Wie österreichische Verteidigungszulieferer die CMMC-Anforderungen für den Zugang zu US-Lieferketten meistern
Update: Das Department of War hat die CMMC-Phase-2-Anforderungen am 13. Juli 2026 ausgesetzt. Die verpflichtende Bewertung durch einen akkreditierten C3PAO, geplant ab dem 10. November 2026, findet bis auf Weiteres nicht statt. Ebenfalls ausgesetzt ist Phase 3 mit den Bewertungen durch die DIBCAC. Unverändert gelten die Selbstbewertung nach Phase 1, DFARS 252.204-7012, DFARS 252.204-7021 mit jährlicher Affirmation, die 110 Kontrollen aus NIST SP 800-171 Rev. 2 und die Pflicht zur Einstellung des Scores im SPRS. Eine Reform Task Force prüft das Programm; die Empfehlungen werden im September 2026 erwartet. Quelle: DoD CIO, CMMC.
Für österreichische Verteidigungs- und Dual-Use-Unternehmen ist CMMC Level 2 die Arbeitsgrundlage für US-Verteidigungslieferketten. Ohne dokumentierte Umsetzung der 110 Kontrollen und einen aktuellen Score im SPRS ist die Angebotsberechtigung gefährdet. Die zusätzliche Bewertung durch einen C3PAO ruht seit dem 13. Juli 2026. Die Anforderung gilt unabhängig von Unternehmensgröße und Standort.
Die Besonderheit für österreichische Zulieferer ist die doppelte Last: Sie müssen 110 Sicherheitspraktiken für den US-Marktzugang nachweisen und zugleich europäische Datenschutz- und nationale Sicherheitsanforderungen erfüllen. Das verlangt neue Ansätze bei Daten-Governance und Audit-Trails über mehrere Rechtsräume. [Faktenstand 17.08.2026, Reform-Empfehlungen im September 2026 abwarten]
Das Wichtigste in Kürze
Österreichische Zulieferer müssen für US-Lieferketten CMMC Level 2 erfüllen: 110 Kontrollen zum Schutz von Controlled Unclassified Information (CUI), dokumentiert und im SPRS bewertet. Die Bestätigung durch einen unabhängigen Prüfer ruht seit dem 13. Juli 2026, die Kontrollen selbst gelten unverändert. Erfolg braucht automatisierte Compliance-Messung über alle Kanäle, konsolidierte Audit-Trails und eine Zero-Trust-Architektur, die zugleich die Datensouveränität wahrt. Mit integrierten Plattformen entsteht die Nachweislage laufend statt erst zum Stichtag.
Was auf österreichische Zulieferer zukommt
Die Anforderung gilt für jede Organisation, die in Verteidigungslieferketten mit CUI umgeht, ob in Luft- und Raumfahrt, Verteidigungselektronik, Cybersicherheit oder Dual-Use-Technik. Nachzuweisen sind 110 Praktiken über 14 Domänen, von der Zugriffskontrolle über Incident Response bis zum System- und Kommunikationsschutz. Seit dem 13. Juli 2026 trägt die Selbstbewertung diesen Nachweis allein, weil die Drittprüfung ruht.
Die doppelte Compliance-Last ist die eigentliche Herausforderung: CMMC für den US-Marktzugang und zugleich europäische Datenschutzbestimmungen sowie nationale Sicherheitsanforderungen. Das erzeugt eine operative Komplexität, die über klassische Cybersicherheit hinausgeht und Daten-Governance sowie Audit-Trail-Management über mehrere Jurisdiktionen umfasst.
CUI über alle Kanäle im Griff behalten
CUI ist die größte Hürde, weil diese Daten volle Sicht und Kontrolle über alle Kanäle verlangen. Technische Spezifikationen, Vertragsdetails und strategische Informationen fließen über E-Mail, Filesharing, Managed File Transfer und Web-Werkzeuge.
Österreichische Organisationen brauchen eine Überwachung, die jede CUI-Interaktion erfasst: Zugriffe, Änderungen, Übertragungen und Empfängerprüfung, intern wie in der Kommunikation mit US-Partnern. Die Audit-Trails müssen manipulationssicher sein und sowohl einer CMMC-Prüfung als auch europäischen Datenschutzbehörden genügen. Klassifizierungs-Workflows sollten CUI automatisch erkennen und passende Kontrollen durchsetzen, ohne den Betrieb auszubremsen.
Die richtige Sicherheitsarchitektur
Perimeter-Modelle reichen für CMMC nicht. Eine Zero-Trust-Architektur behandelt jede Komponente, jeden Zugriff und jeden Transfer als potenziell kompromittiert und verlangt mehrschichtige Authentifizierung, Verschlüsselung und Echtzeit-Überwachung.
Für österreichische Unternehmen wichtig: Datensouveränität durch kundenseitig verwaltete Schlüssel, klare Regeln zur Datenresidenz und unabhängige Überwachung. Eine Doppelverschlüsselung, bei der die Kompromittierung einer Schicht die Daten nicht offenlegt, schützt zusätzlich gegen externe Angriffe und Insider. Die Audit-Trails aus E-Mail, Filesharing und Managed File Transfer gehören in einen einheitlichen, echtzeitfähigen Stream, der forensische Untersuchungen unterstützt.
Compliance automatisieren statt von Hand pflegen
Die 110 Praktiken von Hand nachzuhalten, skaliert nicht. Automatisierte Plattformen messen die Wirksamkeit der Kontrollen laufend, korrelieren Daten über Systeme hinweg und erzeugen Berichte, die die Umsetzung direkt den CMMC-Anforderungen zuordnen. Statt einer Dokumentationsaktion vor dem Stichtag entsteht eine Nachweislage, die zu jedem Zeitpunkt aussagefähig ist. Das gilt auch für die jährliche Affirmation und die Pflege des Scores im SPRS.
Häufige Fragen für österreichische Zulieferer
Gilt CMMC auch für österreichische Unternehmen?
Ja. Die Anforderung gilt unabhängig vom Standort, sobald ein Unternehmen in einer US-Verteidigungslieferkette mit CUI umgeht.
Was hat sich am 13. Juli 2026 geändert?
Das Department of War hat die Phase-2-Anforderungen ausgesetzt. Die Bewertung durch einen C3PAO, vorgesehen ab dem 10. November 2026, findet bis auf Weiteres nicht statt. Selbstbewertung, jährliche Affirmation nach DFARS 252.204-7021 und der Score im SPRS bleiben Pflicht. Die Empfehlungen der Reform Task Force werden im September 2026 erwartet.
Wie löse ich die doppelte Compliance-Last?
Über eine einheitliche technische Umsetzung, die CMMC und europäische Anforderungen zugleich bedient, mit kundenseitig verwalteten Schlüsseln für die Datensouveränität.
Was passiert ohne dokumentierte Umsetzung?
Ohne Nachweis der 110 Kontrollen und ohne aktuellen Score im SPRS ist die Angebotsberechtigung für US-Verteidigungsaufträge gefährdet. Ein Score, der sich im Prüffall nicht belegen lässt, kann zum Beweismittel in einem Verfahren nach dem False Claims Act werden. Diese Einordnung stammt aus dem Kiteworks-Brief zur Aussetzung aus dem Jahr 2026, also aus einer Anbieterquelle.
Den Weg mit ISEC7 gehen
ISEC7 begleitet österreichische Verteidigungszulieferer von der Gap-Analyse über die Umsetzung der Kontrollen bis zur prüffähigen Dokumentation, abgestimmt auf die doppelte Compliance-Last und die transatlantischen Lieferkettenpflichten. ISEC7 ist selbst kein C3PAO und führt keine Zertifizierungsbewertungen durch.
Für den CUI-Schutz über alle Kanäle setzt ISEC7 auf bewährte Technologiepartner. Plattformen wie das Kiteworks Private Content Network bündeln sichere Kommunikation in einem einheitlichen Audit-Trail, unterstützen kundenseitige Schlüssel und flexible Bereitstellung und liefern die Belege für die Selbstbewertung ohne manuelle Sammelarbeit.
Mehr zum Thema: CMMC 2.0 für Verteidigungszulieferer, Übersicht