CMMC 1.0 vs. CMMC 2.0: Die fünf Änderungen, die wirklich zählen

CMMC 2.0 war kein kleines Update von CMMC 1.0 – es war eine bewusste Vereinfachung, die als direkte Reaktion auf das Feedback der Branche entstand: Das ursprüngliche Framework war für die kleinen und mittelständischen Unternehmen, die den Großteil der Defense Industrial Base (DIB) ausmachen, schlicht zu teuer und zu komplex. Genau zu verstehen, was sich geändert hat und warum, ist sowohl für Auftragnehmer nützlich, die ihr Compliance-Programm auf Basis der ursprünglichen 1.0-Struktur aufgebaut haben, als auch für alle, die mit CMMC-Verweisen ohne Versionsangabe konfrontiert sind.

Zusammenfassung

Kernaussage: CMMC 2.0 reduzierte fünf Zertifizierungsstufen auf drei, richtete jede Stufe direkt an bestehenden NIST-Standards aus – anstatt an einem CMMC-spezifischen Kontrollkatalog – und öffnete die Selbstbewertung als Option für Level 1 sowie (bei bestimmten Verträgen) für Level 2. Damit wurde die in 1.0 universell geltende Pflicht zur externen Bewertung durch Dritte aufgehoben.

Warum das wichtig ist: Wer sich auf Dokumentationen, Marketingmaterial eines Anbieters oder das Verständnis eines Kollegen von „CMMC“ verlässt, ohne dass eine Version genannt wird, arbeitet möglicherweise noch mit den Annahmen von CMMC 1.0 – die heute nicht mehr gelten. Die Kenntnis der fünf konkreten Änderungen verhindert solche Missverständnisse und macht klar, was Ihr Unternehmen tatsächlich heute umsetzen muss.

Die wichtigsten Erkenntnisse

1. CMMC 2.0 reduzierte fünf Zertifizierungsstufen auf drei. Die ursprünglichen Stufen 1 bis 5 wurden zu Level 1 (Foundational), Level 2 (Advanced) und Level 3 (Expert) zusammengefasst – zwei Detailstufen entfielen, da laut Feedback der DIB zusätzliche Komplexität entstand, ohne einen nennenswerten Sicherheitsgewinn zu bringen.
2. CMMC 2.0 verknüpfte jede Stufe direkt mit bestehenden NIST-Standards statt mit einem separaten, CMMC-eigenen Kontrollkatalog. Level 2 entspricht nun direkt den 110 Controls aus NIST SP 800-171, Level 3 baut auf NIST SP 800-172 auf – anstelle der unabhängigen, ausschließlich für CMMC 1.0 geltenden Kontrollstruktur gilt nun eine Ausrichtung an Standards, die viele Auftragnehmer bereits im Rahmen von DFARS 252.204-7012 umgesetzt hatten.
3. CMMC 2.0 öffnete die Selbstbewertung als Option wieder und hob damit die in 1.0 geltende generelle Pflicht zur Bewertung durch Dritte auf. Unter 1.0 erforderte jede Zertifizierungsstufe eine externe Bewertung. Unter 2.0 wird Level 1 stets selbst bewertet, und selbst Level 2 erlaubt eine Selbstbewertung bei Verträgen, die keine besonders kritischen nationalen Sicherheitsinformationen betreffen – eine erhebliche Kosten- und Zeitersparnis für den Großteil der DIB.
4. CMMC 2.0 führte begrenzte, zeitlich befristete POA&Ms (Plans of Action and Milestones) ein – etwas, das 1.0 überhaupt nicht zuließ. Im ursprünglichen Framework musste ein Unternehmen jede erforderliche Kontrolle vollständig umgesetzt haben, bevor eine Zertifizierung erfolgen konnte. CMMC 2.0 erlaubt einen Plan of Action and Milestones für eine Teilmenge der Kontrollen mit einem festgelegten Zeitplan zur Behebung – ein realistischerer Weg zur Zertifizierung, ohne von Anfang an Perfektion zu verlangen.
5. Diese Änderungen waren eine direkte Reaktion auf die von der DIB selbst geäußerten Bedenken hinsichtlich Kosten und Komplexität. Kleine und mittelständische Unternehmen – die den Großteil der Verteidigungslieferkette ausmachen – berichteten, dass die Bewertungskosten von CMMC 1.0 und die generelle Pflicht zur externen Bewertung angesichts ihrer Unternehmensgröße unverhältnismäßig belastend waren. Die Vereinfachung durch CMMC 2.0 wurde gezielt entwickelt, um genau dieses Feedback aufzugreifen, ohne den zugrunde liegenden Sicherheitsstandard zu schwächen.

Warum es CMMC 2.0 gab

CMMC 1.0, veröffentlicht im Januar 2020, etablierte die erste Version des Cybersicherheits-Zertifizierungsframeworks des US-Verteidigungsministeriums (DoD) – fünf Stufen, jede mit der Pflicht zur externen Bewertung, ergänzt um einen CMMC-spezifischen Kontrollsatz, der auf den bestehenden NIST-Anforderungen aufbaute. In der Praxis empfanden DIB-Auftragnehmer – insbesondere kleine und mittelständische Unternehmen – das Framework als teurer und verfahrenstechnisch komplexer, als es der Sicherheitsgewinn rechtfertigte. Bewertungskosten, die Verfügbarkeit von Assessoren und die schiere Detailtiefe von fünf unterschiedlichen Stufen erzeugten Reibungsverluste, die aus Sicht des DoD dem eigentlichen Ziel – die Cybersicherheitsstandards in der gesamten Verteidigungslieferkette zu erhöhen – eher entgegenwirkten als es zu unterstützen.

CMMC 2.0, im November 2021 angekündigt und Ende 2024 über 32 CFR Part 170 finalisiert, wurde gezielt entwickelt, um genau dieses Feedback aufzugreifen: weniger Stufen, eine direkte Ausrichtung an Standards, die Auftragnehmer bereits im Rahmen von DFARS erfüllen mussten, sowie eine Rückkehr zur Selbstbewertung dort, wo das Risikoprofil dies zulässt.

Die fünf Änderungen im Vergleich

Was gleich geblieben ist

Es lohnt sich, klar zu benennen, was CMMC 2.0 nicht verändert hat, denn wesentliche inhaltliche Grundlagen des Frameworks wurden direkt übernommen. Das zugrunde liegende Ziel – zu überprüfen, ob DIB-Auftragnehmer Federal Contract Information (FCI) und Controlled Unclassified Information (CUI) angemessen schützen – blieb unverändert. Auch die Grundlage zur Einstufung der erforderlichen Sicherheitsstufe anhand der Datensensibilität blieb gleich: FCI wird weiterhin der Foundational-Stufe zugeordnet, CUI weiterhin der Advanced-Stufe. Und die in DFARS 252.204-7012 verankerte Pflicht zur Umsetzung von NIST SP 800-171 bestand bereits vor beiden CMMC-Versionen und bleibt der Standard, gegen den letztlich beide Versionen die Compliance überprüfen.

Aktueller Stand

Das jüngste und folgenreichste Kapitel in der Entwicklung von CMMC ist keine Änderung zwischen 1.0 und 2.0 – es ist die vom Department of War am 13. Juli 2026 verkündete Aussetzung der Pflicht zur externen Zertifizierung in Phase 2, bis eine Reform Task Force ihre für Mitte September 2026 erwartete Bewertung vorlegt.

Eine eigene Kiteworks-Umfrage vom August 2026 unter 273 bestätigten DoW-Geschäftsorganisationen zeigte, dass die DIB die Aussetzung keineswegs einfach abwartete: 98 % der Befragten ergriffen mindestens eine konkrete Maßnahme als Reaktion darauf, und Budgets wurden verstärkt in Richtung Compliance-Infrastruktur umverteilt statt davon weg. Dieselbe Untersuchung deckte zudem eine bemerkenswerte Vertrauenslücke auf – 96 % der Befragten gaben an, zuversichtlich zu sein, dass ihr selbst attestierter SPRS-Score einer Überprüfung standhalten würde, doch nur 60 % dieser Gruppe verfügten tatsächlich über eine aktuelle SPRS-Einreichung, und lediglich 29 % hatten sowohl einen aktuellen Score als auch eine FedRAMP-autorisierte Plattform im Hintergrund. Die vollständigen Ergebnisse, einschließlich der Einigung im False-Claims-Act-Verfahren des DOJ gegen LOGZONE vom Juni 2026 sowie eine Checkliste zur Selbstbewertung der Bereitschaft, finden Sie unter State of CMMC 2.0 Preparedness in the DIB.

Den aktuellen Stand der Aussetzung selbst sowie Informationen dazu, was davon betroffen ist und was nicht, finden Sie unter CMMC Phase II Is Suspended. Your DFARS Obligations Are Not.

Wie Kiteworks die CMMC 2.0-Compliance unterstützt

Kiteworks erfüllt bereits werkseitig nahezu 90 % der Anforderungen von CMMC 2.0 Level 2 – der Stufe, die die meisten DIB-Organisationen im aktuellen Framework benötigen – durch eine einheitliche Data Policy Engine, die Zugriffskontrollen, Verschlüsselung und Audit-Protokollierung über sicheren E-Mail-Versand, sichere Dateifreigabe, Managed File Transfer und SFTP hinweg konsolidiert.

AES-256-Verschlüsselung mit FIPS-140-3-validierten kryptografischen Modulen erfüllt die Anforderungen von NIST SP 800-171 an System and Communications Protection unmittelbar, und ein einziger, konsolidierter, unveränderlicher Audit-Trail liefert Auftragnehmern genau die Art von Echtzeit-Nachweisen – jene Fähigkeit, die laut der Kiteworks-DIB-Umfrage 47 % der Befragten am stärksten in ihrer eigenen Selbstattestierung bestärken würde –, auf die sowohl Selbstbewertung als auch C3PAO-Zertifizierung angewiesen sind. Kiteworks verfügt zudem über die FedRAMP Moderate Authorization, unabhängig bewertet seit Juni 2017, und adressiert damit den in derselben Umfrage schwächsten Bereitschaftsindikator: Nur 35 % der Befragten nutzten bereits eine FedRAMP-autorisierte Plattform.

Um zu erfahren, wie Kiteworks die CMMC 2.0-Compliance Ihres Unternehmens unterstützt – unabhängig davon, welche Stufe für Sie gilt –, vereinbaren Sie eine individuelle Demo.