CMMC Phase II ausgesetzt: Was Unternehmen jetzt tun müssen

Kurze Antwort

Das Department of War hat CMMC Phase II mit Wirkung zum 13. Juli 2026 ausgesetzt und eine 60-tägige Überprüfung begonnen. Phase I bleibt in Kraft. Vergabestellen dürfen weiterhin Level 1 Self oder Level 2 Self verlangen. Bestehende DFARS-Pflichten zu Cybersicherheit, Assessments, Vorfallmeldungen und dem Schutz von FCI und CUI gelten unabhängig von der Pause weiter.

Was am 13. Juli 2026 beschlossen wurde

Am 13. Juli 2026 kündigte das Department of War die sofortige Aussetzung von Phase II des Cybersecurity Maturity Model Certification Program bis auf Weiteres an. Laut offizieller Mitteilung nutzt das Ministerium 60 Tage, um das Programm zu überprüfen und unnötige Hürden zu reduzieren, während Federal Contract Information (FCI) und Controlled Unclassified Information (CUI) geschützt bleiben sollen. Diese 60 Tage sind eine Frist für Überprüfung und Bericht, kein angekündigtes Ende und kein Neustartdatum der Aussetzung.

Phase II sollte ursprünglich am 10. November 2026 beginnen. Die Aussetzung ändert, welchen CMMC-Status eine Vergabestelle während der Überprüfung vorgeben darf. Sie hebt weder die CMMC-Regeln auf noch löscht sie bereits geltende Vertragsklauseln. Das offizielle Umsetzungsmemorandum weist die Beschaffungsstellen an, wie diese Abgrenzung umzusetzen ist.

Was ausgesetzt wurde

Während der Aussetzung dürfen neue oder geänderte Ausschreibungen und Verträge nur folgende Vorgaben enthalten:

• CMMC Level 1 Self
• CMMC Level 2 Self

Das Umsetzungsmemorandum weist Vergabestellen an, folgende Vorgaben zu entfernen oder zu ändern:

• CMMC Level 2 C3PAO, also das Zertifizierungs-Assessment durch eine autorisierte unabhängige Prüforganisation
• CMMC Level 3 DIBCAC, also das staatliche Assessment für das höchste CMMC-Level

Ausgesetzt sind damit die Assessment-Vorgaben der Phase II. Es handelt sich nicht um eine allgemeine Aussetzung aller CMMC-Aktivitäten. Das Memorandum macht bestehende C3PAO-Zertifikate nicht pauschal ungültig und untersagt keine freiwillige Vorbereitung. Bestehende Ausschreibungen und Verträge ändern sich durch formelle Amendments oder Modifications. Bis dahin sind die operative Vertragsfassung und Anweisungen der Vergabestelle maßgeblich.

Was weiterhin gilt

Phase-I-Vorgaben für Selbsteinschätzungen bleiben möglich. Die aktualisierte offizielle CMMC-Übersicht beschreibt weiterhin das gestufte Programm und die Assessment-Anforderungen der einzelnen Level.

Daneben bleiben eigenständige vertragliche Pflichten relevant:

• DFARS 252.204-7012 regelt weiterhin den Schutz von Covered Defense Information, die Meldung von Cybervorfällen, die Übermittlung von Schadsoftware, Aufbewahrung, Zugriff und den relevanten Flowdown an Unterauftragnehmer, wenn die Klausel gilt.
• DFARS 252.204-7020 regelt weiterhin NIST-SP-800-171-DoD-Assessments, den Zugang für Prüfungen und den Flowdown, soweit anwendbar.
• Ausgewählte staatliche Assessments außerhalb der ausgesetzten Level-2-C3PAO- und Level-3-Vorgaben können fortgeführt werden.

Die praktische Regel lautet: Pflichten ergeben sich aus der aktuellen Ausschreibung, dem Vertrag, den Klauseln, den verarbeiteten Informationen, den betroffenen Systemen und den Flowdowns – nicht allein aus einer Schlagzeile zur Phase-II-Pause.

Bedeutung für Level 1

Level 1 Self bleibt während der Aussetzung verfügbar. Das Level betrifft Informationssysteme von Auftragnehmern, die FCI verarbeiten, speichern oder übertragen. Erforderlich sind eine jährliche Selbsteinschätzung anhand der 15 Schutzanforderungen aus FAR 52.204-21 und eine jährliche Bestätigung.

Für Level 1 sind keine Plans of Action and Milestones (POA&Ms) zulässig. Jede anwendbare Anforderung muss erfüllt sein. Unternehmen sollten Assessment-Scope, Ergebnisse, Bestätigung und Nachweise konsistent auf die Systeme ausrichten, die tatsächlich FCI verarbeiten.

Bedeutung für Level 2

Level 2 Self darf weiterhin vorgegeben werden. Grundlage sind die 110 Sicherheitsanforderungen aus NIST SP 800-171 Revision 2, mit erneuter Selbsteinschätzung alle drei Jahre und jährlicher Bestätigung.

POA&Ms sind nur begrenzt und unter den Bedingungen der CMMC-Regeln zulässig. Zulässige offene Punkte müssen innerhalb von 180 Tagen geschlossen werden; bestimmte Anforderungen dürfen gar nicht in einen POA&M aufgenommen werden. Level 2 Self ist damit eine substanzielle Nachweisprüfung und kein Registrierungsschritt.

Ausgesetzt sind die Vorgaben für Level 2 C3PAO. Bisherige Vorbereitungen sind deshalb nicht automatisch nutzlos: Derselbe CUI-Scope, die Umsetzung von NIST SP 800-171, belastbare Nachweise, Lieferantenkontrollen und Incident-Prozesse tragen die aktuelle Vertragserfüllung und ein mögliches späteres Assessment.

Ein Leitfaden zu den CMMC-Level-2-Anforderungen mit einer strukturierten Sicht auf die einzelnen Controls ist geplant.

Bedeutung für deutsche und europäische Zulieferer

Der CMMC-Scope folgt US-Vertragsklauseln, den verarbeiteten Informationen, den Systemen, die diese Informationen verarbeiten, speichern oder übertragen, und den Flowdowns an Unterauftragnehmer – nicht dem Sitz des Unternehmens. Ein deutsches oder europäisches Unternehmen kann daher betroffen sein, wenn ein Haupt- oder Unterauftrag CMMC verlangt und eigene Systeme FCI oder CUI verarbeiten.

Umgekehrt erläutert die DFARS-Final-Rule von 2025: Arbeitet ein Unterauftragnehmer ausschließlich in den Systemen des Hauptauftragnehmers und verarbeitet, speichert oder überträgt er auf eigenen Systemen weder FCI noch CUI, benötigt er für diese Systeme kein eigenes CMMC-Assessment. Architektur und Vertragslage müssen diese Einordnung tatsächlich tragen.

Europäische Zulieferer sollten den US-Vertragsscope getrennt von DSGVO, NIS2, ISO 27001 und nationalen Sicherheitsanforderungen abbilden. Diese Regelwerke können sich operativ überschneiden, ersetzen aber nicht automatisch einen geforderten CMMC-Status oder eine DFARS-Pflicht. Eine eigene CMMC-Übersicht und ein Checker für die strukturierte Ersteinschätzung sind geplant.

Konkrete nächste Schritte

• Lesen Sie jede aktive Ausschreibung, Beauftragung, Änderung und jeden relevanten Unterauftrag erneut. Dokumentieren Sie CMMC-Level und Assessment-Typ exakt.
• Lassen Sie sich Änderungen bestätigen, wenn noch Level 2 C3PAO oder Level 3 DIBCAC genannt wird.
• Stoppen Sie die Phase-I-Arbeit nicht. Pflegen Sie Nachweise, Wiederholungsfristen und jährliche Bestätigungen für Level 1 Self oder Level 2 Self.
• Prüfen Sie den FCI-/CUI-Systemscope einschließlich Cloud-Diensten, Fernadministration, zentraler Unternehmensdienste und Lieferantenverbindungen.
• Stimmen Sie SPRS-Einträge und anwendbare NIST-SP-800-171-DoD-Assessment-Ergebnisse mit Rechtsträger und betroffenem Informationssystem ab.
• Halten Sie Prozesse für Vorfallmeldungen und Beweissicherung nach DFARS 252.204-7012 einsatzbereit.
• Prüfen Sie Flowdowns und dokumentieren Sie, ob ein Zulieferer FCI oder CUI auf eigenen Systemen verarbeitet.
• Verfolgen Sie Änderungen über die offizielle Seite mit CMMC-Ressourcen und Dokumenten.

Dieser Beitrag dient der allgemeinen Information und ist keine Rechtsberatung. Vertragsspezifische Fragen sollten mit Vergabestelle, Hauptauftragnehmer und qualifizierter Rechtsberatung geklärt werden.

Zeitstrahl

• 16. Dezember 2024: Die CMMC-Programmregel in 32 CFR trat in Kraft.
• 10. November 2025: Die DFARS-Beschaffungsregel zu CMMC und Phase I traten in Kraft.
• 13. Juli 2026: Das Department kündigte die sofortige Aussetzung von Phase II und eine 60-tägige Überprüfung an.
• 10. November 2026: An diesem Tag sollte Phase II ursprünglich beginnen.
• 28. Juli 2026: Dieser Beitrag und der Statusblock wurden zuletzt aktualisiert.

Offizielle Quellen

• Mitteilung des Departments zur Aussetzung von Phase II vom 13. Juli 2026
• DoD-CIO-Memorandum zur Umsetzung der Aussetzung von CMMC Phase II
• DoD CIO: CMMC-Übersicht
• DoD CIO: CMMC-Ressourcen und Dokumentation
• DFARS 252.204-7012
• DFARS 252.204-7020
• NIST SP 800-171 Revision 2
• DFARS-Final-Rule von 2025

FAQ

Ist CMMC abgeschafft?

Nein. Ausgesetzt wurde Phase II, nicht das CMMC-Programm. Phase-I-Vorgaben für Selbsteinschätzungen bleiben möglich; zugrunde liegende FAR- und DFARS-Pflichten gelten weiter, wenn sie Vertragsbestandteil sind.

Darf eine Vergabestelle weiterhin ein C3PAO-Assessment verlangen?

Das Umsetzungsmemorandum weist Vergabestellen an, Vorgaben für CMMC Level 2 C3PAO während der Phase-II-Aussetzung zu entfernen oder zu ändern. Entscheidend ist die operative Fassung der Ausschreibung oder des Vertrags; klären Sie diese mit der zuständigen Stelle.

Ist ein Level-2-Self-Assessment weiterhin relevant?

Ja. Level 2 Self darf während der Aussetzung vorgegeben werden. Es umfasst die Bewertung aller 110 Anforderungen aus NIST SP 800-171 Revision 2, nur eingeschränkt zulässige POA&Ms, die Wiederholung alle drei Jahre und eine jährliche Bestätigung.

Entfallen durch die Aussetzung Pflichten aus DFARS 252.204-7012?

Nein. Schutz-, Melde-, Aufbewahrungs-, Zugriffs- und Flowdown-Pflichten aus DFARS 252.204-7012 gelten weiter, wenn die Klausel anwendbar ist.

Sind Zulieferer außerhalb der USA ausgenommen?

Eine geografische Ausnahme sollte nicht unterstellt werden. Entscheidend sind Vertrag und Flowdowns, die betroffenen Informationen und die Frage, ob Systeme des Zulieferers FCI oder CUI verarbeiten, speichern oder übertragen.

Sollten Unternehmen die Vorbereitung auf eine Level-2-Zertifizierung stoppen?

Das Department hat keine Grundlage für eine Vorhersage zum Ergebnis der Überprüfung veröffentlicht. Unternehmen sollten risikobasiert entscheiden und zugleich aktuelle Vertragspflichten erfüllen sowie FCI und CUI schützen.