Compliance-Software für CMMC

CMMC (Cybersecurity Maturity Model Certification) ist das Programm des Department of War, also des US-Verteidigungsministeriums, mit Cybersicherheitsanforderungen für Rüstungsauftragnehmer und ihre Unterauftragnehmer. Derzeit läuft nur Phase 1. Phase II sollte am 10. November 2026 beginnen. In einer Mitteilung vom 13. Juli 2026 hat das Department sie ausgesetzt und keinen neuen Termin genannt. Maßgeblich bleiben die Anforderungen an die Selbstbewertung aus Phase 1, die seit dem 10. November 2025 gelten. DFARS 252.204-7012 regelt weiterhin, wie Covered Defense Information zu schützen und zu melden ist. Für einen Auftragnehmer heißt das heute: eine Selbstbewertung, die einer Nachprüfung standhält, und eine aktuelle Punktzahl im Supplier Performance Risk System (SPRS).

Wen CMMC betrifft

CMMC schützt zwei Kategorien von Informationen. Federal Contract Information (FCI) sind die grundlegenden Daten, die ein Auftragnehmer im Rahmen eines Regierungsauftrags erzeugt oder erhält. Ausgenommen sind bereits öffentliche Informationen und reine Transaktionsdaten. Controlled Unclassified Information (CUI) ist die sensiblere Kategorie: Informationen, die eine Behörde laut Gesetz, Verordnung oder regierungsweiter Richtlinie schützen muss.

Die Anforderung reicht durch die ganze Lieferkette. Ein Unterauftragnehmer, der FCI oder CUI für einen Hauptauftragnehmer verarbeitet, braucht einen eigenen CMMC-Status, bevor der Hauptauftragnehmer ihm einen Auftrag erteilen darf. Ein Hauptauftragnehmer, der nur mit FCI arbeitet, braucht mindestens eine eigene Selbstbewertung auf Level 1.

Die drei Level

Level 1 deckt den grundlegenden Schutz von FCI ab: eine jährliche Selbstbewertung mit Bestätigung. Das Department of War beziffert die Zahl der Anforderungen dafür auf 15, entnommen aus FAR 52.204-21.

Level 2 deckt den weitergehenden Schutz von CUI ab, gemessen an den 110 Anforderungen aus NIST SP 800-171 Revision 2. Die Prüfung erfolgt entweder per Selbstbewertung alle drei Jahre oder durch eine CMMC Third-Party Assessment Organization (C3PAO), also eine akkreditierte externe Prüforganisation. Was gilt, hängt von der jeweiligen Ausschreibung ab.

Level 3 ergänzt die 110 Anforderungen von Level 2 um die erweiterten Anforderungen aus NIST SP 800-172. Diese Prüfung führt nur die Regierung durch, über DIBCAC.

Punktzahlen, POA&Ms und Bestätigungen

Ein Status „Conditional“ auf Level 2 oder Level 3 setzt mindestens 80 % der Höchstpunktzahl voraus. Nur die Anforderungen, die die Regel zulässt, dürfen in einen Plan of Action and Milestones (POA&M) aufgenommen werden, also einen Maßnahmenplan mit Fristen. Jeder Punkt in diesem POA&M muss innerhalb von 180 Tagen nach dem Status „Conditional“ abgeschlossen sein. Das bestätigt ein POA&M Closeout Assessment.

Level 1 erlaubt überhaupt keinen POA&M, die 15 Anforderungen müssen also von Anfang an vollständig erfüllt sein. Ein Status „Final“ gilt drei Jahre, gerechnet ab dem Datum des ursprünglichen Status „Conditional“. Jeder Auftragnehmer muss die Einhaltung jährlich bestätigen, sonst erlischt der Status.

Die zwei Regeln

Die CMMC Program Rule in 32 CFR Part 170 trat am 16. Dezember 2024 in Kraft. Sie legt die Level, die Punktevergabe und die Abläufe rund um den POA&M fest. Die DFARS-Beschaffungsregel mit der Klausel 252.204-7021 trat am 10. November 2025 in Kraft. Über diese Regel wird ein CMMC-Status zur Anforderung in einer Ausschreibung. Mit ihrem Inkrafttreten begann Phase 1.

Prüfende und die Cyber AB

Eine C3PAO führt die zertifizierte Prüfung auf Level 2 durch, mit den zertifizierten Fachleuten und Prüfenden, die sie beschäftigt (CCPs und CCAs). Prüfungen auf Level 3 bleiben bei DIBCAC. ISACA zertifiziert und schult diese Prüfenden inzwischen im Auftrag des Programms. Die Cyber AB akkreditiert die C3PAOs selbst und betreibt den Marketplace, über den Auftragnehmer eine C3PAO finden. Eine Registered Provider Organization (RPO) berät bei der Vorbereitung auf eine Prüfung, darf aber selbst keine durchführen.

Was CMMC kostet

Die Regulierungsfolgenabschätzung des Department of War, die zusammen mit der CMMC Program Rule im Federal Register erschienen ist, beziffert die gängigsten Prüfungswege in Dollar. Anbieter veranschlagen einen vollständigen ersten Zyklus auf Level 2 mit 50.000 bis 300.000 USD oder mehr.

Welche Plattformen CMMC abdecken

Alle sieben auf The Audit Trail bewerteten Plattformen führen CMMC in ihrer Framework-Abdeckung. In der Gesamtwertung liegt Sprinto mit 84 Punkten vorn, vor Vanta (82), Drata (76), Secureframe (75), Scrut (72), OneTrust (64) und Thoropass (52). Das Ranking der CMMC-Compliance-Software bewertet, was jede Plattform speziell für CMMC leistet.

Passende Rankings

• CMMC-Compliance-Plattformen im Ranking
• GRC-Plattformen für Risiko, Richtlinien und Audit

Leitfäden zu CMMC

• CMMC Level 2: Anforderungen, Punktevergabe und Zeitplan (Englisch): CMMC Level 2 umfasst 110 Anforderungen aus NIST SP 800-171. Ein Status „Conditional“ verlangt 80 % von 110 Punkten, also 88, und einen POA&M, der innerhalb von 180 Tagen abgeschlossen ist.
• Kosten der CMMC-Zertifizierung: die Schätzung des Department of War und was Anbieter verlangen (Englisch): Das Department of War beziffert eine C3PAO-Prüfung auf CMMC Level 2 auf 101.752 USD für ein Kleinunternehmen und 112.345 USD für andere Unternehmen. Anbieter nennen für die Gebühr 15.000 bis über 100.000 USD.
• Was ist eine C3PAO? Wie viele es gibt und wie Sie die richtige wählen: Eine C3PAO zertifiziert nach CMMC Level 2. Die Cyber AB meldete im Juni 2026 107 autorisierte C3PAOs für 76.598 Organisationen, die eine brauchen könnten.