CMMC 2.0-Vorbereitung: Wie lange dauert die Zertifizierung wirklich?
Update: Das Department of War hat die CMMC-Phase-2-Anforderungen am 13. Juli 2026 ausgesetzt. Die verpflichtende Bewertung durch einen akkreditierten C3PAO, geplant ab dem 10. November 2026, findet bis auf Weiteres nicht statt. Ebenfalls ausgesetzt ist Phase 3 mit den Bewertungen durch die DIBCAC. Unverändert gelten die Selbstbewertung nach Phase 1, DFARS 252.204-7012, DFARS 252.204-7021 mit jährlicher Affirmation, die 110 Kontrollen aus NIST SP 800-171 Rev. 2 und die Pflicht zur Einstellung des Scores im SPRS. Eine Reform Task Force prüft das Programm; die Empfehlungen werden im September 2026 erwartet. Quelle: DoD CIO, CMMC.
Sechs Monate ist die Zahl, die viele Führungskräfte für die CMMC-Vorbereitung im Kopf haben. Realistisch sind 12 bis 18 Monate bis zu einer belastbaren Nachweislage. Wer diesen Unterschied unterschätzt, geht mit einer Selbstauskunft in die Vergabe, die er im Prüffall nicht belegen kann.
CMMC verlangt anders als klassische Audit-Rahmen den Nachweis einer messbaren, kontinuierlichen Sicherheitssteuerung über jeden Kanal, der mit Controlled Unclassified Information (CUI) umgeht. Dazu gehören umfassende Dokumentation und Kontrollen, die über den gesamten Lebenszyklus wirken. Die Bewertung durch einen C3PAO ruht seit dem 13. Juli 2026, die Maßstäbe aus DFARS 252.204-7012 und NIST SP 800-171 bleiben davon unberührt.
Dieser Beitrag zeigt, was die Vorbereitungsdauer wirklich bestimmt, wo die Zeit verloren geht und wie sich der Aufbau verkürzen lässt, ohne bei der Sicherheit zu sparen. [Faktenstand 17.08.2026, Reform-Empfehlungen im September 2026 abwarten]
Das Wichtigste in Kürze
Der Aufbau der CMMC-Nachweislage dauert für die meisten Organisationen 12 bis 18 Monate. Am meisten Zeit kosten lückenlose Audit-Trails über alle CUI-Systeme, die Umsetzung von Zero-Trust-Kontrollen und die Dokumentation der 110 Kontrollen. Die formale Bewertung durch einen C3PAO ruht seit dem 13. Juli 2026, Selbstbewertung und Score im SPRS bleiben Pflicht. Wer eine einheitliche Plattform statt vieler Einzellösungen nutzt, verkürzt die Vorbereitung, weil automatisiertes Compliance-Mapping und Audit-Trails in Echtzeit den manuellen Aufwand ersetzen.
Wie lange die Vorbereitung wirklich dauert
Die Vorbereitung reicht weit über eine formale Bewertung hinaus. Sie beginnt mit einer Gap-Analyse und geht in laufende Pflichten über, die die Sicherheitslage dauerhaft prägen.
Eine erste Gap-Analyse dauert bei einem mittelständischen Auftragnehmer mit moderatem CUI-Volumen typischerweise 6 bis 8 Wochen. In dieser Zeit werden alle Systeme, Anwendungen und Abläufe inventarisiert, die sensible Daten verarbeiten, und die bestehenden Kontrollen den 110 Anforderungen zugeordnet. Meist tauchen dabei unerwartete Datenflüsse und undokumentierte CUI-Verfahren auf, die den Zeitplan verlängern.
Infrastruktur härten und Kontrollen umsetzen
Die Umsetzung ist die aufwändigste Phase und dauert je nach Komplexität 6 bis 12 Monate. Hier werden technische Kontrollen ausgerollt, Governance-Strukturen aufgebaut und die kontinuierliche Überwachung eingerichtet, die prüffähige Belege erzeugt.
Den Kern bildet eine Zero-Trust-Architektur mit identitätsbasierten Zugriffskontrollen und dem Prinzip der minimalen Rechte. Schwierig wird es, wenn Unternehmen versuchen, die Kontrollen über viele getrennte Werkzeuge abzubilden. Jedes zusätzliche System erhöht die Integrationslast, schafft Lücken im Audit-Trail und erschwert das einheitliche Echtzeit-Reporting, das die laufende Compliance verlangt.
Dokumentation und Beweissammlung
Die Dokumentationsphase dauert 2 bis 3 Monate, sofern die technischen Kontrollen bereits laufen und saubere Audit-Daten liefern. Prüffähige Dokumentation belegt kontinuierliche Compliance, keine Momentaufnahme. Das setzt eine automatisierte Beweissammlung voraus, die jede CUI-Interaktion über alle Systeme hinweg erfasst. Von Hand skaliert das nicht.
Wo die Zeit verloren geht
Die größte technische Hürde sind fragmentierte Audit-Trails. CMMC verlangt die lückenlose Protokollierung aller CUI-Aktivitäten, von der E-Mail-Übertragung bis zur Richtliniendurchsetzung. Klassische Architekturen verteilen das auf mehrere Systeme mit unterschiedlichen Protokollformaten. Diese von Hand zu korrelieren, bindet enorme Ressourcen und hinterlässt Lücken, die in der Prüfung auffallen.
Hinzu kommt der Systemwildwuchs: Mit jedem Werkzeug steigt die Integrationskomplexität, wachsen die Wartungslast und die technische Schuld. Und schließlich die Bewertungsvorbereitung. Der formale Bewertungsprozess war vom ersten Kontakt bis zur Entscheidung mit 4 bis 6 Wochen angesetzt; seit dem 13. Juli 2026 ruht er. Probe-Audits im eigenen Haus decken die Dokumentationslücken trotzdem auf, und genau dafür ist die Zeit jetzt da. [PRÜFEN: Dauer des Bewertungsprozesses nach der Reform neu bewerten]
Wie sich die Vorbereitung beschleunigen lässt
Der größte Hebel ist eine integrierte Plattform, die Compliance-Mapping, Beweissammlung und Reporting automatisiert. Statt Protokolle aus vielen Systemen zu korrelieren, greifen Sicherheitsteams auf normalisierte Echtzeit-Daten über E-Mail, Dateitransfer, Managed File Transfer und Kollaboration zu.
Kontinuierliches Monitoring löst das alte Modell aus intensiver Vorbereitung und punktueller Prüfung ab. Die Organisation hält ihre Bereitschaft dauerhaft, statt sie vor jeder Bewertung neu herzustellen. In der Praxis verkürzt ein solcher Ansatz die Vorbereitung gegenüber einem Flickwerk aus Einzellösungen, weil manueller Dokumentationsaufwand entfällt und die Integrationskomplexität sinkt.
Häufige Fragen zum Zeitrahmen
Wie lange dauert der Aufbau der CMMC-Nachweislage im Schnitt?
Von der Gap-Analyse bis zur belastbaren Dokumentation meist 12 bis 18 Monate. Sechs Monate sind nur bei sehr reifer Ausgangslage realistisch.
Was dauert am längsten?
Die Kontroll-Umsetzung mit 6 bis 12 Monaten, vor allem der Aufbau einheitlicher, lückenloser Audit-Trails über alle CUI-Systeme.
Wie viel Vorlauf verlangt eine C3PAO-Bewertung?
Bislang galten 12 bis 18 Monate operative Nachweise vor der Bewertung, keine Momentaufnahme. Die Bewertung ruht seit dem 13. Juli 2026. Die Vorlaufzeit entsteht trotzdem, weil sie sich nicht nachträglich erzeugen lässt.
Lässt sich die Zeit verkürzen?
Ja. Eine integrierte Plattform mit automatisiertem Compliance-Mapping und Echtzeit-Audit-Trails senkt den Vorbereitungsaufwand erheblich.
Den Zeitplan mit ISEC7 realistisch aufsetzen
Ein tragfähiger CMMC-Zeitplan beginnt mit einer ehrlichen Gap-Analyse und einem Fahrplan, der Umsetzung, Dokumentation und Bewertungsvorbereitung realistisch taktet. ISEC7 begleitet deutsche Verteidigungsunternehmen über diesen gesamten Weg und hält den Aufwand über automatisierte Nachweise beherrschbar. ISEC7 ist selbst kein C3PAO und führt keine Zertifizierungsbewertungen durch.
Für den CUI-Schutz über alle Kanäle setzt ISEC7 auf bewährte Technologiepartner. Plattformen wie das Kiteworks Private Content Network bündeln sicheren Dateitransfer, verschlüsselte E-Mail, Managed File Transfer und Webformulare in einem einheitlichen Audit-Trail und liefern die Belege für die Nachweisführung ohne manuelle Sammelarbeit. Das ist einer der wirksamsten Hebel, um die Vorbereitungszeit zu verkürzen.
Mehr zum Thema: CMMC 2.0 für Verteidigungszulieferer, Übersicht