CMMC Level 2: Anforderungen im Vergleich zu Level 1 & 3

CMMC Level 2 ist die Zertifizierungsstufe, die für den größten Teil der Auftragnehmer und Subunternehmer in der US-Verteidigungsindustrie (Defense Industrial Base, DIB) relevant ist – und diejenige, die die meisten Organisationen in diesem Bereich wirklich verstehen müssen. Level 2 liegt in der Mitte der dreistufigen CMMC-Struktur: anspruchsvoller als Level 1, aber weniger umfassend als Level 3. Gerade diese mittlere Position macht es unerlässlich, Level 2 im Zusammenhang zu betrachten – und nicht isoliert.

Dieser Leitfaden erklärt, was Level 2 fordert, wodurch er sich vom darunterliegenden Level 1 und vom darüberliegenden Level 3 unterscheidet – und was eine Level-2-Zertifizierung einem Contracting Officer über die Sicherheitslage Ihrer Organisation aussagt und was nicht.

Hinweis: Die Anforderungen zur Drittzertifizierung im Rahmen von CMMC Phase 2 wurden im Juli 2026 vom US Department of War im Zuge einer Programmüberprüfung ausgesetzt. Die Selbstbewertungspflichten für Level 2 bleiben weiterhin bestehen. Ausführliche Informationen finden Sie unter CMMC Phase II ist ausgesetzt. Ihre DFARS-Pflichten sind es nicht.

CMMC-Stufe 2

Zusammenfassung

Kernaussage: CMMC Level 2 verlangt die Umsetzung aller 110 Kontrollen aus NIST SP 800-171 zum Schutz kontrollierter, nicht klassifizierter Informationen (Controlled Unclassified Information, CUI). Der Nachweis erfolgt je nach Kritikalität des Programms durch Selbstbewertung oder durch eine Drittzertifizierung durch ein C3PAO. Das ist ein deutlicher Schritt nach oben gegenüber den 17 grundlegenden Schutzmaßnahmen von Level 1 – umfasst aber noch nicht die erweiterten Kontrollen aus NIST SP 800-172, die Level 3 für die sensibelsten nationalen Sicherheitsprogramme zusätzlich verlangt.

Warum das wichtig ist: Die falsche Stufe zu wählen – oder einfach anzunehmen – gehört zu den häufigsten und teuersten Fehlern von Auftragnehmern. Wer sich unzureichend auf Level 2 vorbereitet, obwohl der Vertrag es verlangt, scheidet aus dem Vergabeverfahren aus. Wer dagegen in Kontrollen auf Level-3-Niveau investiert, obwohl der Vertrag nur Level 2 fordert, verschwendet Budget, das nicht nötig gewesen wäre. Nur wer genau weiß, was Level 2 abdeckt – und was nicht –, kann seine Compliance-Investitionen richtig kalibrieren.

Die wichtigsten Erkenntnisse

Level 2 definiert sich über die Art der Daten, mit denen Sie umgehen: Controlled Unclassified Information (CUI). Wenn Ihre Organisation ausschließlich Federal Contract Information (FCI) verarbeitet, benötigen Sie Level 1, nicht Level 2. Level 2 gilt speziell für Auftragnehmer und Subunternehmer, die im Rahmen eines DoD-Vertrags CUI verarbeiten, speichern oder übertragen.
Level 2 verlangt alle 110 Kontrollen aus NIST SP 800-171 – Level 1 nur 17. Das ist der größte einzelne Sprung im gesamten CMMC-Rahmenwerk. Die grundlegenden Schutzmaßnahmen von Level 1 decken die Basis-Hygiene ab; Level 2 verlangt eine umfassende Umsetzung über alle 14 Kontrolldomänen von NIST SP 800-171 hinweg – ein wesentlich größeres und anspruchsvolleres Vorhaben.
Die Art der Bewertung für Level 2 hängt von der Kritikalität des Programms ab – nicht jeder Level-2-Vertrag verlangt dieselbe Prüfform. Programme mit Informationen, die für die nationale Sicherheit von zentraler Bedeutung sind, erfordern eine Drittzertifizierung durch ein akkreditiertes C3PAO. Ein Teil der Level-2-Programme, die diese Schwelle nicht erreichen, kann stattdessen für eine jährliche Selbstbewertung mit Bestätigung durch die Unternehmensführung infrage kommen – ein praktisch bedeutsamer Unterschied für Auftragnehmer, die Zeitplan und Kosten ihrer Compliance abschätzen wollen.
Level 2 zertifiziert die Umsetzung von NIST SP 800-171 – die erweiterten Kontrollen von Level 3 sind darin nicht enthalten. Level 3, reserviert für Programme mit höchster Priorität, ergänzt die vollständige Level-2-Basis um zusätzliche Kontrollen aus NIST SP 800-172. Eine Level-2-Zertifizierung ist kein Nachweis der Reife für Level-3-Programme, und Auftragnehmer, die sich um die sensibelsten nationalen Sicherheitsaufträge bewerben, sollten nicht davon ausgehen, dass Level 2 ausreicht.
Level 2 eröffnet Vertragsmöglichkeiten, die Level 1 allein nicht bietet. Jeder DoD-Vertrag, der CUI betrifft, erfordert Level 2 – unabhängig davon, wie gut ein Auftragnehmer die grundlegenden Schutzmaßnahmen von Level 1 umgesetzt hat. Organisationen, die nur Level 1 anstreben, sind strukturell von der Mehrheit der substanziellen DoD-Vertragsmöglichkeiten ausgeschlossen, da die meisten Verteidigungsaufträge irgendwann im Vertragsverlauf CUI betreffen.

Wie die drei CMMC-Stufen zusammenhängen

Die drei Stufen von CMMC 2.0 bilden eine Hierarchie, die sich direkt an der Sensibilität der Daten orientiert, mit denen ein Auftragnehmer umgeht – nicht an der Unternehmensgröße, dem Umsatz oder anderen Geschäftsmerkmalen. Zu verstehen, wo Level 2 in dieser Hierarchie steht, ist der schnellste Weg herauszufinden, ob er tatsächlich das richtige Ziel für Ihre Organisation ist.

Level 1 (Foundational) gilt für Auftragnehmer, die ausschließlich Federal Contract Information verarbeiten – Informationen, die im Rahmen eines Vertrags von der Regierung bereitgestellt oder für sie erzeugt werden, nicht für die Öffentlichkeit bestimmt sind, aber nicht die Sensibilität von CUI erreichen. Level 1 verlangt 17 grundlegende Schutzmaßnahmen aus FAR 52.204-21, nachgewiesen durch eine jährliche Selbstbewertung. Eine Drittzertifizierung ist auf Level 1 unter keinen Umständen erforderlich.

Level 2 (Advanced) gilt für Auftragnehmer, die CUI verarbeiten – eine breitere und sensiblere Kategorie, die technische Zeichnungen, exportkontrollierte Daten und andere Informationen umfasst, die aufgrund von Gesetzen, Vorschriften oder behördenweiten Richtlinien geschützt werden müssen. Level 2 verlangt alle 110 Sicherheitskontrollen aus NIST SP 800-171, nachgewiesen je nach Kritikalität des jeweiligen Programms durch Selbstbewertung oder Drittzertifizierung durch ein C3PAO.

Level 3 (Expert) gilt für die Programme mit höchster Priorität, die die sensibelsten CUI verarbeiten – in der Regel jene, die für hochentwickelte, staatlich unterstützte Angreifer besonders attraktiv sind. Level 3 verlangt die vollständige Level-2-Basis plus eine Teilmenge erweiterter Sicherheitsanforderungen aus NIST SP 800-172, nachgewiesen durch eine von der Regierung geführte Bewertung statt durch ein C3PAO.

Die praktische Konsequenz: Jede Stufe baut auf der vorherigen auf. Level 2 ersetzt nicht die Anforderungen von Level 1 – er umfasst sie und ergänzt sie erheblich. Level 3 ersetzt nicht Level 2 – er baut darauf auf. Eine auf Level 2 zertifizierte Organisation hat damit faktisch bereits die Anforderungen von Level 1 erfüllt, da diese eine Teilmenge des umfassenderen Level-2-Kontrollsatzes bilden.

Was Level 2 verlangt, das Level 1 nicht kennt

Der Sprung von Level 1 zu Level 2 ist erheblich – kein schrittweiser Zuwachs, sondern eine deutliche Erweiterung sowohl im Umfang als auch in der Strenge.

Die 17 Praktiken von Level 1 decken grundlegende Cyberhygiene ab: Identifizierung und Authentifizierung von Nutzern, Einschränkung des physischen Zugangs, Kontrolle öffentlich veröffentlichter Informationen. Das ist eine sinnvolle, aber niedrige Grundlage – konzipiert für die am wenigsten sensible Kategorie regierungsbezogener Informationen.

Die 110 Kontrollen von Level 2 erstrecken sich über alle 14 Domänen von NIST SP 800-171: Zugriffskontrolle, Audit und Verantwortlichkeit, Sensibilisierung und Schulung, Konfigurationsmanagement, Identifizierung und Authentifizierung, Reaktion auf Vorfälle, Wartung, Medienschutz, Personalsicherheit, physischer Schutz, Risikobewertung, Sicherheitsbewertung, System- und Kommunikationsschutz sowie System- und Informationsintegrität. Dazu gehören Anforderungen, die Level 1 überhaupt nicht berührt – Audit-Protokollierung, die ausreicht, um individuelle Nutzeraktionen nachzuverfolgen, Verschlüsselung von CUI im Ruhezustand und bei der Übertragung mit FIPS-validierter Kryptografie, eine formale Incident-Response-Fähigkeit mit verbindlichen Meldefristen sowie eine dokumentierte, laufend durchgeführte Risikobewertung.

Auch der Prüfaufwand ändert sich erheblich. Level 1 wird immer selbst bewertet. Level 2 kann, je nach Kritikalität des Programms, eine strenge Drittbewertung durch ein akkreditiertes C3PAO erfordern – mit Prüfung von Dokumentation, Interviews sowie einer Vor-Ort- oder virtuellen Inspektion der Systeme. Das ist ein deutlich anspruchsvollerer und kostspieligerer Prozess, als ihn die Selbstbewertung von Level 1 je verlangt.

Was Level 2 nicht abdeckt, das Level 3 verlangt

Ebenso wichtig wie die Anforderungen von Level 2 sind seine Grenzen – vor allem für Auftragnehmer, die annehmen könnten, eine Level-2-Zertifizierung signalisiere Bereitschaft für jede Art von DoD-Auftrag, einschließlich der sensibelsten nationalen Sicherheitsprogramme.

Level 3 ergänzt erweiterte Sicherheitsanforderungen aus NIST SP 800-172, die speziell auf fortgeschrittene, dauerhafte Bedrohungen (Advanced Persistent Threats) zugeschnitten sind – hochentwickelte, oft staatlich unterstützte Angreifer mit den Ressourcen und der Geduld, über längere Zeiträume gezielt die wertvollsten Verteidigungsinformationen anzugreifen. Diese erweiterten Anforderungen gehen über die Basis von NIST SP 800-171 hinaus, etwa bei fortgeschrittenen Fähigkeiten zur Bedrohungssuche (Threat Hunting), einem strengeren Risikomanagement in der Lieferkette und verstärktem Schutz vor Insider-Bedrohungen.

Level 3 ändert auch, wer die Bewertung durchführt. Statt eines C3PAO erfolgt die Verifizierung auf Level 3 durch die Regierung selbst – ein Ausdruck der besonders hohen Sensibilität der Programme, die diese Stufe schützt. Eine Level-2-Zertifizierung, so gründlich sie auch erworben wurde, ist kein Nachweis der Bereitschaft für diese Stufe, und Auftragnehmer sollten eine Level-2-Zertifizierung nicht als ausreichend für ein Programm darstellen, das ausdrücklich Level 3 verlangt.

In der Praxis verlangt nur ein kleiner Teil der DIB-Verträge Level 3 – jene mit den sensibelsten, hochwertigsten Informationen zur nationalen Sicherheit. Die meisten Auftragnehmer, die mit CUI arbeiten, werden feststellen, dass Level 2 für ihre Arbeit sowohl notwendig als auch ausreichend ist.

Welche Stufe für Ihre Organisation gilt

Welche Stufe für einen bestimmten Vertrag erforderlich ist, richtet sich nach der Art der betroffenen Daten und wird in der Regel im Vertrag oder in der Ausschreibung selbst festgelegt – nicht dem eigenen Ermessen des Auftragnehmers überlassen. Prüfen Sie die Weitergabeanforderungen (Flow-down) Ihres Hauptauftragnehmers oder den Wortlaut Ihres direkten Vertrags, um die konkret geforderte Stufe zu ermitteln.

Für ein Level-2-Programm im Speziellen sollten Sie klären, ob Ihr Vertrag in die Kategorie fällt, die eine Selbstbewertung erlaubt, oder eine vollständige Drittzertifizierung durch ein C3PAO verlangt – dieser Unterschied wirkt sich erheblich auf Zeitplan und Kosten Ihrer Compliance aus und ist ohne genaue Prüfung der jeweiligen Programmanforderungen nicht immer offensichtlich. Den detaillierten Ablauf zur Vorbereitung und Durchführung einer Level-2-Bewertung finden Sie in unserem CMMC-Level-2-Bewertungsleitfaden. Für die gesamte Abfolge von der ersten Lückenanalyse bis zur Zertifizierung siehe unsere CMMC-2.0-Roadmap, und für eine praxisnahe, nach Domänen gegliederte Checkliste der von Level 2 geforderten Kontrollen siehe unsere CMMC-2.0-Compliance-Checkliste.

Wie Kiteworks die CMMC-Level-2-Compliance unterstützt

Kiteworks deckt bereits ab Werk nahezu 90 % der CMMC-2.0-Level-2-Anforderungen ab und bündelt die Kanäle, über die CUI fließt – sicherer E-Mail-Versand, sicheres File-Sharing, Managed File Transfer, SFTP, sichere Datenformulare und APIs – auf einer einzigen, governance-fähigen Plattform mit einer einheitlichen Data Policy Engine.

AES-256-Verschlüsselung auf Datei- und Festplattenebene, mit FIPS-140-3-validierten Kryptografiemodulen und kundeneigenen Verschlüsselungsschlüsseln, adressiert direkt die Anforderungen von Level 2 an System- und Kommunikationsschutz. Ein einziges, konsolidiertes, unveränderliches Audit-Protokoll über alle Kanäle hinweg liefert die Nachweisgrundlage für die Audit- und Verantwortlichkeitsanforderungen von Level 2 – und stellt sowohl für die Selbstbewertungsdokumentation als auch für C3PAO-Prüfer einen einheitlichen Datensatz bereit statt verstreuter Fragmente aus getrennten Systemen. Kiteworks verfügt zudem über die FedRAMP-Moderate-Autorisierung, seit Juni 2017 unabhängig geprüft, und bietet damit eine dokumentierte Kontrollvererbung, die den Prüfumfang speziell für die Level-2-Zertifizierung verringert.

Um zu sehen, wie Kiteworks den Weg Ihrer Organisation zur CMMC-Level-2-Zertifizierung unterstützt, vereinbaren Sie eine individuelle Demo.

Häufig gestellte Fragen

Level 1 gilt für Auftragnehmer, die ausschließlich Federal Contract Information verarbeiten, und verlangt 17 grundlegende Schutzmaßnahmen, nachgewiesen durch eine jährliche Selbstbewertung. Level 2 gilt für Auftragnehmer, die Controlled Unclassified Information (CUI) verarbeiten, und verlangt alle 110 Sicherheitskontrollen aus NIST SP 800-171, nachgewiesen je nach Kritikalität des Programms durch Selbstbewertung oder Drittzertifizierung durch ein C3PAO. Der Sprung von Level 1 zu Level 2 ist sowohl im Umfang als auch in der Strenge erheblich – Level 2 deckt alle 14 Kontrolldomänen von NIST SP 800-171 ab, einschließlich Audit-Protokollierung, Verschlüsselung und formaler Incident-Response-Fähigkeit, die Level 1 überhaupt nicht verlangt.

Level 2 verlangt alle 110 Kontrollen aus NIST SP 800-171 und wird durch Selbstbewertung oder C3PAO-Zertifizierung nachgewiesen. Level 3 verlangt die vollständige Level-2-Basis plus erweiterte Sicherheitsanforderungen aus NIST SP 800-172, konzipiert zur Abwehr fortgeschrittener, dauerhafter Bedrohungen (Advanced Persistent Threats) gegen die sensibelsten nationalen Sicherheitsprogramme. Die Bewertung auf Level 3 erfolgt durch die Regierung selbst, nicht durch ein C3PAO. Eine Level-2-Zertifizierung ist kein Nachweis der Bereitschaft für Level-3-Anforderungen – beide Stufen sind nicht austauschbar, und nur ein kleiner Teil der sensibelsten DIB-Verträge verlangt Level 3.

Nein. Welche Art der Bewertung für Level 2 erforderlich ist, hängt von der Kritikalität des jeweiligen Programms ab. Programme mit Informationen, die für die nationale Sicherheit von zentraler Bedeutung sind, erfordern in der Regel eine vollständige Drittbewertung durch ein akkreditiertes C3PAO. Ein Teil der Level-2-Programme, die diese Schwelle nicht erreichen, kann stattdessen eine jährliche Selbstbewertung in Kombination mit einer Compliance-Bestätigung durch die Unternehmensführung zulassen. Auftragnehmer sollten klären, welche Art der Bewertung ihr konkreter Vertrag verlangt, statt standardmäßig von einem der beiden Wege auszugehen.

CMMC Level 2 verlangt die Umsetzung aller 110 Sicherheitskontrollen aus NIST SP 800-171, verteilt auf 14 Kontrolldomänen, darunter Zugriffskontrolle, Audit und Verantwortlichkeit, Konfigurationsmanagement, Reaktion auf Vorfälle sowie System- und Kommunikationsschutz. Diese Kontrollen sind nicht spezifisch für CMMC – sie stammen direkt aus dem bereits bestehenden Standard NIST SP 800-171, dessen Umsetzung DFARS 252.204-7012 von Verteidigungsauftragnehmern, die CUI verarbeiten, bereits seit 2017 verlangt. Der Beitrag von CMMC besteht in einem formalen Nachweismechanismus, der diese Umsetzung bestätigt – nicht darin, neue technische Anforderungen zu schaffen.

Ja, in erheblichem Maße. Die CMMC-Stufen bauen aufeinander auf – die 110 Kontrollen von Level 2 umfassen die grundlegende Hygiene, die die 17 Praktiken von Level 1 etablieren, und ergänzen sie erheblich. Eine Organisation mit einem ausgereiften Level-1-Programm hat bereits einen Teil der Zugriffskontroll- und Sicherheitsbewusstseinsgrundlage geschaffen, auf der Level 2 aufbaut – eine Level-1-Zertifizierung allein reicht jedoch für keinen Vertrag aus, der CUI betrifft. Organisationen, die von Level 1 zu Level 2 wechseln, sollten mit einem erheblichen zusätzlichen Compliance-Aufwand rechnen, nicht mit einem schrittweisen – insbesondere bei Verschlüsselung, Audit-Protokollierung, Incident Response und den weiteren Bereichen, die Level 1 überhaupt nicht abdeckt.

Weiterführende Ressourcen

Zurück zum Risk & Compliance Glossar