Update: Das Department of War hat die CMMC-Phase-2-Anforderungen am 13. Juli 2026 ausgesetzt. Die verpflichtende Bewertung durch einen akkreditierten C3PAO, geplant ab dem 10. November 2026, findet bis auf Weiteres nicht statt. Ebenfalls ausgesetzt ist Phase 3 mit den Bewertungen durch die DIBCAC. Unverändert gelten die Selbstbewertung nach Phase 1, DFARS 252.204-7012, DFARS 252.204-7021 mit jährlicher Affirmation, die 110 Kontrollen aus NIST SP 800-171 Rev. 2 und die Pflicht zur Einstellung des Scores im SPRS. Eine Reform Task Force prüft das Programm; die Empfehlungen werden im September 2026 erwartet. Quelle: DoD CIO, CMMC.
CUI zu identifizieren ist nur der Anfang. Entscheidend ist, wie Sie diese Daten über jeden Kommunikationskanal schützen. In der Verteidigungsproduktion hängt die Angebotsberechtigung daran, dass die 110 Kontrollen umgesetzt, dokumentiert und im SPRS bewertet sind. Die zusätzliche Bewertung durch einen C3PAO ruht seit dem 13. Juli 2026.
Controlled Unclassified Information (CUI) verteilt sich über E-Mail, Dateifreigaben, Managed File Transfer, Webformulare und die Zusammenarbeit mit Partnern. Jeder Kanal ist eine potenzielle Angriffsfläche und muss nachweisbar abgesichert sein. Einzelne Security-Werkzeuge reichen dafür nicht. Dieser Beitrag zeigt, wie ein durchgängiger CUI-Schutz in der Produktion aussieht. [Faktenstand 17.08.2026, Reform-Empfehlungen im September 2026 abwarten]
Das Wichtigste in Kürze
Verteidigungshersteller müssen CUI über alle Kanäle schützen, um die CMMC-Anforderungen zu erfüllen und angebotsberechtigt zu bleiben. Kern sind eine Zero-Trust-Architektur, die jede Dateninteraktion prüft, datenbewusste Kontrollen, die CUI automatisch klassifizieren und schützen, sowie manipulationssichere Audit-Trails. Die Drittprüfung ruht seit dem 13. Juli 2026, die Selbstbewertung und der Score im SPRS bleiben Pflicht. Ein einheitlicher Schutz über alle Kanäle senkt die Angriffsfläche und hält die Nachweise jederzeit vorlagefähig.
Verteidigungshersteller verarbeiten technische Spezifikationen, Vertragsdetails, Forschungsdaten und Betriebsinformationen, die Angreifer ausnutzen könnten. Die Herausforderung liegt im lückenlosen Schutz über den gesamten Lebenszyklus, weniger im Erkennen. CMMC verlangt den Nachweis über dokumentierte Praktiken, automatisierte Kontrollen und regelmäßige Bewertungen, darunter Zugriffsbeschränkungen nach Rolle und Sensibilität, Verschlüsselung und detaillierte Protokolle.
Zero Trust verlangt für jede Zugriffsanfrage eine Verifikation, unabhängig von Standort oder vorheriger Authentifizierung. In der Produktion beginnt das mit einer Netzwerksegmentierung, die CUI-Systeme von der allgemeinen Infrastruktur isoliert und laterale Bewegung verhindert. Dedizierte Segmente für unterschiedliche Klassifizierungsstufen erhöhen den Schutz.
Die Identitätsprüfung wird kritisch: Mehrfaktor-Authentifizierung für jeden CUI-Zugriff und dynamische Zugriffskontrollen, die Berechtigungen an Risikofaktoren wie Verhaltensmuster, Gerätezustand und Netzwerkstandort anpassen. So führen kompromittierte Anmeldedaten nicht zu dauerhaftem Zugang.
Datenbewusste Kontrollen erkennen und schützen CUI automatisch über Inhaltsanalyse, statt sich auf manuelle Labels zu verlassen. Das ist wichtig, weil in technischen Dokumentationen und Engineering-Zeichnungen CUI eingebettet sein kann. Automatisierte Systeme analysieren Inhalt, Metadaten und Kontext und wenden Verschlüsselung, Zugriffsbeschränkungen und Audit-Anforderungen nach Sensibilität an. Das senkt das Risiko menschlicher Fehler und sorgt für einheitliche Kontrollen über alle Datenflüsse.
Verteidigungshersteller müssen jede CUI-Interaktion dokumentieren: Identitätsprüfungen, Zeitstempel, Änderungen und Übertragungen, manipulationssicher und sofort verfügbar. Wirksam wird das erst über Plattformen und Kanäle hinweg korreliert.
Das Compliance-Monitoring sollte sich in bestehende Abläufe einfügen, ohne kritische Fertigungsprozesse zu stören. Automatisierte Prüfungen an kritischen Punkten wie Dokumentenfreigaben oder Partner-Datenaustausch betten Compliance in den Betrieb ein, statt sie als separate Verwaltungsaufgabe zu behandeln.
Jeder Kanal bringt eigene Anforderungen mit. E-Mail braucht Bedrohungsschutz, der CUI erkennt und automatisch schützt. Filesharing braucht granulare Zugriffskontrollen nach Freigabestufe und Geschäftsbedarf. Beziehungen zu Partnern und Lieferanten erweitern die Angriffsfläche: Nötig sind verschlüsselte Austauschkanäle mit durchgängigem Schutz und einheitlichen Standards, unabhängig von der internen Sicherheitslage des Empfängers. Ein automatisiertes Partner-Onboarding prüft Anmeldedaten und überwacht die fortlaufende Einhaltung.
Warum reichen einzelne Security-Werkzeuge nicht?
Weil CUI über viele Kanäle fließt und CMMC einen lückenlosen, kanalübergreifenden Nachweis verlangt, den fragmentierte Tools nicht liefern.
Ändert die Aussetzung der CMMC-Phase 2 etwas an den Schutzpflichten?
Nein. Ausgesetzt ist seit dem 13. Juli 2026 die Bewertung durch einen C3PAO. Die 110 Kontrollen aus NIST SP 800-171, DFARS 252.204-7012 und die Selbstbewertung mit Score im SPRS gelten unverändert.
Was leistet Zero Trust in der Produktion?
Netzwerksegmentierung isoliert CUI-Systeme, kontinuierliche Identitätsprüfung verhindert laterale Bewegung und dauerhaften Zugang über kompromittierte Konten.
Wie stört das Monitoring die Fertigung nicht?
Indem es sich in bestehende Workflows einfügt und Compliance-Prüfungen an kritischen Prozesspunkten automatisiert.
Wie sichere ich den Datenaustausch mit Partnern?
Über verschlüsselte Kanäle mit einheitlichen Schutzstandards und ein automatisiertes Partner-Onboarding mit laufender Überwachung.
ISEC7 hilft Verteidigungsherstellern, den CUI-Schutz über alle Kanäle in einer stimmigen Architektur zusammenzuführen, mit einheitlichem Monitoring und prüffähiger Dokumentation für die Selbstbewertung und eine spätere C3PAO-Bewertung. ISEC7 ist selbst kein C3PAO und führt keine Zertifizierungsbewertungen durch.
Für den Schutz über E-Mail, Filesharing, Managed File Transfer und Webformulare setzt ISEC7 auf bewährte Technologiepartner. Plattformen wie das Kiteworks Private Content Network liefern daten-bewusste Kontrollen, eine Zero-Trust-Architektur und manipulationssichere Audit-Trails in einem einheitlichen Compliance-Bericht und binden sich in bestehende SIEM-, SOAR- und ITSM-Systeme ein.
Mehr zum Thema: CMMC 2.0 für Verteidigungszulieferer, Übersicht