# Was ist eine C3PAO?

**URL:** https://theauditrail.com/de/frameworks/cmmc/c3pao/
**Published:** 2026-10-02
**Modified:** 2026-10-11
**Author:** The Audit Trail editorial desk

> Eine C3PAO führt CMMC-Level-2-Zertifizierungsprüfungen durch. Die Cyber AB meldete im Juni 2026 107, bei 76.598 Organisationen.

---

CMMC Leitfaden

# Was ist eine C3PAO? Wie viele es gibt und wie Sie die richtige wählen

Eine C3PAO führt Zertifizierungsprüfungen für CMMC Level 2 durch. Die Cyber AB meldete im Juni 2026 107 autorisierte C3PAOs für 76.598 Organisationen.

Redaktion von The Audit Trail

Aktualisiert 11. Oktober 2026 · Erstmals veröffentlicht 2. Oktober 2026

[Einige Anbieter bezahlen uns für eine Bewertung oder einen Eintrag. Eine Zahlung ändert nie eine Punktzahl, einen Rang oder ein Fazit.](https://theauditrail.com/how-we-make-money/)

Auf einen Blick

-   Eine C3PAO ist die Firma, die CMMC-Zertifizierungen auf Level 2 durchführt.
-   Die Cyber AB meldete im Juni 2026 insgesamt 107 autorisierte C3PAOs.
-   Nach der Bedarfsschätzung des Department of War kommen etwa 716 Organisationen auf eine C3PAO.
-   Das Department beziffert die Level-2-Zertifizierung eines kleinen Unternehmens auf 101.752 USD.
-   Phase II ist ausgesetzt, daher gilt heute die Selbstbewertung.

Eine C3PAO (CMMC Third-Party Assessment Organization) ist die autorisierte Organisation, die eine Zertifizierungsprüfung für CMMC Level 2 durchführt. Sie prüft Auftragnehmer mit den zertifizierten Fachleuten und Assessoren, die sie beschäftigt, den CCPs und CCAs. Im Juni 2026 meldete die Cyber AB 107 autorisierte C3PAOs. Das Department of War schätzt, dass 76.598 Organisationen eine Zertifizierungsprüfung für Level 2 brauchen werden. Auf jede C3PAO kommen damit etwa 716 Organisationen.

Compliance-Software bereitet einen Auftragnehmer auf die Prüfung vor, die C3PAO führt sie durch. Die Bedarfszahl ist vorerst eine Planung. Das Department of War hat Phase II [des CMMC-Programms](https://theauditrail.com/frameworks/cmmc/) am 13. Juli 2026 ausgesetzt, und die Selbstbewertung aus Phase 1 bleibt die geltende Regel.

## Was eine C3PAO macht

Für jedes CMMC-Level ist eine andere Stelle zuständig:

-   **Level 1** ist eine jährliche Selbstbewertung der grundlegenden Schutzmaßnahmen für Vertragsinformationen der US-Bundesregierung.
-   **[Level 2](https://theauditrail.com/frameworks/cmmc/level-2/)** umfasst die 110 Anforderungen aus NIST SP 800-171 Revision 2. Ein Auftragnehmer erfüllt es mit einer Selbstbewertung alle drei Jahre oder mit einer Zertifizierungsprüfung durch eine C3PAO, je nachdem, was die Ausschreibung verlangt.
-   **Level 3** ergänzt erweiterte Anforderungen aus NIST SP 800-172. Diese Prüfung führt die Regierung über DIBCAC durch.

Die Aufgabe der C3PAO ist die Zertifizierungsprüfung auf Level 2. Die Cyber AB hält Prüfer- und Beraterrollen getrennt. Eine Registered Practitioner Organization (RPO) berät bei der Vorbereitung und führt keine zertifizierten Prüfungen durch. ISACA ist inzwischen die autorisierte Stelle für die Zertifikate CCP, CCA und Lead CCA der Assessoren.

Ein Auftragnehmer besteht, wenn er alle 110 Anforderungen erfüllt. Bestanden hat auch, wer mindestens 80 % erreicht und nur zulässige Lücken offen lässt. Das bringt den Status „Conditional“ und einen Plan of Action and Milestones (POA&M), also einen Maßnahmenplan mit Fristen. Jeder POA&M-Punkt muss innerhalb von 180 Tagen geschlossen sein, bestätigt durch eine zweite Prüfung, das POA&M Closeout Assessment. Der Status „Final“ gilt drei Jahre, und der Auftragnehmer bestätigt die Einhaltung jedes Jahr in SPRS.

## Wie viele C3PAOs es gibt

Die Cyber AB meldete im Juni 2026 insgesamt 107 autorisierte C3PAOs, laut der [Zusammenfassung ihres Town Halls vom Juni 2026](https://www.cmmc.com/newsroom/cyber-ab-town-hall-06-2026). Die Zahl wächst mit jeder neuen Autorisierung: Im März 2026 waren es 103. Die Schätzung des Department selbst, in Tabelle 5 der Final Rule zu 32 CFR Part 170, beziffert den Bedarf auf 76.598 Organisationen, die eine Zertifizierungsprüfung für Level 2 brauchen. Davon sind 56.689 kleine Unternehmen und 19.909 Unternehmen, die nicht als klein gelten.

Quelle

C3PAOs

Organisationen pro C3PAO

Cyber AB, Juni 2026

107

etwa 716

## Kapazität im Spitzenjahr

Das Modell des Department führt Zertifizierungen für Level 2 über vier Jahre ein. Es rechnet mit 517 neuen Zertifizierungen in Jahr 1, 2.599 in Jahr 2, 8.666 in Jahr 3 und 16.610 in Jahr 4. Laut der Regel hat das Department Jahr 4 als Spitzenjahr gewählt, gestützt auf das erwartete Wachstum des CMMC-Ökosystems: „based on the projected capacity of the CMMC Ecosystem to grow.“ Die aktuelle Zahl zeigt dieses Ökosystem so, wie es heute dasteht.

Gemessen an der Zahl vom Juni ergibt der Wert für Jahr 4 etwa 155 Zertifizierungen pro C3PAO in einem einzigen Jahr. Diese Quote teilt den Bedarf des Department durch das heutige Angebot. Prüfungsdauer, Teamgröße und neu hinzukommende C3PAOs bleiben außen vor.

## Was die Aussetzung von Phase II ändert

Phase II hätte bei betroffenen Verträgen einen Status für Level 2 (C3PAO) zur Bedingung für den Zuschlag gemacht. Geplant war sie für den 10. November 2026. Am 13. Juli 2026 hat das Department of War sie ausgesetzt und eine Taskforce für die Reform von CMMC eingerichtet. Ein neuer Starttermin ist nicht angekündigt.

Phase 1 bleibt in Kraft. Sie begann am 10. November 2025 und verlangt bei betroffenen Verträgen einen Status aus einer Selbstbewertung für Level 1 oder Level 2. Die Regel erlaubt dem Department auch, in Phase 1 nach eigenem Ermessen einen Status für Level 2 (C3PAO) zu verlangen. Solange Phase II ausgesetzt ist, will das Department NIST 800-171 Revision 2 nach eigenen Angaben über Selbstbewertungen und ausgewählte Prüfungen unter Leitung der Regierung durchsetzen.

Damit sind die 76.598 eine Planungsschätzung für die vollständige Einführung. Sie zeigen den Bedarf, den das Department modelliert hat, und keine heute geltende Vertragsanforderung entspricht ihm.

## So wählen Sie eine C3PAO aus

Die ersten Fragen beantwortet der Cyber AB Marketplace:

-   **Rolle bestätigen.** Achten Sie in der Listung der Firma auf die Rolle C3PAO. Eine RPO ist eine Beratungsrolle und kann keine zertifizierte Prüfung durchführen.
-   **Status prüfen.** Jede Listung trägt die Markierung „active and in good standing“.
-   **Personen prüfen.** CCAs und Lead CCAs haben eigene Listungen im Marketplace. Fragen Sie, welche Assessoren an Ihrer Prüfung arbeiten, und schlagen Sie sie dort nach.
-   **Closeout einplanen.** Ein Status „Conditional“ bringt einen POA&M, 180 Tage Zeit zum Schließen und eine zweite Prüfung. Fragen Sie vor der Unterschrift, wie die Firma das POA&M Closeout Assessment handhabt.

Planen Sie das Budget mit den [Zahlen des Department](https://theauditrail.com/frameworks/cmmc/cost/). Es beziffert die Kosten, um eine Zertifizierungsprüfung auf Level 2 samt Bestätigung zu durchlaufen, auf 101.752 USD für ein kleines Unternehmen und auf 112.345 USD für ein Unternehmen, das nicht als klein gilt. Über drei Jahre mit jährlichen Bestätigungen kommt es auf 104.670 USD und 117.768 USD.

Manche Plattformen nennen C3PAO-Partner. Vanta nennt A-LIGN und Schellman.

## Wo Compliance-Software ins Spiel kommt

Die Plattformen in unserem [Ranking der CMMC-Compliance-Software](https://theauditrail.com/best/cmmc-compliance-software/) bereiten die Nachweise, den System Security Plan (SSP) und den POA&M vor. Keine von ihnen führt die Prüfung durch, sie bleibt bei der C3PAO. Bei SOC 2 ist die Arbeit genauso verteilt: [Das Audit führt eine CPA-Firma durch, also eine zugelassene US-Wirtschaftsprüfungsgesellschaft](https://theauditrail.com/frameworks/soc-2/who-performs-a-soc-2-audit/), nachdem die Software das Unternehmen vorbereitet hat.

**[Vanta](https://theauditrail.com/de/vendors/vanta/)** nennt SSP-Erstellung, POA&M-Verwaltung und einen Monitor für den SPRS-Score als Funktionen. Vanta arbeitet bei der Vorbereitung mit RPOs aus der Liste der Cyber AB und bei der Zertifizierung mit C3PAOs zusammen, namentlich mit A-LIGN und Schellman.

**[Secureframe](https://theauditrail.com/de/vendors/secureframe/)** verkauft mit Secureframe Defense ein eigenes CMMC-Produkt. Teams können dort SSPs und POA&Ms erstellen und SPRS-Scores live überwachen. Secureframe hat außerdem selbst eine Prüfung durch eine C3PAO durchlaufen. Das Unternehmen hält eine CMMC-Zertifizierung auf Level 2, erworben im September 2025 nach einer Prüfung durch Redspin.

**[Sprinto](https://theauditrail.com/de/vendors/sprinto/)** liegt mit 84 Punkten auf Platz 1 der sechs. Sprinto bringt einen Auftragnehmer für das Scoping mit einer RPO aus dem eigenen Partnernetz zusammen und liefert SSP-Vorlagen und eine erste Gap-Analyse.

**[Drata](https://theauditrail.com/de/vendors/drata/)** verfolgt POA&M-Punkte mit verantwortlicher Person, Status und verknüpften Nachweisen. Drata ordnet CMMC-Anforderungen gemeinsamen Kontrollen zu, mit kontinuierlichen Nachweisen und einer benannten verantwortlichen Person für jede Anforderung.

**[Scrut](https://theauditrail.com/de/vendors/scrut/)** führt CMMC 2.0 Level 1 und 2 in seinem Framework-Katalog. **[Thoropass](https://theauditrail.com/de/vendors/thoropass/)** baut sein CMMC-Produkt für Level 1, das ein Auftragnehmer ohne C3PAO selbst bewertet.

Der Großteil dieser Arbeit ist [Compliance-Automatisierung](https://theauditrail.com/blog/grc/compliance-automation/): Nachweiserfassung, Überwachung der Kontrollen und aktuelle Dokumente zwischen zwei Prüfungen. Unser [Bewertungsschema](https://theauditrail.com/de/rubric/) vergibt Punkte für eine benannte Liste von C3PAO-Partnern im Kriterium Audit-Anbindung. Dieses 15-Punkte-Kriterium misst, wie kurz der Weg von der Prüfungsreife bis zum unterschriebenen Prüfergebnis ist. Dieselben sechs Plattformen haben dieselben Punktzahlen in unserem [Ranking der Compliance-Management-Software](https://theauditrail.com/best/compliance-management-software/).

Das Abonnement wird getrennt von der Prüfung bezahlt. Die [Einstiegspreise](https://theauditrail.com/de/research/compliance-software-pricing-2026/) der sechs Plattformen auf AWS Marketplace und auf secureframe.com reichen von 7.500 USD pro Jahr für Secureframe Fundamentals bis 15.000 USD für Scrut und für das Foundation Package von Drata, das 1 bis 50 Mitarbeitende abdeckt. Ein separater Eintrag von Drata für eine Organisation mit 100 Personen kostet 32.500 USD mit einem Framework. Das sind allgemeine Tarifpreise.

## Woher die Zahlen stammen

Die Zahlen der Cyber AB stammen aus den Zusammenfassungen ihrer Town Halls: 103 autorisierte C3PAOs im März 2026 und 107 im Juni 2026. Die Bedarfszahlen des Department stammen aus den Tabellen zu den betroffenen Unternehmen in der Final Rule zu 32 CFR Part 170: Tabelle 5 für die Gesamtzahl von 76.598, Tabellen 6 und 7 für die jährliche Einführung.

## Häufig gestellte Fragen

-   Was ist eine C3PAO?
    
    Eine C3PAO (CMMC Third-Party Assessment Organization) ist die autorisierte Organisation, die eine Zertifizierungsprüfung für CMMC Level 2 durchführt. Sie prüft Auftragnehmer mit den zertifizierten Fachleuten und Assessoren, die sie beschäftigt, und ist im Cyber AB Marketplace gelistet.
    
-   Wie viele C3PAOs gibt es?
    
    Die Cyber AB meldete im Juni 2026 insgesamt 107 autorisierte C3PAOs. Das Department of War schätzt, dass 76.598 Organisationen eine Zertifizierungsprüfung für Level 2 brauchen. Das sind etwa 716 Organisationen pro C3PAO.
    
-   Braucht ein Rüstungsauftragnehmer heute eine C3PAO?
    
    Nur wenn eine Ausschreibung es verlangt. Das Department of War hat Phase II am 13. Juli 2026 ausgesetzt, und die Selbstbewertung aus Phase 1 bleibt in Kraft. In Phase 1 lässt sich Level 2 mit einer Selbstbewertung alle drei Jahre erfüllen, sofern keine Ausschreibung eine Zertifizierungsprüfung durch eine C3PAO verlangt.
    
-   Kann Compliance-Software eine CMMC-Prüfung durchführen?
    
    Nein. Plattformen wie Vanta, Secureframe und Sprinto bereiten die Nachweise, den System Security Plan und den POA&M vor. Die Zertifizierungsprüfung selbst führt eine C3PAO durch.
    
-   Was kostet eine CMMC-Zertifizierung auf Level 2?
    
    Das Department beziffert die Kosten, um eine Zertifizierungsprüfung auf Level 2 samt Bestätigung zu durchlaufen, auf 101.752 USD für ein kleines Unternehmen und auf 112.345 USD für ein Unternehmen, das nicht als klein gilt. Über drei Jahre mit jährlichen Bestätigungen kommt es auf 104.670 USD und 117.768 USD.
    

Anbieter

-    [![Sprinto-Logo](https://theauditrail.com/logos/sprinto.png)Sprinto (84)](/de/vendors/sprinto/)
-    [![Vanta-Logo](https://theauditrail.com/logos/vanta.png)Vanta (82)](/de/vendors/vanta/)
-    [![Drata-Logo](https://theauditrail.com/logos/drata.png)Drata (76)](/de/vendors/drata/)
-    [![Secureframe-Logo](https://theauditrail.com/logos/secureframe.png)Secureframe (75)](/de/vendors/secureframe/)
-    [![Scrut-Logo](https://theauditrail.com/logos/scrut.png)Scrut (72)](/de/vendors/scrut/)
-    [![Thoropass-Logo](https://theauditrail.com/logos/thoropass.png)Thoropass (52)](/de/vendors/thoropass/)

Mehr zum Thema

-   [Best CMMC Compliance Software (2026)](https://theauditrail.com/best/cmmc-compliance-software/) (Englisch)
-   [Best Compliance Management Software (2026)](https://theauditrail.com/best/compliance-management-software/) (Englisch)
-   [Preise für Compliance-Software: Wo die Plattformen sie veröffentlichen](https://theauditrail.com/de/research/compliance-software-pricing-2026/)