# Compliance-Software für CMMC **URL:** https://theauditrail.com/de/frameworks/cmmc/ **Veröffentlicht:** 2026-09-23 **Aktualisiert:** 2026-10-06 **Autor:** Redaktion von The Audit Trail > CMMC legt Cybersicherheitsanforderungen für Rüstungsauftragnehmer fest, die CUI verarbeiten. Sieben Compliance-Plattformen bewertet. --- Framework # Compliance-Software für CMMC Zertifizierungsprogramm des Department of War mit Cybersicherheitsanforderungen für Rüstungsauftragnehmer, die Federal Contract Information und Controlled Unclassified Information verarbeiten. ## Bewertete Plattformen für CMMC Compliance-Automatisierungsplattformen nach Bewertungsschema-Punktzahl Rang Plattform Punktzahl Bereich Bewertet am Bewertung 1\. Platz ![Sprinto-Logo](https://theauditrail.com/logos/sprinto.png) [Sprinto](https://theauditrail.com/de/vendors/sprinto/) Insgesamt am besten für ein erstes Programm mit mehreren Frameworks 84 Stark 11\. Oktober 2026 [Bewertung →](https://theauditrail.com/de/vendors/sprinto/) 2\. Platz ![Vanta-Logo](https://theauditrail.com/logos/vanta.png) [Vanta](https://theauditrail.com/de/vendors/vanta/) Am besten für eine große Auswahl an Integrationen und Frameworks 82 Stark 11\. Oktober 2026 [Bewertung →](https://theauditrail.com/de/vendors/vanta/) 3\. Platz ![Drata-Logo](https://theauditrail.com/logos/drata.png) [Drata](https://theauditrail.com/de/vendors/drata/) Am besten für Teams, die eigene Tests bauen wollen 76 Stark 4\. Oktober 2026 [Bewertung →](https://theauditrail.com/de/vendors/drata/) 4\. Platz ![Secureframe-Logo](https://theauditrail.com/logos/secureframe.png) [Secureframe](https://theauditrail.com/de/vendors/secureframe/) Am besten für Frameworks der US-Bundesverwaltung und der Rüstungsbranche 75 Stark 11\. Oktober 2026 [Bewertung →](https://theauditrail.com/de/vendors/secureframe/) 5\. Platz ![Scrut-Logo](https://theauditrail.com/logos/scrut.png) [Scrut](https://theauditrail.com/de/vendors/scrut/) Am besten für regionale Frameworks außerhalb der USA 72 Stark 11\. Oktober 2026 [Bewertung →](https://theauditrail.com/de/vendors/scrut/) 6\. Platz ![OneTrust-Logo](https://theauditrail.com/logos/onetrust.png) [OneTrust](https://theauditrail.com/de/vendors/onetrust/) Am besten für Unternehmen, die Datenschutz bereits mit OneTrust betreiben 64 Solide 11\. Oktober 2026 [Bewertung →](https://theauditrail.com/de/vendors/onetrust/) 7\. Platz ![Thoropass-Logo](https://theauditrail.com/logos/thoropass.png) [Thoropass](https://theauditrail.com/de/vendors/thoropass/) Am besten für Audit und Plattform in einem einzigen Auftrag 52 Eingeschränkt 11\. Oktober 2026 [Bewertung →](https://theauditrail.com/de/vendors/thoropass/) CMMC (Cybersecurity Maturity Model Certification) ist das Programm des Department of War, also des US-Verteidigungsministeriums, mit Cybersicherheitsanforderungen für Rüstungsauftragnehmer und ihre Unterauftragnehmer. Derzeit läuft nur Phase 1. Phase II sollte am 10. November 2026 beginnen. In einer Mitteilung vom 13. Juli 2026 hat das Department sie ausgesetzt und keinen neuen Termin genannt. Maßgeblich bleiben die Anforderungen an die Selbstbewertung aus Phase 1, die seit dem 10. November 2025 gelten. DFARS 252.204-7012 regelt weiterhin, wie Covered Defense Information zu schützen und zu melden ist. Für einen Auftragnehmer heißt das heute: eine Selbstbewertung, die einer Nachprüfung standhält, und eine aktuelle Punktzahl im Supplier Performance Risk System (SPRS). ## Wen CMMC betrifft CMMC schützt zwei Kategorien von Informationen. Federal Contract Information (FCI) sind die grundlegenden Daten, die ein Auftragnehmer im Rahmen eines Regierungsauftrags erzeugt oder erhält. Ausgenommen sind bereits öffentliche Informationen und reine Transaktionsdaten. Controlled Unclassified Information (CUI) ist die sensiblere Kategorie: Informationen, die eine Behörde laut Gesetz, Verordnung oder regierungsweiter Richtlinie schützen muss. Die Anforderung reicht durch die ganze Lieferkette. Ein Unterauftragnehmer, der FCI oder CUI für einen Hauptauftragnehmer verarbeitet, braucht einen eigenen CMMC-Status, bevor der Hauptauftragnehmer ihm einen Auftrag erteilen darf. Ein Hauptauftragnehmer, der nur mit FCI arbeitet, braucht mindestens eine eigene Selbstbewertung auf Level 1. ## Die drei Level Level 1 deckt den grundlegenden Schutz von FCI ab: eine jährliche Selbstbewertung mit Bestätigung. Das Department of War beziffert die Zahl der Anforderungen dafür auf 15, entnommen aus FAR 52.204-21. [Level 2](https://theauditrail.com/frameworks/cmmc/level-2/) deckt den weitergehenden Schutz von CUI ab, gemessen an den 110 Anforderungen aus NIST SP 800-171 Revision 2. Die Prüfung erfolgt entweder per Selbstbewertung alle drei Jahre oder durch eine CMMC Third-Party Assessment Organization (C3PAO), also eine akkreditierte externe Prüforganisation. Was gilt, hängt von der jeweiligen Ausschreibung ab. Level 3 ergänzt die 110 Anforderungen von Level 2 um die erweiterten Anforderungen aus NIST SP 800-172. Diese Prüfung führt nur die Regierung durch, über DIBCAC. ## Punktzahlen, POA&Ms und Bestätigungen Ein Status „Conditional“ auf Level 2 oder Level 3 setzt mindestens 80 % der Höchstpunktzahl voraus. Nur die Anforderungen, die die Regel zulässt, dürfen in einen Plan of Action and Milestones (POA&M) aufgenommen werden, also einen Maßnahmenplan mit Fristen. Jeder Punkt in diesem POA&M muss innerhalb von 180 Tagen nach dem Status „Conditional“ abgeschlossen sein. Das bestätigt ein POA&M Closeout Assessment. Level 1 erlaubt überhaupt keinen POA&M, die 15 Anforderungen müssen also von Anfang an vollständig erfüllt sein. Ein Status „Final“ gilt drei Jahre, gerechnet ab dem Datum des ursprünglichen Status „Conditional“. Jeder Auftragnehmer muss die Einhaltung jährlich bestätigen, sonst erlischt der Status. ## Die zwei Regeln Die CMMC Program Rule in 32 CFR Part 170 trat am 16. Dezember 2024 in Kraft. Sie legt die Level, die Punktevergabe und die Abläufe rund um den POA&M fest. Die DFARS-Beschaffungsregel mit der Klausel 252.204-7021 trat am 10. November 2025 in Kraft. Über diese Regel wird ein CMMC-Status zur Anforderung in einer Ausschreibung. Mit ihrem Inkrafttreten begann Phase 1. ## Prüfende und die Cyber AB Eine C3PAO führt die zertifizierte Prüfung auf Level 2 durch, mit den zertifizierten Fachleuten und Prüfenden, die sie beschäftigt (CCPs und CCAs). Prüfungen auf Level 3 bleiben bei DIBCAC. ISACA zertifiziert und schult diese Prüfenden inzwischen im Auftrag des Programms. Die Cyber AB akkreditiert die C3PAOs selbst und betreibt den Marketplace, über den Auftragnehmer eine C3PAO finden. Eine Registered Provider Organization (RPO) berät bei der Vorbereitung auf eine Prüfung, darf aber selbst keine durchführen. ## Was CMMC kostet Die Regulierungsfolgenabschätzung des Department of War, die zusammen mit der CMMC Program Rule im Federal Register erschienen ist, beziffert die gängigsten Prüfungswege in Dollar. Anbieter veranschlagen einen vollständigen ersten Zyklus auf Level 2 mit [50.000 bis 300.000 USD oder mehr](https://theauditrail.com/frameworks/cmmc/cost/). Prüfung Unternehmensgröße Prüfung und Bestätigung Jährliche Folgebestätigung Selbstbewertung Level 1 Kleinunternehmen 5.977 USD 560 USD Selbstbewertung Level 1 Andere Unternehmen 4.042 USD 584 USD Selbstbewertung Level 2 Kleinunternehmen 34.277 USD 1.459 USD Selbstbewertung Level 2 Andere Unternehmen 43.403 USD 2.712 USD Zertifizierung Level 2 durch eine C3PAO Kleinunternehmen 101.752 USD 1.459 USD Zertifizierung Level 2 durch eine C3PAO Andere Unternehmen 112.345 USD 2.712 USD ## Welche Plattformen CMMC abdecken Alle sieben auf The Audit Trail bewerteten Plattformen führen CMMC in ihrer Framework-Abdeckung. In der Gesamtwertung liegt Sprinto mit 84 Punkten vorn, vor Vanta (82), Drata (76), Secureframe (75), Scrut (72), OneTrust (64) und Thoropass (52). Das [Ranking der CMMC-Compliance-Software](https://theauditrail.com/de/best/cmmc-compliance-software/) bewertet, was jede Plattform speziell für CMMC leistet. ## Passende Rankings - [CMMC-Compliance-Plattformen im Ranking](https://theauditrail.com/de/best/cmmc-compliance-software/) - [GRC-Plattformen für Risiko, Richtlinien und Audit](https://theauditrail.com/de/best/grc-software/) ## Leitfäden zu CMMC - [CMMC Level 2: Anforderungen, Punktevergabe und Zeitplan](https://theauditrail.com/frameworks/cmmc/level-2/) (Englisch): CMMC Level 2 umfasst 110 Anforderungen aus NIST SP 800-171. Ein Status „Conditional“ verlangt 80 % von 110 Punkten, also 88, und einen POA&M, der innerhalb von 180 Tagen abgeschlossen ist. - [Kosten der CMMC-Zertifizierung: die Schätzung des Department of War und was Anbieter verlangen](https://theauditrail.com/frameworks/cmmc/cost/) (Englisch): Das Department of War beziffert eine C3PAO-Prüfung auf CMMC Level 2 auf 101.752 USD für ein Kleinunternehmen und 112.345 USD für andere Unternehmen. Anbieter nennen für die Gebühr 15.000 bis über 100.000 USD. - [Was ist eine C3PAO? Wie viele es gibt und wie Sie die richtige wählen](https://theauditrail.com/de/frameworks/cmmc/c3pao/): Eine C3PAO zertifiziert nach CMMC Level 2. Die Cyber AB meldete im Juni 2026 107 autorisierte C3PAOs für 76.598 Organisationen, die eine brauchen könnten.