Update: Das Department of War hat die CMMC-Phase-2-Anforderungen am 13. Juli 2026 ausgesetzt. Die verpflichtende Bewertung durch einen akkreditierten C3PAO, geplant ab dem 10. November 2026, findet bis auf Weiteres nicht statt. Ebenfalls ausgesetzt ist Phase 3 mit den Bewertungen durch die DIBCAC. Unverändert gelten die Selbstbewertung nach Phase 1, DFARS 252.204-7012, DFARS 252.204-7021 mit jährlicher Affirmation, die 110 Kontrollen aus NIST SP 800-171 Rev. 2 und die Pflicht zur Einstellung des Scores im SPRS. Eine Reform Task Force prüft das Programm; die Empfehlungen werden im September 2026 erwartet. Quelle: DoD CIO, CMMC.
Seit dem 13. Juli 2026 ruht die Bewertung durch einen akkreditierten C3PAO. Wer gerade einen Prüfer auswählen wollte, steht damit vor einer Pause, nicht vor einem Abbruch. Die Kriterien für die Auswahl bleiben dieselben, und der Vorlauf für operative Nachweise entsteht genau jetzt.
Europäische Organisationen stehen dabei vor Themen, die US-Auftragnehmer selten kennen: Zeitzonen-Koordination, Datensouveränität und die Abstimmung der CMMC-Kontrollen mit bestehenden EU-Rahmen. Dieser Beitrag zeigt fünf Kriterien, an denen sich der passende C3PAO erkennen lässt, und was sich davon heute schon vorbereiten lässt. [Faktenstand 17.08.2026, Reform-Empfehlungen im September 2026 abwarten]
Das Wichtigste in Kürze
Die Bewertung durch einen C3PAO ruht seit dem 13. Juli 2026. Die Auswahlkriterien bleiben gültig: transatlantische Erfahrung, methodische Konsistenz, verlässliche Zeitpläne, Begleitung über den Zyklus und transparente Kosten. Wer die Longlist jetzt aufstellt und die Beweissammlung ordnet, verliert später keine Zeit. Entscheidend bleibt ein Prüfer, der versteht, wie CMMC mit NIS2, DSGVO und nationalen Gesetzen zusammenwirkt, und der die Verarbeitung von CUI über verschiedene Rechtsräume beherrscht.
Die Cyber-AB akkreditiert C3PAO-Prüfer und legt standardisierte Bewertungsmethoden fest, die weltweit gelten. Das sorgt für einheitliche Kriterien, doch europäische Organisationen sollten verstehen, wie einzelne Prüfer diese Standards in der Praxis auslegen.
Ein C3PAO arbeitet unter Aufsicht des US-Verteidigungsministeriums. Seit dem 13. Juli 2026 fällt er keine verbindliche Entscheidung mehr über die Angebotsberechtigung, weil die Phase-2-Bewertung ausgesetzt ist. Diese Rolle trägt bis auf Weiteres die Selbstbewertung mit dem Score im SPRS. Der Prüfmaßstab bleibt bestehen: technische Umsetzung, administrative Kontrollen und physische Sicherheit über alle 110 Level-2-Praktiken, bewertet nach ihrer dauerhaften Wirkung im Betrieb. Wer heute gegen diesen Maßstab arbeitet, hat die Belege beisammen, wenn die Bewertung wieder anläuft.
Wegen der Neuheit von CMMC 2.0 haben selbst erfahrene Prüfer nur eine begrenzte Erfolgsbilanz. Die Qualifikation lässt sich aber an früheren FedRAMP-Bewertungen und NIST-SP-800-171-Prüfungen ablesen. Bevorzugen Sie Prüfer, die verstehen, wie CMMC-Kontrollen mit NIS2, DSGVO und nationalen Cybersicherheitsgesetzen zusammenwirken.
Bei der Methodik gibt es Unterschiede: Manche Prüfer setzen stark auf automatisierte Beweiserhebung, andere auf manuelle Dokumentenprüfung und Interviews. Am besten passt ein Ansatz, der standardisierte Rahmen mit flexibler Beweissammlung verbindet und die bestehende europäische Compliance-Infrastruktur berücksichtigt. Das vermeidet doppelte Audit-Vorbereitung.
Ein C3PAO erhebt und speichert während der Bewertung große Mengen sensibler Daten. Das kann mit europäischen Datenschutzanforderungen kollidieren. Klären Sie, ob der Prüfer sichere Plattformen für den Beweisaustausch nutzt, die sowohl CMMC-Sicherheit als auch Datensouveränität erfüllen, und lassen Sie sich Aufbewahrung, Verschlüsselung und Löschung nach der Bewertung schriftlich zusichern. Diese Zusagen lassen sich schon vor einer Beauftragung verhandeln.
Remote-Bewertungen sind heute ausgereift, setzen aber sichere Kanäle voraus, die europäischen Standards genügen. Prüfer ohne Erfahrung mit grenzüberschreitenden Umgebungen fallen an dieser Stelle oft aus.
Bewertungszeiträume wirken direkt auf Angebotsfristen und Ressourcen. Verlässliche Prüfer geben klare Prognosen, halten die Kommunikation über Zeitzonen hinweg konstant und bleiben flexibel, wenn unerwartete Lücken auftauchen. Fragen Sie nach dem Kapazitätsmanagement: Kann der Prüfer trotz geografischer Distanz genug erfahrene Kapazität für Ihren Auftrag bereitstellen? Wie er die aktuelle Pause überbrückt, sagt einiges über seine Planung aus.
Wertvoll ist zudem Unterstützung bei der Mängelbeseitigung. Die besten Prüfer helfen, Defizite effizient zu beheben, statt sie nur zu dokumentieren, und begleiten über den vorgesehenen Zertifizierungszyklus statt als einmalige Transaktion.
Die Kosten variieren stark nach Komplexität, Umfang und Reiseaufwand. Transparente Prüfer trennen verpflichtende Bewertungstätigkeiten klar von optionaler Beratung. Fordern Sie eine detaillierte Kostenaufstellung, die Wechselkurse, Reisekosten und den internen Zeitaufwand berücksichtigt, damit keine Überraschungen entstehen. Angebote, die vor der Aussetzung erstellt wurden, gehören vor einer Beauftragung neu bewertet. [PRÜFEN: Kostenrahmen nach der Reform neu bewerten]
Die Pause lässt sich nutzen. Stellen Sie eine Longlist geeigneter C3PAOs auf und dokumentieren Sie die Antworten auf die fünf Kriterien, solange kein Termindruck herrscht. Ordnen Sie parallel die Beweissammlung: Verantwortungsmatrizen, Architekturbeschreibungen und die Protokolle der operativen Verfahren. Dieselben Unterlagen tragen die Selbstbewertung und den Score im SPRS, die unverändert Pflicht sind. Wer die Historie erst nach dem Wiederanlauf beginnt, verliert die Vorlaufzeit, die sich nicht nachträglich erzeugen lässt.
Was ist ein C3PAO?
Ein Certified Third-Party Assessment Organization ist eine von der Cyber-AB akkreditierte Stelle, die CMMC-Bewertungen durchführt. Diese Bewertungen ruhen seit dem 13. Juli 2026.
Lohnt sich die Prüferauswahl jetzt überhaupt?
Ja. Die Auswahlkriterien sind unverändert, und ohne Termindruck lassen sich Referenzen, Methodik und Vertragsbedingungen gründlicher prüfen als unter Vergabedruck.
Worauf sollten europäische Unternehmen besonders achten?
Auf transatlantische Erfahrung, sichere Plattformen für den Beweisaustausch und das Verständnis für NIS2, DSGVO und nationale Gesetze.
Gibt es C3PAOs in Europa?
Ja, ihre Zahl ist aber begrenzt und die Sätze liegen oft höher als bei US-Prüfern. Erfahrung mit grenzüberschreitenden Bewertungen wiegt schwerer als der Standort allein.
Wie lange bindet die Zusammenarbeit?
Vorgesehen war ein dreijähriger Zertifizierungszyklus mit Pflege und Re-Zertifizierung. Ob dieses Modell in dieser Form bestehen bleibt, gehört zu den Punkten, die die Reform verändern kann. [PRÜFEN: Dreijahreszyklus nach den Reform-Empfehlungen bestätigen]
Die Wahl des richtigen C3PAO fällt leichter, wenn die eigene Nachweislage steht. ISEC7 begleitet europäische Verteidigungsunternehmen von der Gap-Analyse über die Umsetzung der Kontrollen bis zur prüffähigen Dokumentation und ordnet die Beweissammlung so, dass eine spätere Bewertung effizient läuft. ISEC7 ist selbst kein C3PAO und führt keine Zertifizierungsbewertungen durch.
Für den sicheren Beweisaustausch und den CUI-Schutz setzt ISEC7 auf bewährte Technologiepartner. Plattformen wie das Kiteworks Private Content Network liefern manipulationssichere Audit-Trails und halten sensible Bewertungsdaten in der europäischen Jurisdiktion, mit kundenseitig verwalteten Schlüsseln.
Mehr zum Thema: CMMC 2.0 für Verteidigungszulieferer, Übersicht