Einleitung
CMMC ist von einem Regelungsvorschlag zu einer durchsetzbaren Vertragsanforderung geworden. Im November 2025 in das Defense Federal Acquisition Regulation Supplement aufgenommen, hat die Cybersecurity Maturity Model Certification nun ein festes Datum für ihre nächste Phase: Ab dem 10. November 2026 kann das Verteidigungsministerium die Vergabe von Aufträgen für jede Tätigkeit mit kontrollierten, nicht eingestuften Informationen (Controlled Unclassified Information, CUI) an eine CMMC-Level-2-Zertifizierung durch Dritte knüpfen, und bei Aufträgen mit der höchsten Sensibilität an eine Level-3-Bewertung. Das betrifft nicht nur die USA. Jede Organisation in der Lieferkette der Verteidigung - einschließlich europäischer Unterauftragnehmer, Technologieanbieter und Dienstleister, die US-Verteidigungsprogramme unterstützen - fällt unter die Anforderung, wenn CUI ihre Systeme durchläuft.
Die drei Level im Überblick
- Level 1: grundlegender Schutz von Informationen aus Bundesaufträgen (Federal Contract Information), überprüft durch eine jährliche Selbstbewertung
- Level 2: vollständige Ausrichtung an allen 110 Kontrollen aus NIST SP 800-171; ab Phase 2 ist in der Regel eine Bewertung durch Dritte erforderlich, durchgeführt von einer Certified Third-Party Assessment Organization (C3PAO), wobei für einen Teil der Aufträge eine Selbstbewertung alle drei Jahre zulässig ist, ergänzt um jährliche Bestätigungen
- Level 3: die höchste Stufe, bewertet durch das Defense Industrial Base Cybersecurity Assessment Center (DIBCAC), den sensibelsten Programmen vorbehalten
Warum das auch außerhalb der USA zählt
CMMC wird per Vertragsklausel entlang der Lieferkette weitergegeben, nicht nach Geografie. Ein europäischer Systemintegrator, Cloud-Service-Anbieter oder Komponentenhersteller, der einen US-Hauptauftragnehmer unterstützt, ist an dieselbe Anforderung gebunden wie ein in den USA ansässiger Unterauftragnehmer, wenn kontrollierte, nicht eingestufte Informationen in seine Umgebung gelangen. Für europäische Unternehmen, die Geschäft im Umfeld der US-Verteidigung anstreben - ein erklärtes Wachstumsziel von Organisationen, die in den amerikanischen Markt expandieren - ist die CMMC-Bereitschaft keine ferne Frage der US-Politik mehr. Sie ist eine Voraussetzung, die darüber entscheidet, ob ein Angebot nach dem Inkrafttreten von Phase 2 überhaupt für eine Vergabe in Betracht kommt.
Das Nachweisproblem hinter 110 Kontrollen
Die 110 Kontrollen aus NIST SP 800-171 gliedern sich in 320 einzelne Bewertungsziele, und ein C3PAO-Assessor erwartet, dass jedes davon durch Nachweise belegt ist, nicht durch bloße Erklärungen. Organisationen, die sich auf Level 2 vorbereiten, berichten übereinstimmend, dass die Dokumentation von Audit-Logs, Zugriffsaufzeichnungen und Konfigurationshistorie über 14 Kontrollfamilien hinweg der größte Aufwand der gesamten Zertifizierung ist - größer als die Umsetzung der Kontrollen selbst. Eine Kontrolle, die zwar existiert, aber für den Bewertungszeitraum keinen belastbaren Nachweispfad liefern kann, wird nicht bestehen.
Den Nachweispfad aufbauen, bevor Phase 2 greift
Organisationen, die CMMC-Nachweise als etwas betrachten, das in den Wochen vor einer geplanten C3PAO-Bewertung zusammengestellt wird, unterschätzen den Aufwand durchweg. Bewertungsziele, die sich auf Zugriffshistorie, Protokolle von Konfigurationsänderungen und Aufzeichnungen zu Vorfällen beziehen, erfordern einen kontinuierlichen Pfad, der den gesamten Bewertungszeitraum zurückreicht - keine nachträglich angefertigte Momentaufnahme. Diesen Pfad jetzt zu beginnen, noch vor der Frist im November 2026, macht den Unterschied zwischen einer Bewertung, die auf vorhandene Nachweise zurückgreift, und einer, bei der Monate an Historie aus dem Gedächtnis und aus voneinander getrennten Systemen rekonstruiert werden müssen.
Für europäische Organisationen, die Aufträge im Umfeld der US-Verteidigung anstreben, ist die CMMC-Bereitschaft heute eine Voraussetzung für den Marktzugang, keine Überlegung für die Zukunft. Sehen Sie, wie ROOTKey kontinuierliche, auditfähige Nachweispfade für Compliance-Frameworks aufbaut, darunter NIST SP 800-171.