CMMC-Bewertungskosten für deutsche Rüstungsunternehmen: Ihre Compliance-Investition planen
Aktualisiert am 17.08.2026: Das Department of War hat die CMMC-Phase-2-Anforderungen am 13. Juli 2026 ausgesetzt. Die verpflichtende Bewertung durch einen akkreditierten C3PAO, geplant ab dem 10. November 2026, findet bis auf Weiteres nicht statt. Ebenfalls ausgesetzt ist Phase 3 mit den Bewertungen durch die DIBCAC. Unverändert gelten die Selbstbewertung nach Phase 1, DFARS 252.204-7012, DFARS 252.204-7021 mit jährlicher Affirmation, die 110 Kontrollen aus NIST SP 800-171 Rev. 2 und die Pflicht zur Einstellung des Scores im SPRS. Eine Reform Task Force prüft das Programm; die Empfehlungen werden im September 2026 erwartet. Quelle: DoD CIO, CMMC.
150.000 bis 500.000 Euro: In dieser Spanne lag die Planung für CMMC Level 2 bei den meisten deutschen Rüstungsunternehmen. Die formale Bewertung ist dabei der kleinere Teil. Den größten Kostenblock bildet die Vorbereitung, und die fällt unabhängig davon an, ob eine Drittprüfung stattfindet.
Die Kosten schwanken stark, je nach Größe, bestehender Sicherheitslage und Qualität der Vorbereitung. Seit dem 13. Juli 2026 ruht die Bewertung durch einen C3PAO, die Aufwände für Umsetzung, Dokumentation und Selbstbewertung bleiben bestehen. Alle Zahlen in diesem Beitrag sind Planungsgrößen für die Budgetierung, keine Angebotspreise. [PRÜFEN: Kostenrahmen nach der Reform neu bewerten]
Dieser Beitrag schlüsselt die wesentlichen Kostentreiber auf, von der Gap-Analyse bis zu einer späteren C3PAO-Bewertung, und hilft Sicherheits- und Einkaufsteams bei einer belastbaren Budgetplanung.
Das Wichtigste in Kürze
Als Planungsgröße lagen die Gesamtkosten für CMMC Level 2 bei deutschen Rüstungsunternehmen typischerweise zwischen 150.000 und 500.000 Euro über Vorbereitung, Tooling und Bewertung. Der größte Posten ist die interne Vorbereitung, die 12 bis 18 Monate und mehrere Vollzeitkräfte binden kann. Sie fällt auch an, während die Drittprüfung ruht, weil Selbstbewertung und Score im SPRS Pflicht bleiben. Reife Sicherheitsprogramme und automatisierte Dokumentation senken den Aufwand. [PRÜFEN: Kostenrahmen nach der Reform neu bewerten]
Was eine C3PAO-Bewertung kostet
Ein C3PAO berechnet seine Gebühren nach Umfang, Komplexität und Dauer der Bewertung. Diese Gebühren sind der am besten planbare Teil, machen aber nur einen kleineren Anteil der Gesamtkosten aus. Seit dem 13. Juli 2026 fällt dieser Posten vorerst nicht an.
Die Preise richten sich nach Mitarbeiterzahl, Standorten und Systemgrenzen. Unternehmen mit mehreren Standorten oder komplexen Lieferketten-Integrationen zahlen mehr, weil der Bewertungsumfang steigt. Die Dauer reichte von zwei Wochen bei kleinen, gut vorbereiteten Organisationen bis zu mehreren Monaten bei großen Unternehmen mit verteilten Operationen.
C3PAO-Auswahl und Preisunterschiede
In Europa ansässige C3PAOs verlangten oft höhere Sätze als US-Prüfer. Das liegt an Reisekosten, regulatorischer Expertise und begrenztem Wettbewerb. Als Planungsgröße für eine spätere formale Bewertung haben sich 50.000 bis 150.000 Euro eingebürgert, je nach Größe und Komplexität. Manche Prüfer boten Festpreis-Pakete, andere rechneten stundenbasiert ab und stellten die Lückenanalyse separat in Rechnung. [PRÜFEN: Kostenrahmen nach der Reform neu bewerten]
Der größte Posten: die interne Vorbereitung
Die Vorbereitung übersteigt die reinen Bewertungskosten um ein Mehrfaches. Für die Selbstbewertung müssen alle 110 NIST-SP-800-171-Kontrollen umgesetzt und belegt sein. Deutsche Auftragnehmer setzen dafür typischerweise zwei bis fünf Vollzeitkräfte über 12 bis 18 Monate ein, was allein an interner Arbeitszeit 200.000 bis 600.000 Euro bedeutet. [PRÜFEN: Kostenrahmen nach der Reform neu bewerten]
Investitionen in die Infrastruktur
Oft sind erhebliche Technologie-Investitionen nötig: umfassendes Logging, Endpoint Protection, Netzwerksegmentierung und verschlüsselte Kommunikation auf Level-2-Niveau. Cloud-Lösungen senken die Anfangsinvestition, verursachen aber laufende Kosten. On-Premises erfordert mehr Anfangsinvestition, bietet aber die Kontrolle über die Datensouveränität, die deutschen Organisationen wichtig ist. Lizenzen, Implementierung und Integration kosten im Mittelstand typischerweise 100.000 bis 400.000 Euro.
Dokumentation und Prozesse
CMMC verlangt eine umfangreiche Dokumentation: Sicherheitsrichtlinien, Verfahren, System-Security-Pläne und Prozesse zur kontinuierlichen Überwachung. Ohne interne NIST-Expertise ist externe Beratung nötig, meist 25.000 bis 100.000 Euro. Dazu kommen technisches Schreiben, Richtlinienprüfungen und die Koordination der Beteiligten.
Versteckte Kosten einplanen
Erfolgreiche Programme kalkulieren einen Puffer von 25 bis 35 Prozent über der Basisschätzung ein, um Umfangsänderungen und Nachbesserungen abzufangen. Die Vorbereitung deckt oft Lücken auf, die zusätzliche Investitionen auslösen. Ein Score im SPRS, der sich im Prüffall nicht belegen lässt, ist der teuerste Fall, weil er zum Beweismittel in einem Verfahren nach dem False Claims Act werden kann. Diese Einordnung stammt aus dem Kiteworks-Brief zur Aussetzung aus dem Jahr 2026, also aus einer Anbieterquelle.
Auch nach dem Aufbau fallen Kosten an: Lizenzen, Monitoring und die jährliche Affirmation nach DFARS 252.204-7021. Die laufende Pflege liegt typischerweise bei 20 bis 30 Prozent der initialen Aufwände pro Jahr. Der ursprünglich vorgesehene Dreijahreszyklus für die Rezertifizierung gehört zu den Punkten, die die Reform verändern kann. [PRÜFEN: Rezertifizierungszyklus nach den Reform-Empfehlungen bestätigen]
Wie sich die Kosten senken lassen
Zwei Hebel wirken am stärksten. Erstens die Automatisierung: Kontinuierliches Compliance-Monitoring senkt Vorbereitungsdauer und Bewertungskomplexität, weil es laufend validiert und prüffähige Dokumentation liefert. Eine integrierte Plattform vermeidet zudem die Kosten vieler Einzelwerkzeuge.
Zweitens bestehende Investitionen nutzen. Wer bereits ISO 27001 oder BSI IT-Grundschutz umsetzt, verfügt über Grundkontrollen, die sich mit überschaubarem Aufwand auf CMMC ausrichten lassen. Eine Bestandsaufnahme des vorhandenen Sicherheits-Stacks deckt Konsolidierungspotenzial auf und verhindert unnötige Tool-Vermehrung.
Häufige Fragen zu den CMMC-Kosten
Womit muss ich für CMMC Level 2 in Deutschland rechnen?
Als Planungsgröße typischerweise 150.000 bis 500.000 Euro insgesamt, davon 50.000 bis 150.000 Euro für eine spätere formale C3PAO-Bewertung. Diese Bewertung ruht seit dem 13. Juli 2026. [PRÜFEN: Kostenrahmen nach der Reform neu bewerten]
Warum ist die Vorbereitung so teuer?
Sie bindet über 12 bis 18 Monate mehrere Vollzeitkräfte und übersteigt die reinen Bewertungsgebühren um ein Mehrfaches.
Lohnt sich das Budget, obwohl Phase 2 ausgesetzt ist?
Ja. Die Selbstbewertung, die jährliche Affirmation und der Score im SPRS bleiben Pflicht, und die 110 Kontrollen gelten unverändert. Der größte Kostenblock fällt also ohnehin an.
Welche laufenden Kosten kommen dazu?
Rund 20 bis 30 Prozent der initialen Aufwände pro Jahr für Monitoring, Lizenzen und Compliance-Pflege. Ob der Dreijahreszyklus für die Rezertifizierung bestehen bleibt, klärt die Reform. [PRÜFEN: Rezertifizierungszyklus nach den Reform-Empfehlungen bestätigen]
Wie senke ich die Kosten?
Durch automatisierte Dokumentation, eine integrierte Plattform statt vieler Einzeltools und die Nutzung bestehender ISO-27001- oder BSI-Kontrollen.
Kosten mit ISEC7 realistisch planen
Belastbare CMMC-Budgets entstehen aus einer sauberen Gap-Analyse und einem Fahrplan, der Vorbereitung, Tooling und Bewertung getrennt ausweist. ISEC7 begleitet deutsche Verteidigungsunternehmen über den gesamten Weg und richtet vorhandene Kontrollen so aus, dass sich Aufwand und Kosten bündeln lassen. ISEC7 ist selbst kein C3PAO und führt keine Zertifizierungsbewertungen durch.
Für den CUI-Schutz über alle Kanäle setzt ISEC7 auf bewährte Technologiepartner. Plattformen wie das Kiteworks Private Content Network bündeln sichere Kommunikation und Dateitransfer in einem einheitlichen Audit-Trail und liefern die Belege für die Nachweisführung ohne manuelle Sammelarbeit. Das senkt die initialen wie die laufenden Compliance-Kosten.
Mehr zum Thema: CMMC 2.0 für Verteidigungszulieferer, Übersicht