CMMC-Stufen im Überblick: Basis, Fortgeschritten, Experte

Ein schneller Überblick über die drei Zertifizierungsstufen von CMMC 2.0 – welche Daten sie jeweils abdecken, wie viele Controls erforderlich sind, wie die Bewertung erfolgt und wer sie benötigt. Eine ausführliche Erklärung, wie die Stufen zusammenhängen und was der Sprung zwischen ihnen konkret bedeutet, finden Sie in unserem CMMC-Level-2-Leitfaden.

Hinweis: Die Anforderungen zur Drittzertifizierung im Rahmen von CMMC Phase 2 wurden im Juli 2026 vom Department of War bis zum Abschluss einer Programmüberprüfung ausgesetzt. Die Selbstbewertung nach Level 1 sowie die Selbstbewertung nach Level 2 (sofern zutreffend) bleiben weiterhin verbindlich. Weitere Details finden Sie unter CMMC Phase II wurde ausgesetzt. Ihre DFARS-Pflichten nicht.

Verständnis der CMMC 2.0-Stufen

Die drei Stufen im Überblick

	Level 1 – Basis	Level 2 – Fortgeschritten	Level 3 – Experte
Geschützte Daten	Federal Contract Information (FCI)	Controlled Unclassified Information (CUI)	CUI in Programmen mit höchster Priorität
Anzahl der Controls	17 grundlegende Schutzmaßnahmen	110 Controls (NIST SP 800-171)	134 Controls (110 aus NIST SP 800-171 + 24 aus NIST SP 800-172)
Was ist neu auf dieser Stufe	Grundlegende Cyberhygiene: Benutzeridentifikation, Beschränkung des physischen Zugangs, Kontrolle öffentlich zugänglicher Informationen – noch keine Anforderungen an Verschlüsselung, Audit-Protokollierung oder Incident Response	Alles aus Level 1, zusätzlich FIPS-validierte Verschlüsselung, benutzerbezogene Audit-Protokollierung, formaler Incident-Response-Prozess, dokumentierte Risikobewertung sowie 10 weitere Kontrollbereiche, die Level 1 überhaupt nicht abdeckt	Alles aus Level 2, zusätzlich erweiterte Anforderungen zum Schutz vor Advanced Persistent Threats: tiefgreifenderes Supply-Chain-Risikomanagement, fortschrittliche Threat-Hunting-Fähigkeiten und verstärkter Schutz vor Insider-Bedrohungen
Voraussetzung für diese Stufe	Keine – dies ist der Einstiegspunkt	Keine formale Voraussetzung, Organisationen, die Level 1 bereits erfüllen, haben jedoch einen Vorsprung, da Level 2 die Level-1-Maßnahmen einschließt	Keine formale Voraussetzung, Level 3 setzt jedoch voraus, dass Level 2 bereits vollständig implementiert ist und funktioniert – es ist kein Einstiegspunkt für Organisationen, die neu bei CMMC sind
Art der Bewertung	Jährliche Selbstbewertung	Selbstbewertung oder C3PAO-Drittzertifizierung, abhängig von der Kritikalität des Programms	Alle drei Jahre stattfindende, staatlich durchgeführte Bewertung (DIBCAC)
POA&Ms zulässig?	Nein	Ja, für eine begrenzte Auswahl an Controls mit festgelegtem Zeitrahmen	Ja, im gleichen begrenzten Rahmen wie bei Level 2
Wer sie in der Regel benötigt	Auftragnehmer, die ausschließlich FCI und keine CUI verarbeiten	Auftragnehmer und Subunternehmer, die CUI verarbeiten – der größte Teil der DIB	Auftragnehmer in den sensibelsten nationalen Sicherheitsprogrammen, die Advanced Persistent Threats ausgesetzt sind
Mehr erfahren	CMMC-Level-1-Leitfaden	CMMC-Level-2-Leitfaden	CMMC-Level-3-Leitfaden

So nutzen Sie diese Tabelle

Finden Sie Ihre Zeile anhand der Art der Daten, die Ihre Organisation verarbeitet – das ist das entscheidende Kriterium, nicht die Unternehmensgröße oder der Umsatz. Wenn Sie ausschließlich FCI verarbeiten, betrifft Sie Level 1. Wenn Sie CUI verarbeiten, befinden Sie sich auf Level 2, und Ihr jeweiliger Vertrag legt fest, ob eine Selbstbewertung oder eine C3PAO-Zertifizierung erforderlich ist. Level 3 gilt nur für einen kleinen Teil der DIB, der an den sensibelsten nationalen Sicherheitsprogrammen arbeitet, und wird direkt im entsprechenden Vertrag festgelegt – es ist keine Stufe, die eine Organisation eigenständig anstreben kann.

Die Stufen bauen aufeinander auf: Level 2 umfasst die Anforderungen von Level 1 und ergänzt sie um deutlich mehr; Level 3 umfasst die vollständige Basis von Level 2 und fügt zusätzlich erweiterte Controls hinzu. Eine Organisation, die auf einer höheren Stufe zertifiziert ist, hat damit faktisch bereits die darunterliegenden Stufen erfüllt.

So ermitteln Sie, welche Stufe Ihre Organisation tatsächlich benötigt

Die meisten Organisationen können ihre CMMC-Stufe nicht frei wählen – sie ergibt sich aus den verarbeiteten Daten und wird im jeweiligen Vertrag festgelegt. Um genau herauszufinden, was das für Ihre Organisation bedeutet, sind jedoch einige konkrete Schritte nötig.

Wichtige Schritte zur Bestimmung Ihrer CMMC-Stufe

Beginnen Sie mit dem Vertragstext, nicht mit eigenen Annahmen.
Die Ausschreibung oder der Vertrag gibt in der Regel die erforderliche CMMC-Stufe direkt vor oder verweist auf die Art der betroffenen Informationen in einer Weise, die sich einer Stufe zuordnen lässt (FCI vs. CUI). Wenn Sie Subunternehmer sind, prüfen Sie die Flow-down-Anforderungen Ihres Hauptauftragnehmers – die für Sie geltende Stufe richtet sich danach, welche Daten konkret bei Ihnen verarbeitet werden, und kann sich von der Stufe des Hauptauftragnehmers unterscheiden.
Erfassen Sie genau, welche Daten tatsächlich durch Ihre Organisation fließen – nicht, was Sie vermuten.
Hier unterschätzen oder überschätzen Organisationen ihre eigene Stufe am häufigsten. Ein Unternehmen, das davon ausgeht, ausschließlich FCI zu verarbeiten, stellt bei genauerer Betrachtung möglicherweise fest, dass technische Zeichnungen, exportkontrollierte Spezifikationen oder andere CUI über E-Mail, Dateifreigaben oder eine Subunternehmerbeziehung fließen, ohne dass diese formal als solche klassifiziert wurden. Da bereits geringste Mengen an CUI Level 2 auslösen, ist eine Bestandsaufnahme der tatsächlichen Datenflüsse – und nicht ein allgemeiner Eindruck von „der Art unserer Arbeit“ – die einzig verlässliche Methode, um die eigene Stufe zu bestimmen.
Klären Sie bei Level 2, ob Ihr konkretes Programm eine Selbstbewertung oder eine Drittzertifizierung erfordert.
Nicht alle Level-2-Verträge sind mit demselben Bewertungsaufwand verbunden. Programme mit den kritischsten nationalen Sicherheitsinformationen erfordern eine C3PAO-Zertifizierung, andere lassen eine Selbstbewertung zu. Dieser Unterschied wirkt sich erheblich auf Zeitplan und Kosten Ihrer Compliance aus. Es lohnt sich daher, dies gezielt zu klären, statt automatisch von der aufwendigeren Variante auszugehen – oder ebenso riskant: ungeprüft von der leichteren Variante.
Investieren Sie nicht zu viel in nicht benötigte Level-3-Controls – und nicht zu wenig in erforderliche Level-2-Controls.
Level 3 ist einer kleinen Gruppe der sensibelsten Programme vorbehalten und wird explizit vorgegeben, wenn er zutrifft – eine Organisation benötigt Level 3 nie unabsichtlich, ohne dass ein Vertrag dies vorschreibt. Der häufigere und teurere Fehler liegt in die andere Richtung: Organisationen gehen davon aus, dass Level 1 ausreicht, weil sie ihre Arbeit nicht als „sensibel“ einstufen – obwohl in Wirklichkeit bereits CUI durch ihre Systeme läuft und Level 2 die tatsächliche Anforderung ist.
Fragen Sie bei echter Unsicherheit direkt beim Contracting Officer oder Ihrem Hauptauftragnehmer nach.
Die erforderliche Stufe ist eine Tatsache, die sich aus dem Vertrag ergibt, keine Auslegungsfrage – und ein Irrtum in beide Richtungen kann teuer werden, sei es durch ein unzureichend vorbereitetes Angebot, das disqualifiziert wird, oder durch ein überdimensioniertes Compliance-Programm, das Budget für nicht zutreffende Anforderungen verschwendet.

Aktueller Programmstatus

Die Selbstbewertung nach Level 1 sowie die Selbstbewertung nach Level 2 (für Verträge ohne Pflicht zur Drittzertifizierung) bleiben vollständig in Kraft. Die C3PAO-Zertifizierungspflicht nach Level 2 für die kritischsten Programme – ursprünglich geplant zur Ausweitung im Rahmen von Phase 2 ab November 2026 – ist derzeit ausgesetzt, bis die Reform Task Force des Department of War ihre Prüfung abgeschlossen hat; ein entsprechender Bericht wird für Mitte September 2026 erwartet. Eine eigene Kiteworks-Umfrage unter 273 DIB-Organisationen ergab, dass die Aussetzung die Compliance-Aktivitäten insgesamt nicht verlangsamt hat – 98 % der Befragten haben mindestens eine konkrete Maßnahme ergriffen. Die vollständigen Ergebnisse finden Sie unter State of CMMC 2.0 Preparedness in the DIB.

Wie Kiteworks jede CMMC-Stufe unterstützt

Kiteworks erfüllt bereits von Haus aus nahezu 90 % der Anforderungen von CMMC 2.0 Level 2 – mit einer einheitlichen Data Policy Engine, AES-256-Verschlüsselung auf Basis FIPS-140-3-validierter kryptografischer Module sowie einem einzigen, konsolidierten und unveränderlichen Audit-Trail für sichere E-Mail, sicheres File-Sharing, Managed File Transfer und SFTP – dieselbe Grundlage, die auch die grundlegenden Schutzanforderungen von Level 1 abdeckt und zum erweiterten Control-Set von Level 3 beiträgt. Zudem verfügt Kiteworks über die FedRAMP-Moderate-Autorisierung, die seit Juni 2017 unabhängig geprüft wird.

Um zu erfahren, wie Kiteworks die für Ihre Organisation relevante CMMC-Stufe konkret unterstützt, vereinbaren Sie eine individuelle Demo.

Häufig gestellte Fragen

Die erforderliche Stufe hängt von der Art der Daten ab, die Ihre Organisation verarbeitet, und wird in der Regel direkt im Vertrag oder in den Flow-down-Anforderungen Ihres Hauptauftragnehmers festgelegt. Organisationen, die ausschließlich Federal Contract Information verarbeiten, benötigen Level 1. Organisationen, die Controlled Unclassified Information verarbeiten, benötigen Level 2. Level 3 gilt nur für einen kleinen Teil der sensibelsten nationalen Sicherheitsprogramme und wird im jeweiligen Vertrag festgelegt – nicht eigenständig gewählt.

Die Annahme, dass Level 1 ausreicht, ohne tatsächlich zu erfassen, welche Daten durch die Organisation fließen. Ein Unternehmen geht möglicherweise davon aus, ausschließlich Federal Contract Information zu verarbeiten, während in Wirklichkeit CUI – etwa technische Zeichnungen, exportkontrollierte Spezifikationen oder andere sensible Daten – über E-Mail, Dateifreigaben oder eine Subunternehmerbeziehung fließt, ohne formal als solche identifiziert worden zu sein. Da bereits geringste Mengen an CUI Level 2 auslösen, ist eine echte Bestandsaufnahme der Datenflüsse die einzig verlässliche Methode zur Bestimmung der Stufe – nicht ein allgemeiner Eindruck von der Art der geleisteten Arbeit. Der umgekehrte Fehler – zu hohe Investitionen in nicht benötigte Level-3-Controls – kommt seltener vor, da Level 3 stets explizit im Vertrag festgelegt wird und keine Stufe ist, die eine Organisation versehentlich für sich annehmen könnte.

Level 1 umfasst 17 grundlegende Schutzmaßnahmen. Level 2 umfasst 110 Controls aus NIST SP 800-171. Level 3 umfasst 134 Controls – die vollständigen 110 aus Level 2 sowie 24 zusätzliche erweiterte Controls aus NIST SP 800-172. Da die Stufen aufeinander aufbauen, hat eine Organisation auf Level 3 faktisch bereits Level 1 und Level 2 als Teilmenge ihres umfassenderen Control-Sets erfüllt.

Der Wechsel von Level 1 zu Level 2 bedeutet, ganze Anforderungskategorien hinzuzufügen, die Level 1 überhaupt nicht abdeckt – FIPS-validierte Verschlüsselung, benutzerbezogene Audit-Protokollierung, einen formalen Incident-Response-Prozess, eine dokumentierte fortlaufende Risikobewertung sowie 10 weitere NIST-SP-800-171-Kontrollbereiche, die über die 17 Maßnahmen von Level 1 hinausgehen. Es handelt sich um einen erheblichen Sprung in Umfang und Strenge, nicht um eine kleine Ergänzung. Der Wechsel von Level 2 zu Level 3 bedeutet, einen weiteren, enger gefassten Satz erweiterter Anforderungen aus NIST SP 800-172 hinzuzufügen, die gezielt auf die Abwehr von Advanced Persistent Threats ausgerichtet sind – tiefgreifenderes Supply-Chain-Risikomanagement, fortschrittliche Threat-Hunting-Fähigkeiten und verstärkter Schutz vor Insider-Bedrohungen –, aufbauend auf einer vollständigen und bereits funktionierenden Level-2-Implementierung.

Level 1 wird stets durch eine jährliche Selbstbewertung nachgewiesen – eine Drittzertifizierung ist auf dieser Stufe nicht erforderlich. Bei Level 2 hängt es von der Kritikalität des Programms ab: Verträge mit den kritischsten nationalen Sicherheitsinformationen erfordern eine C3PAO-Drittzertifizierung, während bei anderen Level-2-Verträgen eine Selbstbewertung zulässig sein kann. Level 3 erfordert eine alle drei Jahre stattfindende, staatlich durchgeführte Bewertung durch das Defense Industrial Base Cybersecurity Assessment Center (DIBCAC) – nicht durch ein C3PAO.

Nein. Level 1 lässt keine POA&Ms zu – alle 17 Maßnahmen müssen vor der Zertifizierung vollständig umgesetzt sein. Level 2 und Level 3 erlauben jeweils einen POA&M für eine begrenzte Auswahl an Controls mit einem festgelegten Zeitrahmen zur Behebung, sodass Organisationen einen dokumentierten Weg haben, um konkrete Lücken zu schließen, ohne am ersten Tag bereits eine vollständige Umsetzung vorweisen zu müssen.

Zurück zum Risiko- & Compliance-Glossar