Nehmen Sie die Sicherheitshürde bei US-Aufträgen in Defense und Industrie  

CMMC (Cybersecurity Maturity Model Certification) ist das Cybersicherheitsprogramm des US-Verteidigungsministeriums (DoD) für seine Lieferkette.

Es gilt für jedes Unternehmen — amerikanisch oder ausländisch —, dessen Vertrag Federal Contract Information (FCI) oder Controlled Unclassified Information (CUI) umfasst. Wer ausschließlich Standardprodukte von der Stange verkauft, ist in der Regel nicht betroffen. Entscheidend ist Ihre Vertragsklausel — nicht Ihre Größe und nicht Ihr Standort.

Level 1 betrifft FCI: 15 Basisanforderungen, bestätigt durch eine jährliche Selbstbewertung.

Level 2 betrifft CUI: die 110 Anforderungen von NIST SP 800-171, verteilt auf 14 Familien.

Level 2 wird je nach Vertrag entweder durch Selbstbewertung oder alle drei Jahre durch einen zertifizierten Drittprüfer (C3PAO) bestätigt. Level 3 gilt für die sensibelsten Programme und wird staatlich geprüft.

Es gibt keine einheitliche Frist — Ihre Frist ist Ihr Vertrag.

CMMC ist seit dem 10. November 2025 vertraglich durchsetzbar, als die DFARS-Beschaffungsregel in Kraft trat. Phase 1 läuft bis zum 9. November 2026 und stützt sich auf Selbstbewertungen für Level 1 und Level 2. Phase 2 startet am 10. November 2026 und weitet die Level-2-Zertifizierung durch Dritte auf die meisten Auftragnehmer mit CUI aus. Da die Vorbereitung 6–12 Monate dauert, ist die praktische Frist: jetzt.

Das hängt davon ab, was in Ihrem Vertrag steht.Level 1 ist immer eine jährliche Selbstbewertung.

Level 2 kann beides sein — die DoD-Programmstelle entscheidet, ob Ihr Vertrag eine Selbstbewertung oder eine C3PAO-Zertifizierung verlangt. Ab Phase 2 (10. November 2026) wird die Drittzertifizierung bei CUI zum Standard. Die C3PAO-Kapazitäten sind knapp und Termine Monate im Voraus vergeben — Warten ist also nicht nur ein Compliance-, sondern auch ein Terminrisiko.

Die meisten Organisationen brauchen 6 bis 12 Monate bis zur Zertifizierungsreife — aus einer schwachen Ausgangslage auch länger. Die Dauer hängt vom Scope ab (wie viel Ihrer Umgebung CUI berührt), von Ihrer vorhandenen Dokumentation und davon, ob Sie eine Selbstbewertung oder eine Drittzertifizierung anstreben. Das Scoping ist der größte Hebel: Eine engere CUI-Grenze senkt Zeit und Kosten zugleich.

Ja. CMMC folgt der Information, nicht dem Pass.

Wenn ein europäisches Unternehmen im Rahmen eines DoD-Auftrags FCI oder CUI speichert, verarbeitet oder überträgt — auch als Unterauftragnehmer eines US-Primes —, gelten die Anforderungen auch für Sie. Primes sind verpflichtet, CMMC-Anforderungen in ihrer Lieferkette weiterzugeben. Für EU-Unternehmen heißt das meist: eine US-basierte Enclave planen und die Datengrenze sauber ziehen — vor dem ersten Auftrag, nicht danach.