CMMC-Selbstbewertung: So bewerten Sie Ihre Compliance-Reife, bevor es ein Assessor tut

Die Selbstbewertung ist eine feste CMMC-Anforderung – verpflichtend auf Level 1 und zulässig für viele Level-2-Verträge, die nicht die kritischsten nationalen Sicherheitsinformationen betreffen. Doch sie ist auch etwas anderes, das für nahezu jeden Verteidigungsauftragnehmer nützlich ist, unabhängig davon, welche Bewertungsart letztlich zur Anwendung kommt: eine ehrliche, strukturierte Methode, um herauszufinden, wo man tatsächlich steht, bevor es jemand anderes tut.

Auch Unternehmen, die eine C3PAO-Zertifizierung anstreben, profitieren von der Selbstbewertung als Vorbereitung – sie deckt Lücken auf, solange noch Zeit bleibt, diese zu schließen, statt erst während eines bereits laufenden Assessments. Dieser Leitfaden zeigt, wie eine präzise Selbstbewertung gelingt, welche typischen Fehler unbemerkt zu einem geschönten Score führen und wie sich der Prozess sowohl als laufende Compliance-Pflicht als auch als Vorbereitung auf ein künftiges Drittanbieter-Assessment nutzen lässt.

Hinweis: Die Anforderungen an die Drittanbieter-Zertifizierung im Rahmen von CMMC Phase 2 wurden im Juli 2026 vom US-Kriegsministerium (Department of War) im Zuge einer Programmüberprüfung ausgesetzt. Die Anforderungen an die Selbstbewertung, einschließlich der jährlichen Bestätigung, bleiben vollständig in Kraft. Weitere Details finden Sie unter CMMC Phase II Is Suspended. Your DFARS Obligations Are Not.

Executive Summary

Kernaussage: Die Selbstbewertung ist der Prozess, bei dem die eigene Umgebung anhand der geforderten CMMC-Kontrollen bewertet und ein Score an das Supplier Performance Risk System (SPRS) gemeldet wird. Sie ist auf Level 1 sowie für viele Level-2-Verträge eine feste Anforderung und stellt zugleich einen nützlichen Reife-Check dar – auch für Unternehmen, die letztlich eine C3PAO-Zertifizierung anstreben. Ihre Genauigkeit hängt jedoch vollständig von der Sorgfalt des dahinterliegenden Prozesses ab.

Warum das wichtig ist: Eine eigene Kiteworks-Umfrage vom August 2026 unter 273 Unternehmen der US-Verteidigungsindustrie (Defense Industrial Base, DIB) deckte eine erhebliche Lücke zwischen Selbstvertrauen und tatsächlichen Nachweisen auf: 96 % der Befragten gaben an, zuversichtlich zu sein, dass ihr selbst attestierter SPRS-Score einer Prüfung standhalten würde. Doch dieselbe Studie zeigte, dass dieses Vertrauen nicht mit dem tatsächlichen Wissen über aktuelle Anforderungen korrelierte – und fast ein Drittel der bereits qualifizierten Unternehmen schnitt sowohl bei der Compliance-Reife als auch bei der Governance-Reaktion schlecht ab. Eine ungenaue Selbstbewertung ist kein reines Formalitätenproblem – sie stellt ein Risiko nach dem False Claims Act dar, um das sich laut Umfrage bereits 84 % der befragten Auftragnehmer sorgen.

Die wichtigsten Erkenntnisse

1. Die Selbstbewertung beschränkt sich nicht auf Level 1 – sie gilt auch für viele Level-2-Verträge. Level 1 wird stets selbst bewertet. Level-2-Verträge, die nicht die kritischsten nationalen Sicherheitsinformationen betreffen, können je nach Programm ebenfalls für die Selbstbewertung infrage kommen, statt eine vollständige C3PAO-Zertifizierung zu erfordern.
2. Die Selbstbewertung ist zudem ein praktischer Reife-Check – unabhängig davon, welche Bewertungsart am Ende für Sie gilt. Unternehmen, die eine C3PAO-Zertifizierung anstreben, führen häufig zunächst eine interne Selbstbewertung durch, um Lücken aufzudecken, solange noch Zeit bleibt, diese zu beheben, bevor ein formales, folgenreicheres Assessment beginnt.
3. Vertrauen in einen selbst ermittelten Score und dessen tatsächliche Genauigkeit sind zwei verschiedene Dinge. Umfragedaten aus der DIB zeigten, dass Auftragnehmer, die sich selbst als „sehr zuversichtlich“ in Bezug auf ihr Verständnis der aktuellen Anforderungen bezeichneten, in einem faktischen Wissenstest nicht besser abschnitten als jene, die sich nur als „einigermaßen zuversichtlich“ einstuften – Vertrauen und Genauigkeit sind eben nicht dasselbe Maß.
4. Der häufigste Bewertungsfehler besteht darin, teilweise oder geplante Umsetzung als vollständige Umsetzung zu werten. Eine Kontrolle, die zwar konfiguriert, aber nicht vollständig ausgerollt ist, oder die lediglich als zukünftiger Plan statt als gelebte Praxis dokumentiert ist, entspricht nicht einer tatsächlich implementierten Kontrolle – wird aber häufig genau so bewertet, was den resultierenden SPRS-Score künstlich aufbläht.
5. Ein ungenauer, selbst attestierter Score bedeutet nicht nur ein Compliance-Risiko, sondern auch eine rechtliche Gefahr. Die Civil Cyber-Fraud Initiative des US-Justizministeriums (DoJ) verfolgt Fälle nach dem False Claims Act gegen Auftragnehmer, die ihre Cybersicherheits-Compliance falsch darstellen – und ein Großteil der befragten Auftragnehmer gibt bereits an, aus genau diesem Grund rechtliche oder Compliance-Prüfungen eingeleitet zu haben.

Wie die Selbstbewertung in der Praxis funktioniert

Bei der Selbstbewertung wird die eigene Umgebung gegen sämtliche für das jeweilige Level erforderlichen Kontrollen geprüft – 17 Praktiken für Level 1, alle 110 NIST-SP-800-171-Kontrollen für Level 2 – und das Ergebnis an das Supplier Performance Risk System (SPRS) gemeldet. Für Level 2 sieht die Standard-Bewertungsmethodik Punktabzüge für jede nicht vollständig umgesetzte Kontrolle vor, sodass ein Score entsteht, der zeigt, wie nah das Unternehmen an einer vollständigen Compliance ist.

Anschließend bestätigt eine leitende Führungskraft des Unternehmens formell die Richtigkeit dieser Bewertung. Diese Bestätigung hat mehr Gewicht, als es auf den ersten Blick scheint: Es handelt sich um eine konkrete, persönliche Erklärung, dass der gemeldete Score der Realität entspricht – und nicht um eine allgemeine Zusicherung des Unternehmens. Genau diese Unterscheidung führt zu persönlicher und unternehmerischer Haftung, falls sich die Bestätigung als unzutreffend erweist.

Scores sind für einen festgelegten Zeitraum gültig, doch dazwischen ist eine jährliche Bestätigung der fortlaufenden Compliance erforderlich – die Selbstbewertung ist also kein einmaliges Ereignis, selbst für Unternehmen, deren laufende Anforderung die Selbstbewertung und nicht die Drittanbieter-Zertifizierung ist.

Die Fehler, die zu einem geschönten Score führen

Die Genauigkeit einer Selbstbewertung hängt von der Sorgfalt ihrer Durchführung ab – und dieselbe Handvoll Fehler taucht immer wieder bei Unternehmen auf, die später feststellen, dass ihr Score einer genaueren Prüfung nicht standhält.

Geplante oder teilweise Umsetzung als vollständig bewerten. Dies ist mit Abstand der häufigste Fehler. Eine Kontrolle, die zwar in einer Testumgebung konfiguriert, aber nicht unternehmensweit ausgerollt wurde, oder die lediglich als kurzfristiger Plan statt als gelebte Praxis dokumentiert ist, gilt nicht als vollständig implementiert – wird aber häufig genau so bewertet, insbesondere unter dem Termindruck, eine gute Zahl vorzuweisen.

Unvollständiges Scoping. Eine präzise Selbstbewertung erfordert die Kenntnis jedes Systems, das mit CUI oder FCI in Berührung kommt – nicht nur der offensichtlichen. E-Mail, Dateifreigaben, Webformulare und von Drittanbietern verwaltete Systeme werden häufig aus dem Bewertungsumfang ausgeklammert, wodurch der Score nur einen Teil der tatsächlichen Unternehmensumgebung widerspiegelt.

Dokumentationslücken mit Umsetzungslücken verwechseln – oder umgekehrt. Eine Kontrolle, die tatsächlich implementiert, aber schlecht dokumentiert ist, stellt ein anderes Problem dar als eine Kontrolle, die überhaupt nicht implementiert wurde – doch Selbstbewertungen vermengen diese beiden Fälle mitunter: Entweder wird eine real existierende Kontrolle unterbewertet, weil die Dokumentation dünn ist, oder eine fehlende Kontrolle überbewertet, weil ein Richtliniendokument lediglich eine Absicht statt einer gelebten Praxis beschreibt.

Vertrauen statt Überprüfung. Umfragedaten aus der DIB zeigten, dass das erklärte Vertrauen von Auftragnehmern in ihren selbst ermittelten Score nicht mit ihrem tatsächlichen, getesteten Wissen über aktuelle Anforderungen korrelierte – Befragte, die sich als „sehr zuversichtlich“ bezeichneten, schnitten in einem Faktentest identisch ab wie jene, die sich nur als „einigermaßen zuversichtlich“ einstuften. Vertrauen ist kein Nachweis, und eine Selbstbewertung, die auf Eindrücken statt auf der direkten Überprüfung jeder einzelnen Kontrolle basiert, ist genau die Art von Lücke, die zum ungünstigsten Zeitpunkt zutage tritt – bei einem Audit, einer Vorfalluntersuchung oder einer Prüfung nach dem False Claims Act.

Selbstbewertung als Vorbereitung auf die C3PAO-Zertifizierung

Selbst wenn am Ende eine Drittanbieter-Zertifizierung erforderlich ist, ist es gängige und wertvolle Praxis, zunächst eine interne Selbstbewertung durchzuführen. Sie deckt dieselben Lücken auf, die auch ein C3PAO finden würde – jedoch zu einem Zeitpunkt, an dem Sie noch die Kontrolle über den Zeitplan haben und Mängel beheben können, bevor das formale Assessment beginnt. Wird eine Lücke erst während des laufenden Assessments entdeckt, kann dies die Zertifizierung verzögern und zusätzliche Gebühren für die Behebung nach sich ziehen.

Die Disziplin, die für eine präzise Selbstbewertung erforderlich ist – ehrliches Scoping, ehrliche Bewertung teilweiser Umsetzung und eine Dokumentation, die der tatsächlichen Praxis entspricht – ist dieselbe Disziplin, die ein C3PAO-Assessment durch Dokumentenprüfung, Interviews und technische Verifizierung direkt testet. Was dieser formale Assessment-Prozess konkret umfasst, erfahren Sie in unserem Leitfaden dazu, was während eines CMMC-Assessments passiert und was nach dem Bestehen folgt.

Kiteworks bietet ein kostenloses CMMC-2.0-Readiness-Assessment an, das in wenigen Minuten eine individuelle Gap-Analyse und einen Compliance-Reifegrad-Score erstellt – ein praktischer Ausgangspunkt sowohl für die laufende Selbstbewertungspflicht als auch für die Vorbereitung auf ein C3PAO-Review.

Warum die Genauigkeit der Selbstbewertung wichtiger ist, als es scheint

Die Kiteworks-Umfrage vom August 2026 unter 273 bestätigten Unternehmen mit Geschäftsbeziehungen zum Department of War (DoW) förderte ein Muster zutage, das ernst genommen werden sollte: 96 % der Befragten gaben an, zuversichtlich zu sein, dass ihr selbst attestierter SPRS-Score einer Prüfung standhalten würde – doch dieses Vertrauen war größtenteils von tatsächlichen Nachweisen abgekoppelt. Die Studie führte zwei Kennzahlen ein – einen CMMC Compliance Maturity Score und einen Suspension Governance Score – und stellte fest, dass bei einer multiplikativen statt rein additiven Verknüpfung (da eine starke Compliance-Bilanz eine passive Governance-Reaktion nicht ausgleichen kann und umgekehrt) fast ein Drittel der bereits qualifizierten Unternehmen in beiden Dimensionen gleichzeitig schlecht abschnitt.

Dieselbe Umfrage ergab, dass 48 % der Auftragnehmer nicht wussten, dass die Selbstbewertungspflichten aus Phase 1 während der aktuellen Aussetzung von Phase 2 weiterhin bestehen – eine grundlegende Wissenslücke mit realen Konsequenzen, da Unternehmen, die fälschlicherweise annehmen, sämtliche CMMC-Pflichten seien ausgesetzt, per Definition die weiterhin vollständig geltenden Anforderungen an Selbstbewertung und Bestätigung nicht erfüllen. Unabhängig davon gaben 84 % der Befragten an, sich Sorgen über ein Risiko nach dem False Claims Act durch einen ungenauen, selbst attestierten Score zu machen, und 92 % berichten, deshalb bereits rechtliche oder Compliance-Prüfungen eingeleitet zu haben. Die vollständigen Ergebnisse finden Sie unter State of CMMC 2.0 Preparedness in the DIB.

Wie Kiteworks eine präzise Selbstbewertung unterstützt

Kiteworks erfüllt bereits von Haus aus nahezu 90 % der CMMC-2.0-Level-2-Anforderungen, und dieselbe Infrastruktur, die die Umsetzung unterstützt, liefert auch die Nachweise, auf die eine präzise Selbstbewertung angewiesen ist. Eine einheitliche Data Policy Engine bündelt Zugriffskontrollen, Verschlüsselung und Audit-Protokollierung über sichere E-Mail, sichere Dateifreigabe, Managed File Transfer und SFTP hinweg – und löst damit das Scoping-Problem direkt, da CUI, das durch einen dieser Kanäle fließt, an einem zentralen Ort sichtbar und kontrolliert ist, statt über getrennte Systeme verstreut zu sein, die leicht aus dem Bewertungsumfang herausfallen.

Ein einziger, konsolidierter und unveränderlicher Audit-Trail liefert einem Unternehmen echte Nachweise für die Bewertung – statt eines bloßen Compliance-Eindrucks auf Basis von Richtliniendokumenten, die die aktuelle Praxis mehr oder weniger genau widerspiegeln. Genau dieser Unterschied – Nachweis versus Vertrauen – fehlt den Umfragedaten zufolge derzeit den meisten Auftragnehmern in der DIB.

Um zu erfahren, wie Kiteworks eine präzise und belastbare Selbstbewertung unterstützt, vereinbaren Sie eine individuelle Demo oder starten Sie mit dem kostenlosen CMMC-2.0-Readiness-Assessment.