Fünf entscheidende Schritte zur CMMC-Bereitschaft für deutsche Tier-2-Verteidigungszulieferer
Update: Das Department of War hat die CMMC-Phase-2-Anforderungen am 13. Juli 2026 ausgesetzt. Die verpflichtende Bewertung durch einen akkreditierten C3PAO, geplant ab dem 10. November 2026, findet bis auf Weiteres nicht statt. Ebenfalls ausgesetzt ist Phase 3 mit den Bewertungen durch die DIBCAC. Unverändert gelten die Selbstbewertung nach Phase 1, DFARS 252.204-7012, DFARS 252.204-7021 mit jährlicher Affirmation, die 110 Kontrollen aus NIST SP 800-171 Rev. 2 und die Pflicht zur Einstellung des Scores im SPRS. Eine Reform Task Force prüft das Programm; die Empfehlungen werden im September 2026 erwartet. Quelle: DoD CIO, CMMC.
Für deutsche Tier-2-Verteidigungszulieferer greifen die CMMC-Anforderungen, sobald sie Controlled Unclassified Information (CUI) verarbeiten. Ohne dokumentierte Umsetzung der 110 Kontrollen und einen aktuellen Score im SPRS ist die Angebotsberechtigung gefährdet. Die zusätzliche Bewertung durch einen C3PAO ruht seit dem 13. Juli 2026.
Der Weg zur Nachweisfähigkeit lässt sich in fünf klare Schritte gliedern. Jeder baut auf dem vorherigen auf und adressiert konkrete NIST-SP-800-171-Kontrollen, die in der Selbstbewertung belegt werden müssen. Parallel zahlen die Schritte auf NIS2 und das IT-Sicherheitsgesetz 2.0 ein, deren Anforderungen sich stark überschneiden. [Faktenstand 17.08.2026, Reform-Empfehlungen im September 2026 abwarten]
Das Wichtigste in Kürze
CMMC-Bereitschaft entsteht in fünf Schritten: Asset-Inventar und Datenklassifizierung, Zero-Trust-Zugriff mit Mehrfaktor-Authentifizierung, kontinuierliche Überwachung mit einheitlichen Audit-Trails, Vorfallreaktion sowie prüffähige Compliance-Dokumentation. Die Bewertung durch einen C3PAO ruht seit dem 13. Juli 2026, die Selbstbewertung und der Score im SPRS bleiben Pflicht. Deutsche Tier-2-Zulieferer stehen dabei vor Sonderthemen wie Altsystemen, Datensouveränität und der Koordination mit US-Generalunternehmern. Eine einheitliche Plattform, die die Dokumentation automatisiert, macht den Nachweis jederzeit vorlagefähig.
Schritt 1: Assets inventarisieren und Daten klassifizieren
Wirksame Vorbereitung beginnt mit voller Sicht auf die eigenen Datenflüsse. Zu viele Zulieferer gehen Compliance reaktiv an und entdecken Lücken erst, wenn die Vergabestelle nachfragt. Ihr Inventar muss jedes System erfassen, das CUI verarbeitet, speichert oder überträgt: E-Mail-Server, Dateitransfer, Manufacturing Execution Systems und Kollaborationsplattformen. Dokumentieren Sie auch die Verbindungen zu Partnersystemen, besonders zu Generalunternehmern.
Die Datenklassifizierung verlangt dieselbe Sorgfalt. CUI umfasst technische Spezifikationen, Leistungsdaten und Vertragsdetails aus US-Verteidigungsprogrammen. Etablieren Sie Kennzeichnungsverfahren, die CUI bei der Entstehung erkennen und die Klassifizierung über den Lebenszyklus halten. Deutsche Umgebungen sind oft hybrid: Beachten Sie Souveränitätsvorgaben, die bestimmte CUI-Verarbeitung auf in Deutschland gehostete Infrastruktur beschränken.
Schritt 2: Zero-Trust-Zugriff und Mehrfaktor-Authentifizierung
Fehler in der Zugriffskontrolle gehören zu den häufigsten CMMC-Lücken. Perimeter-Modelle greifen zu kurz, sobald CUI zwischen Organisationen fließt. Zero Trust behandelt jede Anfrage als potenziell kompromittiert, unabhängig von Quelle und Anmeldedaten.
Setzen Sie Mehrfaktor-Authentifizierung in allen CUI-Systemen ein, auch in älteren Fertigungssystemen, die historisch auf gemeinsamen Konten liefen. Ergänzen Sie rollenbasierte Zugriffskontrollen nach dem Prinzip der minimalen Rechte und eine verschärfte Aufsicht über privilegierte Konten. Für Altsysteme, die keine moderne Authentifizierung unterstützen, helfen kompensierende Kontrollen wie Netzwerksegmentierung oder Gateway-Lösungen. Dokumentieren Sie diese sorgfältig, denn risikobasierte Alternativen werden in der Bewertung geprüft.
Schritt 3: Kontinuierliche Überwachung und Audit-Trails
Echtzeit-Sicht auf CUI-Aktivitäten ist zugleich Sicherheitsbetrieb und Compliance-Nachweis. Setzen Sie auf ein daten-bewusstes Monitoring, das den CUI-Kontext versteht, statt auf generische Netzwerkanalyse. Wichtig ist eine einheitliche Protokollierung über alle CUI-Systeme hinweg, mit Benutzeridentität, Zeitstempel, betroffener Ressource und Aktion.
Die Protokollformate sollten mit vorhandenen SIEM-Plattformen wie ArcSight oder Splunk kompatibel sein, damit die CMMC-Überwachung keine parallele Verwaltungslast erzeugt. Achten Sie auf Echtzeit-Streaming: Verzögerte Audit-Trails, wie sie Cloud-Plattformen erzeugen können, reißen Lücken in die geforderte kontinuierliche Überwachung.
Schritt 4: Vorfallreaktion und Wiederherstellung
Fähigkeiten zur Vorfallreaktion belegen Reife über die reine Technik hinaus. Bewertet wird, ob Sie CUI-Vorfälle erkennen, eindämmen und beheben können. Entwickeln Sie Playbooks für typische Szenarien wie Schadsoftware, Datenexfiltration, Insider-Bedrohungen und Lieferkettenkompromittierungen, und schließen Sie die Meldepflichten unter CMMC und NIS2 ein.
Testen Sie die Verfahren in Tabletop-Übungen. Für deutsche Zulieferer besonders relevant ist die grenzüberschreitende Koordination: Kommunikationsprotokolle mit US-Generalunternehmern, die Transparenzpflichten mit deutschem Datenschutz in Einklang bringen, und eine rechtliche Prüfung von Offenlegungen, bevor sie sensible Details preisgeben.
Schritt 5: Prüffähige Compliance-Dokumentation
Jede Bewertung verlangt umfangreiche Belege für Umsetzung und Wirksamkeit der Kontrollen, die Selbstbewertung ebenso wie eine spätere Prüfung durch einen C3PAO. Entwickeln Sie Verantwortungsmatrizen, die klar trennen, welche Kontrollen Sie selbst erbringen und welche über Technologieanbieter oder Generalunternehmer laufen. Ordnen Sie die NIST-SP-800-171-Kontrollen konkreten Umsetzungen, Richtlinien und Verfahren zu.
Setzen Sie auf kontinuierliche Messung statt punktueller Bewertung, damit Kontroll-Lücken sofort sichtbar werden. Plattformen mit bestehender FedRAMP-Autorisierung liefern hier einen Vorteil: FedRAMP bildet das Fundament der Level-2-Anforderungen, und vorvalidierte Kontroll-Belege verkürzen die Zusammenstellung der Nachweise.
Häufige Fragen zur CMMC-Bereitschaft
Was sind die fünf Schritte zur CMMC-Bereitschaft?
Asset-Inventar und Datenklassifizierung, Zero-Trust-Zugriff mit MFA, kontinuierliche Überwachung mit Audit-Trails, Vorfallreaktion und prüffähige Compliance-Dokumentation.
Warum betrifft CMMC Tier-2-Zulieferer?
Weil Generalunternehmer die Anforderungen entlang ihrer Lieferkette weitergeben, sobald CUI im Spiel ist.
Lohnt sich die Vorbereitung, obwohl Phase 2 ausgesetzt ist?
Ja. Ausgesetzt ist die Bewertung durch einen C3PAO, nicht die Pflicht. Die 110 Kontrollen aus NIST SP 800-171, DFARS 252.204-7012 und die Selbstbewertung mit Score im SPRS gelten unverändert. Die Selbstauskunft trägt seit dem 13. Juli 2026 das volle Gewicht.
Was tun mit Altsystemen ohne MFA?
Kompensierende Kontrollen wie Netzwerksegmentierung oder Gateways einsetzen und diese für die Bewertung sauber dokumentieren.
Hilft die Vorbereitung auch bei NIS2?
Ja. Die Schritte adressieren technische Anforderungen, die auch NIS2 und das IT-Sicherheitsgesetz 2.0 stellen.
Die fünf Schritte mit ISEC7 umsetzen
Die fünf Schritte sind ein Programm, kein Werkzeugkauf. ISEC7 begleitet deutsche Tier-2-Zulieferer von der Gap-Analyse über die Umsetzung der Kontrollen bis zur prüffähigen Dokumentation für die Selbstbewertung und eine spätere C3PAO-Bewertung, abgestimmt auf hybride Umgebungen, Altsysteme und BSI-Vorgaben. ISEC7 ist selbst kein C3PAO und führt keine Zertifizierungsbewertungen durch.
Für den CUI-Schutz über alle Kanäle setzt ISEC7 auf bewährte Technologiepartner. Plattformen wie das Kiteworks Private Content Network bündeln sichere Kommunikation und Dateitransfer in einem einheitlichen Audit-Trail und liefern die Belege für die Nachweisführung ohne manuelle Sammelarbeit. Damit liegt die Dokumentation vor, wenn eine Vergabestelle danach fragt.
Mehr zum Thema: CMMC 2.0 für Verteidigungszulieferer, Übersicht
