CMMC Phase 2 ist ausgesetzt. Was für Zulieferer jetzt gilt

Im Kalender eines IT-Sicherheitsverantwortlichen bei einem deutschen Zulieferer für Verteidigungselektronik stand ein fester Termin: die Bewertung durch einen akkreditierten Prüfer, angesetzt für das vierte Quartal. Der Systemsicherheitsplan lag vor, elf der 110 Kontrollen waren noch offen. Am 13. Juli 2026 wurde dieser Termin gegenstandslos.

Die Arbeit danach bleibt. Im nächsten Risikobericht an die Geschäftsführung steht weiterhin eine einzige Zahl, der Score im Supplier Performance Risk System. Nur schaut sich diese Zahl jetzt niemand mehr an, bevor ein Auftrag vergeben wird.

Was das Department of War am 13. Juli 2026 entschieden hat

Das Department of War hat die Anforderungen der CMMC-Phase 2 mit sofortiger Wirkung ausgesetzt und eine Gesamtprüfung des Programms eingeleitet. Auf der Programmseite des DoD CIO steht der Satz: „On July 13, 2026, the Department of War announced the immediate suspension of the Cybersecurity Maturity Model Certification (CMMC) Phase II requirements“. Die Umsetzung des Programms bleibt damit in Phase 1 stehen.

Betroffen sind drei Dinge. Erstens die verpflichtende Bewertung durch akkreditierte Certified Third Party Assessment Organizations für Level 2, die ab dem 10. November 2026 greifen sollte. Zweitens Phase 3 mit den Bewertungen durch die Defense Industrial Base Cybersecurity Assessment Center. Drittens alle offenen und künftigen CMMC-Meilensteine in Ausschreibungen und laufenden Verträgen, die von den Vergabestellen per Vertragsänderung zu entfernen sind.

Den Auftrag der Prüfung beschreibt das DoD CIO selbst als Ausrichtung am Acquisition Transformation System, mit dem Ziel, Zugangshürden für kleine und mittlere Unternehmen zu senken. Welche Anforderungen die Bewertung künftig stellt, ist damit offen. Wer heute plant, plant gegen einen Zielzustand, der noch nicht beschrieben ist.

Ausgesetzt ist die Prüfung, nicht die Pflicht

Die Anforderungen an den Schutz von Controlled Unclassified Information gelten unverändert. Das DoD CIO formuliert es ohne Spielraum: „All Phase I self-assessment requirements remain firmly in place.“ In der Zwischenzeit setzt das DoW die Einhaltung von NIST SP 800-171 Rev. 2 über Selbstbewertungen und ausgewählte behördengeführte Bewertungen durch.

Konkret bleiben in Kraft: DFARS 252.204-7012 mit den Pflichten zum Schutz von Covered Defense Information und zur Meldung von Vorfällen. DFARS 252.204-7021 mit der Selbstbewertung und der jährlichen Affirmation. Die 110 Kontrollen aus NIST SP 800-171 Rev. 2. Und die Pflicht, den daraus errechneten Score im SPRS zu hinterlegen und aktuell zu halten.

Wer heute ein Angebot für einen Auftrag mit CUI-Bezug abgibt, braucht denselben Score wie am 12. Juli. Was fehlt, ist der Termin, an dem jemand von außen nachrechnet.

Die Nachweislast wandert nach innen

Bis zum 13. Juli 2026 war eine zweite Instanz vorgesehen. Ein C3PAO hätte den Systemsicherheitsplan gelesen, die Nachweise gesichtet und Lücken benannt, bevor ein Auftrag vergeben wird. Diese Instanz kommt vorerst nicht. Die Selbstauskunft im SPRS trägt jetzt allein, was vorher auf zwei Schultern lag.

Damit verschiebt sich der Zeitpunkt, an dem ein zu hoch angesetzter Score auffällt. Er fällt jetzt erst im Streitfall auf. Ein Score, der sich im Nachhinein nicht durch Nachweise decken lässt, ist eine Erklärung gegenüber einer Bundesbehörde, die sich als unzutreffend herausstellt. Auf diese Konstellation zielt der False Claims Act. Der Kiteworks-Brief zur Aussetzung aus dem Jahr 2026 beschreibt genau diese Verschiebung: Wer die Aussetzung als Entlastung liest, übersieht, dass sie die Beweisführung verlagert.

Für die Praxis heißt das: Der Score im SPRS gehört ab sofort in dieselbe Kategorie wie eine unterschriebene Erklärung im Vergabeverfahren. Er wird belegt, bevor er eingestellt wird.

Der Grund für den Stopp liegt in der Prüfkapazität

Die Aussetzung ist keine inhaltliche Kehrtwende. Das DoD CIO nennt als Ziel der Reform ausdrücklich die Senkung von Zugangshürden und eine Cybersicherheit, die zur Unternehmensgröße passt. So formuliert eine Behörde, die ihr eigenes Programm an der Durchführbarkeit gemessen hat.

Das Größenverhältnis dahinter ist bekannt. Über 100.000 Unternehmen in der Defense Industrial Base standen rund 100 verfügbaren C3PAOs gegenüber. Diese Gegenüberstellung stammt aus einer Anbieterangabe von Kiteworks aus dem Jahr 2026 und ist keine amtliche Zahl. Sie erklärt allerdings plausibel, warum die Bewertungsstufe zuerst gestoppt wurde, während die Anforderung stehen blieb.

Die Bewertung kommt also zurück, aber voraussichtlich in einer Form, die weniger Prüferstunden je Unternehmen bindet. Wer seine Nachweise jetzt aufbaut, arbeitet auf jede dieser Formen hin.

Was sich in den Wochen bis zur Reform belegen lässt

Die Empfehlungen der Task Force werden im September 2026 erwartet. Bis dahin gibt es ein Zeitfenster, in dem keine Bewertung ansteht und trotzdem alles zählt, was danach vorgelegt werden muss. Fünf Punkte lassen sich in dieser Zeit ohne neue Vorgaben abarbeiten:

• Den SPRS-Score gegen Nachweise rechnen. Die Fassung, die vor achtzehn Monaten eingestellt wurde, reicht dafür nicht. Jede Kontrolle, die als umgesetzt gilt, braucht ein Artefakt, das das zeigt.
• Den Plan of Action and Milestones mit Daten versehen. Offene Kontrollen sind zulässig, undatierte offene Kontrollen sind eine Angriffsfläche.
• Verträge auf Flow-down-Klauseln lesen. Was ein US-Generalunternehmer vertraglich weitergegeben hat, bleibt vertraglich bestehen, auch wenn die Programmphase ruht. Die Klausel im eigenen Vertrag schlägt die Meldung im Fachdienst.
• Die jährliche Affirmation vorbereiten. Sie ist an DFARS 252.204-7021 gebunden und von der Aussetzung nicht berührt.
• Nachweise über die Zeit führen. Protokolle, Konfigurationsstände und Richtliniennachweise über zwölf Monate hinweg sind das, was eine spätere Bewertung sehen will. Eine Momentaufnahme trägt dort nicht.

Keiner dieser fünf Punkte hängt an einem Produkt. Sie beschreiben Betriebsdisziplin und lassen sich mit vorhandenen Mitteln beginnen.

Wo ISEC7 in diesem Zeitfenster arbeitet

ISEC7 ist kein C3PAO und stellt keine Zertifikate aus. Was ISEC7 beiträgt, liegt auf der technischen Seite der 110 Kontrollen und auf der Nachweisführung dahinter.

ISEC7 CLASSIFY, die Lösung für Klassifizierung und Kennzeichnung, setzt die CUI-Kennzeichnung am Entstehungspunkt durch, in E-Mail, Dokument und Kalendereintrag, und bindet sie dauerhaft an die Datei. Gemeint ist der Kontrollbereich, in dem Selbstbewertungen erfahrungsgemäß am weitesten auseinanderlaufen: Media Protection und der Umgang mit gekennzeichneten Inhalten.

ISEC7 MAIL, der sichere mobile E-Mail-Client, zieht dieselben Regeln auf mobile Geräte. Klassifizierung und Verschlüsselung greifen auf dem Gerät, und die Empfängerdomain wird geprüft, bevor eine Nachricht es verlässt. Der mobile Kanal ist damit nicht die Lücke, die im Prüfvermerk begründet werden muss.

ISEC7 SPHERE, die Monitoring- und Auditingplattform, sammelt den Zustand von Geräten, Servern und Diensten in einer Oberfläche und macht daraus exportierbare Berichte. Das ist die Antwort auf die Situation, in der die Risikolage in einer Zahl ausgedrückt werden soll und vier Systeme vier Zählweisen liefern.

Wer den eigenen Stand zuerst neutral bestimmen will, findet die Anforderungen und den Ablauf auf der CMMC-Themenseite. Die Aufzeichnung des Webcasts mit Kiteworks vom 15. Juli 2026 geht auf den Ablauf einer Level-2-Vorbereitung im Detail ein.

Was offen bleibt

Wie die Bewertung nach der Reform aussieht, ist nicht entschieden. Denkbar ist eine gestufte Prüftiefe nach Unternehmensgröße. Möglich ist auch eine größere Rolle behördengeführter Bewertungen. Belastbar ist dazu bis zur Veröffentlichung der Empfehlungen nichts. [PRÜFEN: Ausgestaltung der Bewertungsstufen nach Vorlage der Reform-Empfehlungen, erwartet September 2026]

Ebenso offen ist, ob und wann die zugrunde liegende Regel in 32 CFR Part 170 angepasst wird. Bis dahin gilt der Rechtsstand vom 12. Juli 2026, abzüglich der ausgesetzten Bewertungsstufen.

Der Satz für den nächsten Risikobericht

Die Aussetzung der Phase 2 verändert den Prüfkalender und lässt die Anforderung unberührt. Wer das im Risikobericht so formuliert, beantwortet die Frage der Geschäftsführung im selben Absatz, in dem sie entsteht. Der Termin ist weg, die Pflicht geblieben. Der Score im SPRS ist ab jetzt der einzige Beleg zwischen dem Unternehmen und einem Auftrag.

Für eine Einordnung des eigenen Stands erreichen Sie uns unter sales@isec7.com oder telefonisch unter +49 40 325076 0. ISEC7 begleitet Verteidigungszulieferer im DACH-Raum seit 2003 von Hamburg aus bei der technischen Umsetzung und der Nachweisführung.