CMMC 2.0: Was der neue US-Cybersecurity-Standard für Unternehmen bedeutet

Ab November 2026 gilt: Ohne CMMC-Zertifizierung kein Zugang mehr zur US-Rüstungslieferkette. Was das für europäische Luftfahrt- und Verteidigungsunternehmen bedeutet – und was jetzt zu tun ist.

Überblick

• Die Cybersecurity Maturity Model Certification (CMMC) ist der verbindliche Sicherheitsstandard für Auftragnehmer:innen des US-Verteidigungsministeriums (DoD).
• Sie dient dazu, die Informationssicherheit innerhalb der gesamten Lieferkette zu stärken und zu zertifizieren.
• CMMC fordert je nach Sensibilität des Auftrags drei verschiedene Level der Umsetzung.
• Mit 10.11.2026 müssen Unternehmen zertifiziert sein (extern oder gegebenenfalls mittels Selbstauskunft), um Zuschläge für DoD-Aufträge zu erhalten.
• Lieferant:innen müssen umfassende Schutzmaßnahmen in den Bereichen Zugriffsschutz, Schutz sensibler Datenflüsse, Konfiguration und Härtung u. v. m. einhalten.

Cybersicherheitsanforderungen entwickeln sich weltweit dynamisch weiter – insbesondere im Verteidigungssektor gibt es verbindliche Standards. Mit der Cybersecurity Maturity Model Certification (CMMC) setzt das US Department of Defense (DoD) klare Vorgaben für den Schutz sensibler Informationen entlang der gesamten Lieferkette. Für viele Unternehmen bedeutet das: Wer künftig mit dem DoD zusammenarbeiten will, muss sich jetzt mit den Anforderungen auseinandersetzen.

Was ist die CMMC und für wen gilt sie?

CMMC ist der verbindliche Cybersicherheitsstandard des US Department of Defense für die gesamte Verteidigungslieferkette – die sogenannte Defense Industrial Base (DIB). Hierbei handelt es sich nicht um eine freiwillige Norm, sondern um eine verpflichtende Voraussetzung für alle Auftragnehmer:innen, die mit schutzbedürftigen Informationen arbeiten. Wenn Sie in den folgenden Bereichen tätig sind und in Zukunft Produkte und Dienstleistungen für das US Department of Defense liefern möchten, sollten Sie sich auf CMMC vorbereiten:

• Luft- und Raumfahrt/Aerospace
• Wehrtechnik und Rüstungskomponenten
• Elektronik, Sensorik und Kommunikationstechnik
• Logistik und Lieferkettenmanagement für Verteidigungsaufträge
• IT-Dienstleister und Softwareanbieter mit DoD-Kundschaft
• Ingenieurbüros und technische Beratung im Defence-Umfeld

CMMC 1.0 vs. 2.0: Die wichtigsten Unterschiede im Überblick

CMMC 1.0, welche 2020 veröffentlicht wurde, arbeitete mit fünf Reifegraden (Level 1–5) und einer zusätzlichen Prozessreife als eigener Bewertungsdimension. Die Anforderungen waren kumulativ und umfassten 17 Domänen sowie bis zu 171 Practices. Kurz nach der Implementierung wurde durch Feedback der Defense Industrial Base bereits klar, dass die strategische Richtung der Anforderungen geändert werden müsse. Daraufhin entstand ab 2021 CMMC 2.0, welche dieses Modell auf drei Level vereinfacht und stärker an etablierte NIST-Standards ausgerichtet hat.

CMMC 2.0 definiert nun drei Reifegrade und zwei Arten an schützenswerten Informationen. Je nach Reifegrad sind zwischen sechs und 14 Sicherheitsdomänen zu erfüllen. Während Level 1 Federal Contract Information (FCI) schützt und Grundlagen wie Zugriffsmanagement, Schutz von Daten und eine Gewährleistung der Systemsicherheit fordert, erweitert Level 2 die Anforderungen in Richtung Risikomanagement, Incident-Management, Logging & Monitoring sowie Security-Awareness.

Für den Großteil der Unternehmen in der Verteidigungslieferkette ist Level 2 der relevante Reifegrad zur Zulassung als DoD-Auftragnehmer:in. Level 2 basiert auf 110 Sicherheitskontrollen des NIST SP 800-171 Standards und schützt neben FCI auch sogenannte Controlled Unclassified Information (CUI) – also schutzbedürftige, aber nicht als geheim eingestufte Informationen.

FCI vs. CUI-Daten: Wo ist der Unterschied?

Nicht jede Information aus einem US-Bundesvertrag ist gleichermaßen schutzbedürftig. CMMC unterscheidet, wie bereits erwähnt, zwischen zwei Kategorien:

• Controlled Unclassified Information (CUI): Bezeichnet behördliche Informationen, die zwar nicht als „geheim“ eingestuft sind, aber dennoch besonderen Schutzanforderungen unterliegen – etwa technische Daten zu Waffensystemen, Fertigungsverfahren, Exportkontrolldaten (EAR/ITAR) oder vertragliche Details. Jede:r Lieferant:in, der:die solche Daten verarbeitet, speichert oder übertragt, fällt in den CMMC-Geltungsbereich nach Level 2.
  
  
• Federal Contract Information (FCI): Bezeichnet Informationen, die im Rahmen eines US-Bundesvertrags erzeugt oder bereitgestellt werden und nicht für die öffentliche Verbreitung bestimmt sind – etwa Vertragsbedingungen, Lieferant:innenanforderungen oder Preisstrukturen. FCI ist die Grundkategorie sensibler Vertragsdaten und Auslöser für CMMC Level 1. Jede:r Auftragnehmer:in, der:die US-Bundesaufträge ausführt, arbeitet in der Regel mit FCI.

Kurz gesagt: FCI sind nicht‑öffentliche Vertragsinformationen mit Basis‑Schutzbedarf, während CUI sensiblere (behördlich geregelte) Inhalte darstellen, welche eine CMMC-Zertifizierung nach Level 2 auslösen. Welche Datenarten verarbeitet und gespeichert werden, regelt der jeweilige Vertrag mit dem DoD.

Die neuen CMMC-Level im Vergleich

Nicht jedes Unternehmen ist gleich betroffen und nicht jedes Unternehmen muss denselben Aufwand betreiben, um CMMC-Compliance zu erreichen. Das CMMC-Framework unterscheidet in Version 2.0 drei Zertifizierungslevel, die sich nach der Sensibilität der verarbeiteten Daten und den Anforderungen des jeweiligen Vertrags richten. Die folgende Übersicht zeigt, welches Level für wen gilt, was für die Compliance nachgewiesen werden muss und wie lange eine Zertifizierung Gültigkeit besitzt:

Ausblick: Die nächsten Phasen der CMMC

In Phase 1, im November 2025, erhielten CMMC-2.0-Anforderungen Einzug in DoD-Verträge – vorrangig bei Vertragsabschlüssen, die durch ein CMMC-Selbst-Assessment bestätigt werden konnten.

Ab Ende 2026 wird der Anwendungsbereich ausgeweitet:

• Phase 2 (ab November 2026): Drittanbieter-Assessments durch akkreditierte C3PAOs werden zur Pflichtvoraussetzung für viele Vertragsabschlüsse. Wer CUI verarbeitet – und wenn der jeweilige Auftrag es erfordert –, muss spätestens jetzt zertifiziert sein.
• Phase 3 (ab November 2027): Level-3-Assessments für hochsensible Programme werden eingeführt. Bestehende Verträge, die nach November 2025 vergeben wurden, fallen ebenfalls unter die Zertifizierungspflicht.
• Phase 4 (ab November 2028): Vollständige Umsetzung – alle relevanten DoD-Verträge erfordern CMMC-Compliance auf Level 1, 2 oder 3, ohne Ausnahmen und ohne Übergangsregelungen.

Phase 1 war der Startschuss zur tatsächlichen CMMC-2.0-Umsetzung. Wer auf neue DoD-Verträge bieten oder bestehende Verträge verlängern möchte, sollte sich bereits jetzt vorbereiten, um in Zukunft lieferfähig zu sein.