Was deutsche Verteidigungsunternehmen jetzt nachweisen müssen, während die CMMC-Bewertung ruht
Update: Das Department of War hat die CMMC-Phase-2-Anforderungen am 13. Juli 2026 ausgesetzt. Die verpflichtende Bewertung durch einen akkreditierten C3PAO, geplant ab dem 10. November 2026, findet bis auf Weiteres nicht statt. Ebenfalls ausgesetzt ist Phase 3 mit den Bewertungen durch die DIBCAC. Unverändert gelten die Selbstbewertung nach Phase 1, DFARS 252.204-7012, DFARS 252.204-7021 mit jährlicher Affirmation, die 110 Kontrollen aus NIST SP 800-171 Rev. 2 und die Pflicht zur Einstellung des Scores im SPRS. Eine Reform Task Force prüft das Programm; die Empfehlungen werden im September 2026 erwartet. Quelle: DoD CIO, CMMC.
Der Zugang zu US-Verteidigungsaufträgen hängt an nachweisbarer Cybersicherheit. Wer Aufträge mit dem US-Verteidigungsministerium anstrebt oder als Zulieferer in einer US-verknüpften Lieferkette arbeitet, muss die Umsetzung der 110 Kontrollen dokumentieren und einen aktuellen Score im SPRS führen. Ohne diesen Nachweis ist die Angebotsberechtigung gefährdet. Die zusätzliche Bewertung durch einen C3PAO ruht seit dem 13. Juli 2026.
Die Anforderung ist mehr als eine Formalie. Betroffene Unternehmen aus Luft- und Raumfahrt, Verteidigungselektronik und Dual-Use-Technik müssen die 110 Kontrollen aus NIST SP 800-171 umsetzen, Controlled Unclassified Information (CUI) über jeden Kommunikationskanal schützen und das prüffähig dokumentieren. Parallel gelten NIS2 und das IT-Sicherheitsgesetz 2.0, deren Anforderungen sich in weiten Teilen überschneiden.
Der Zeitplan hat sich verschoben. Seit November 2025 dürfen US-Auftraggeber die CMMC-Klausel in Ausschreibungen aufnehmen. [PRÜFEN: Datum und Rechtsgrundlage belegen] Die Bewertung durch einen C3PAO war ab dem 10. November 2026 vorgesehen. Seit dem 13. Juli 2026 ist diese Stufe ausgesetzt. Die Selbstbewertung nach Phase 1, die jährliche Affirmation nach DFARS 252.204-7021 und der Score im SPRS bleiben Pflicht. [Faktenstand 17.08.2026, Reform-Empfehlungen im September 2026 abwarten]
Das Wichtigste in Kürze
CMMC bleibt die Grundlage für die Arbeit mit CUI in US-Verteidigungslieferketten. Deutsche Unternehmen setzen 110 Sicherheitskontrollen um und dokumentieren die Umsetzung prüffähig. Die Bestätigung durch einen C3PAO ruht seit dem 13. Juli 2026. Selbstbewertung, jährliche Affirmation und der Score im SPRS gelten unverändert weiter.
Der Aufwand zahlt doppelt: Dieselben Kontrollen zahlen auf NIS2 und BSI-Anforderungen ein. Wer die Umsetzung jetzt sauber dokumentiert, geht mit belastbaren Nachweisen in die nächste Vergabe. Der Aufbau dauert erfahrungsgemäß 12 bis 18 Monate. [PRÜFEN: Zeitplan nach den Reform-Empfehlungen im September 2026 neu bewerten]
Warum CMMC über den Marktzugang entscheidet
Deutsche Verteidigungsunternehmen arbeiten in US-Programmen mit, als Zulieferer und über Wartungsverträge. [PRÜFEN: konkrete Programmbeteiligungen deutscher Zulieferer belegen] Diese Beziehungen bringen Umsatz und Technologiepartnerschaften.
CMMC gilt für jede Organisation, die in diesen Lieferketten mit CUI umgeht. Die Anforderung steht in den Ausschreibungen des US-Verteidigungsministeriums. Was sich am 13. Juli 2026 geändert hat, ist die Prüfinstanz: Die Bewertung durch einen C3PAO ruht, die Selbstauskunft im SPRS trägt seitdem das volle Gewicht. Ein unzutreffender Score kann zum Beweismittel in einem Verfahren nach dem False Claims Act werden. Diese Einordnung stammt aus dem Kiteworks-Brief zur Aussetzung aus dem Jahr 2026, also aus einer Anbieterquelle.
Wie stark der Druck ist, hängt von der Position in der Lieferkette ab. Generalunternehmer mit Direktvertrag zum US-Verteidigungsministerium arbeiten mit vertraglich verankerten Anforderungen. Die Vergabestellen entfernen die Phase-2- und Phase-3-Meilensteine per Vertragsänderung, spätestens zur nächsten Optionsperiode. Tier-2- und Tier-3-Zulieferer erhalten die Anforderungen weiterhin über die Verträge der US-Generalunternehmer.
Wie sich die Anforderung durch die Lieferkette zieht
US-Generalunternehmer wie Lockheed Martin, Raytheon und Northrop Grumman geben ihre Sicherheitsanforderungen an die Zulieferer weiter, um das eigene Compliance-Risiko zu begrenzen. Das reicht bis zu deutschen Unternehmen, die vielleicht nie direkt mit dem US-Verteidigungsministerium zu tun haben, aber CUI aus Verteidigungsprogrammen verarbeiten. [PRÜFEN: Wie einzelne Generalunternehmer ihre Zuliefererauflagen nach dem 13. Juli 2026 anpassen, ist nicht belegt]
Deutsche Zulieferer ohne dokumentierte Umsetzung riskieren neue Chancen und bestehende Verträge. Wer an internationalen Programmen wie dem Future Combat Air System (FCAS) beteiligt ist, trifft auf ähnliche Anforderungen, weil dort US-Technologietransfer im Spiel ist. Die Nachweisführung gehört damit in dieselbe Akte wie die übrigen Vertragsunterlagen.
Welche technischen Kontrollen CUI verlangt
Controlled Unclassified Information umfasst technische Spezifikationen, Vertragsdetails, Lieferketten- und Betriebsdaten, mit denen deutsche Verteidigungsunternehmen täglich arbeiten. CMMC Level 2 schreibt konkrete technische Kontrollen für den Schutz dieser Daten vor, und die gehen über klassische IT-Sicherheit hinaus.
Die 110 Kontrollen aus NIST SP 800-171 decken 14 Domänen ab, darunter Zugriffskontrolle, Audit und Rechenschaftspflicht, System- und Kommunikationsschutz sowie Incident Response. Verlangt werden Zero-Trust-Prinzipien, lückenlose Audit-Trails und kontinuierliche Überwachung aller Systeme, die CUI verarbeiten.
Diese Kontrollen müssen über jeden Kanal greifen: E-Mail, Filesharing, Managed File Transfer und Webformulare. Vorgeschrieben sind Verschlüsselung bei Übertragung und Speicherung, Zugriff nach dem Prinzip der minimalen Rechte und die Protokollierung jeder CUI-Aktivität. Firewall und Virenschutz allein genügen nicht.
Wie Automatisierung den Aufwand senkt
110 Kontrollen manuell umzusetzen, bindet enorme Ressourcen, gerade im Mittelstand ohne dediziertes Compliance-Team. Automatisierte Umsetzung und Überwachung verkürzen die Vorbereitung und halten die Konformität durch laufende Messung und Dokumentation stabil.
Solche Systeme erzeugen Compliance-Berichte, die den CMMC-Anforderungen direkt entsprechen, und ersparen die Tabellenpflege von Hand. Sie binden sich an vorhandene Infrastruktur wie Active Directory, SIEM-Plattformen und Dokumentenmanagement an. Das lohnt sich besonders, wenn ein Unternehmen mehrere Rahmen gleichzeitig bedient, denn dieselben Kontrollen adressieren oft auch NIS2, BSI-Grundschutz und DSGVO.
Warum sich die Investition doppelt rechnet
Deutsche Verteidigungsunternehmen stehen vor konvergierenden Anforderungen aus mehreren Quellen. NIS2, das IT-Sicherheitsgesetz 2.0 und DORA erzeugen technische Vorgaben, die sich in Teilen mit CMMC decken.
Daraus ergibt sich eine Chance: Eine einheitliche technische Umsetzung bedient mehrere Rahmen. Wer den CUI-Schutz für CMMC aufbaut, arbeitet zugleich an den nationalen Pflichten und verbessert den Return on Investment seiner Sicherheitsinfrastruktur. Besonders relevant ist das für Betreiber kritischer Infrastrukturen und Dual-Use-Anbieter, die ohnehin unter strenger nationaler Aufsicht stehen.
Was die Bewertung verlangt, wenn sie wieder anläuft
Die Bewertung durch einen C3PAO ruht seit dem 13. Juli 2026. Die Anforderungen an die Dokumentation bleiben davon unberührt, weil sie aus DFARS 252.204-7012 und NIST SP 800-171 stammen. Verantwortungsmatrizen und Architekturbeschreibungen gehören in jede Selbstbewertung, dazu die Belege der operativen Verfahren.
Ein C3PAO prüft über Beweisführung und Interviews, ob die Kontrollen im Betrieb wirken. Üblich waren 12 bis 18 Monate operative Nachweise vor der Zertifizierung. Diese Vorlaufzeit entsteht unabhängig davon, wann die Bewertung wieder anläuft: Wer heute protokolliert, hat die Historie später im Haus. Zur Größenordnung des Verfahrens: In der Defense Industrial Base stehen über 100.000 Unternehmen rund 100 verfügbaren C3PAOs gegenüber. Diese Zahlen sind eine Anbieterangabe von Kiteworks aus dem Jahr 2026, keine amtliche Statistik.
Wie Verantwortungsmatrizen die Grenzen klären
Eine CMMC-Bewertung setzt eine klare Trennung zwischen Kontrollen voraus, die ein Technologieanbieter erbringt, und solchen, die beim Unternehmen bleiben. Verantwortungsmatrizen dokumentieren für jede der 110 Kontrollen, wie sie über interne Prozesse und externe Lösungen abgedeckt ist.
Wer Cloud-Dienste oder Managed Security Provider nutzt, muss belegen, wie das geteilte Verantwortungsmodell die Anforderungen erfüllt. Bei FedRAMP-autorisierten Diensten ist das anspruchsvoll, weil sie manche Kontrollen automatisch bereitstellen und andere weiterhin beim Kunden liegen. Eine saubere Dokumentation verkürzt später die Bewertung und beantwortet Rückfragen aus der Vergabestelle schon heute.
Häufige Fragen zu CMMC 2.0
Was ist CMMC 2.0?
Die Cybersecurity Maturity Model Certification 2.0 ist ein Nachweisverfahren des US-Verteidigungsministeriums. Level 2 verlangt die Umsetzung der 110 Sicherheitsanforderungen aus NIST SP 800-171 zum Schutz von Controlled Unclassified Information.
Betrifft CMMC auch deutsche Unternehmen?
Ja. Die Anforderung gilt unabhängig vom Unternehmenssitz. Sie greift, sobald ein Unternehmen als Zulieferer in einer US-Verteidigungslieferkette mit CUI umgeht, auch als Tier-2- oder Tier-3-Zulieferer.
Was gilt seit der Aussetzung der Phase 2?
Das Department of War hat die Phase-2-Anforderungen am 13. Juli 2026 ausgesetzt. Die Bewertung durch einen C3PAO, vorgesehen ab dem 10. November 2026, findet bis auf Weiteres nicht statt. In Kraft bleiben die Selbstbewertung nach Phase 1, DFARS 252.204-7012 und DFARS 252.204-7021 mit jährlicher Affirmation sowie der Score im SPRS. Eine Reform Task Force prüft das Programm, die Empfehlungen werden im September 2026 erwartet. [Faktenstand 17.08.2026, Reform-Empfehlungen im September 2026 abwarten]
Wie lange dauert der Aufbau?
Realistisch 12 bis 18 Monate bis zur belastbaren Nachweislage, abhängig von der bestehenden Sicherheitslage und der Reife der Dokumentation.
Den Weg mit ISEC7 gehen
CMMC ist kein Tool-Kauf, sondern ein Programm aus Gap-Analyse, technischer Umsetzung, Dokumentation und Bewertungsvorbereitung. ISEC7 begleitet deutsche Verteidigungsunternehmen über den gesamten Weg: von der Bestandsaufnahme über die Umsetzung der NIST-SP-800-171-Kontrollen bis zur prüffähigen Dokumentation für die Selbstbewertung und eine spätere C3PAO-Bewertung. ISEC7 ist selbst kein C3PAO und führt keine Zertifizierungsbewertungen durch.
Für den CUI-Schutz über alle Kanäle setzt ISEC7 auf bewährte Technologiepartner. Plattformen wie das Kiteworks Private Content Network bündeln sicheren Dateitransfer, verschlüsselte E-Mail, Managed File Transfer und Webformulare und liefern einheitliche Audit-Trails für die Nachweisführung. So bleibt der Aufwand für Umsetzung und Nachweis beherrschbar.
Mehr zum Thema: CMMC 2.0 für Verteidigungszulieferer, Übersicht