugen, die eine Überwachung, Analyse, Untersuchung und Meldung von Sicherheitsvorfällen ermöglichen – und diese Protokolle müssen vor unbefugtem Zugriff oder Veränderung geschützt sein.

Konfigurationsmanagement. Organisationen müssen für Systeme, die CUI verarbeiten, Basiskonfigurationen festlegen und pflegen sowie Änderungen an diesen Konfigurationen kontrollieren.

Incident Response. Auftragnehmer müssen eine funktionsfähige Incident-Response-Fähigkeit vorhalten und Cybervorfälle, die geschützte Verteidigungsinformationen betreffen, gemäß DFARS 252.204-7012 innerhalb von 72 Stunden melden.

System Security Plan (SSP) und Plan of Action and Milestones (POA&M). Jeder Auftragnehmer, der DFARS 252.204-7012 unterliegt, muss einen aktuellen SSP pflegen, der dokumentiert, wie jede der 110 Kontrollen umgesetzt wird, sowie einen POA&M, der Zeitpläne zur Behebung noch nicht vollständig umgesetzter Kontrollen dokumentiert. Diese Dokumente sind die Grundlage, auf der sowohl das Selbstbewertungs-Scoring als auch die Drittanbieter-Bewertung beruhen – und ihre Genauigkeit ist genau das, was die Civil Cyber-Fraud Initiative des DoJ bei der Verfolgung von False-Claims-Act-Verfahren genau prüft.

Wie Kiteworks die CMMC-Compliance unterstützt

Kiteworks wurde gezielt um die technischen Anforderungen herum entwickelt, die NIST SP 800-171 Organisationen auferlegt, die CUI verarbeiten – unabhängig davon, wie sich die CMMC-Zertifizierungsebene weiterentwickelt.

Bei der Verschlüsselung setzt Kiteworks AES-256-Verschlüsselung sowohl auf Datei- als auch auf Festplattenebene ein, mit FIPS-140-3-Level-1-validierter Verschlüsselung und kundeneigenen Verschlüsselungsschlüsseln. TLS 1.2 bildet die Mindestanforderung für alle Daten während der Übertragung, TLS 1.3 steht optional zur Verfügung. Damit adressiert Kiteworks direkt die Kontrollfamilie System and Communications Protection (SC) aus NIST 800-171.

Bei Zugriffskontrolle und Audit-Protokollierung sorgt eine einheitliche Data Policy Engine für rollen- und attributbasierte Zugriffskontrollen über alle Kanäle hinweg – sichere E-Mail, sichere Dateifreigabe, sicherer Managed File Transfer, SFTP und sichere Web-Formulare. Jedes Zugriffsereignis wird in einem einzigen, unveränderlichen, konsolidierten Audit-Trail protokolliert – das unterstützt direkt die Kontrollfamilie Audit and Accountability (AU) und liefert Auftragnehmern exportierbare, prüfungsbereite Nachweise, unabhängig davon, ob die Überprüfung per Selbstbewertung oder C3PAO-Bewertung erfolgt.

Im Hinblick auf die Übernahme von FedRAMP-Kontrollen: Kiteworks verfügt über eine FedRAMP-Moderate-Autorisierung, unabhängig bewertet durch Coalfire und seit Juni 2017 kontinuierlich überwacht. Da sich FedRAMP Moderate und NIST SP 800-171 in ihren Kontrollen erheblich überschneiden, übernehmen Auftragnehmer, die eine FedRAMP-autorisierte Plattform nutzen, dokumentierte Nachweise für einen wesentlichen Teil ihres CMMC-Kontrollumfangs – und verkürzen so den Prüfungsumfang, unabhängig davon, ob es sich um eine Selbstbewertung oder eine künftige C3PAO-Bewertung handelt. Kiteworks hat zudem für sein Angebot Secure Gov Cloud die FedRAMP-High-In-Process-Autorisierung erreicht und erfüllt damit die strengsten staatlichen Kontrollanforderungen für die sensibelsten nicht klassifizierten Daten – den Standard, den Behörden und ihre Auftragnehmer für ITAR, EAR und die oberen Stufen von CMMC 2.0 benötigen.

Kiteworks deckt bereits werkseitig nahezu 90 % der Anforderungen von CMMC Stufe 2 ab und bietet Auftragnehmern damit eine dokumentierte technische Grundlage, die unabhängig vom Ausgang der aktuellen Programmüberprüfung relevant bleibt – denn die zugrunde liegenden NIST-800-171-Kontrollen, die die Plattform adressiert, stehen nicht zur Debatte.

Um zu erfahren, wie Kiteworks Ihre spezifischen CMMC-Compliance-Anforderungen unterstützt, vereinbaren Sie eine individuelle Demo.

Weiterführende Ressourcen

• Blogbeitrag CMMC-Compliance für kleine Unternehmen: Herausforderungen und Lösungen
• Blogbeitrag CMMC-Compliance-Leitfaden für DIB-Zulieferer
• Blogbeitrag CMMC-Auditanforderungen: Worauf Prüfer bei der Bewertung Ihrer CMMC-Bereitschaft achten
• Leitfaden CMMC-2.0-Compliance-Mapping für sensible Content-Kommunikation
• Blogbeitrag Die wahren Kosten der CMMC-Compliance: Was Verteidigungsauftragnehmer einplanen müssen