CMMC Zertifizierung in Deutschland: CMMC 2.0 einfach erklärt

Stellen Sie sich Ihre Unternehmensdaten einmal als Schatztruhe vor. Darin liegen Goldstücke, Silbermünzen und vielleicht sogar ein paar Diamanten. Manche davon sind so sensibel, dass ihr Verlust nicht nur Sie, sondern auch Ihre engsten Geschäftspartner in ernsthafte Schwierigkeiten bringen würde. Und jetzt stellen Sie sich die Frage: Wie gut ist diese Truhe eigentlich verschlossen? Und noch wichtiger: Könnten Sie Ihren Partnern wirklich glaubwürdig beweisen, dass Ihr Schloss nicht nur glänzt, sondern auch hält?

Genau hier setzt das Cybersecurity Maturity Model Certification (CMMC) des U.S. Department of Defense (DoD – dem US-Verteidigungsministerium) an. Seit Jahren kämpft das DoD mit einer gewaltigen Herausforderung: Es muss sensible Daten mit über 300.000 Unternehmen weltweit teilen. Darunter sind kleine Schraubenhersteller in Bayern ebenso wie Softwarefirmen in Wien oder Logistiker in Zürich. Die Lieferkette ist komplex, die Daten sind wertvoll und die Cyberangriffe nehmen zu.

Als Antwort darauf hat das DoD ein Regelwerk geschaffen, das weit mehr ist als ein weiterer Papierberg: das CMMC. Mit CMMC 2.0, der überarbeiteten Fassung, ist Cybersicherheit nicht mehr nur eine gute Idee für Sonntagsreden, sondern eine verbindliche Voraussetzung. Ab dem 10. November 2025 ist es offiziell über das Defense Federal Acquisition Regulation Supplement (DFARS – das Vertragsregelwerk für Verteidigungsaufträge in den USA) in neue Verträge integriert. Der Startschuss für eine dreijährige, phasenweise Einführung ist gefallen.

Auf den Punkt gebracht: CMMC 2.0

Was ist CMMC überhaupt – und warum ist es wichtig?

Viele Abkürzungen, viel Verwirrung – deshalb gleich auf den Punkt gebracht: CMMC ist kein Gesetz, sondern ein Zertifizierungsstandard. Stellen Sie sich das Ganze wie einen TÜV für Cybersicherheit vor. Ihr Auto braucht regelmäßig einen Stempel, damit es im Straßenverkehr als sicher gilt. Mit CMMC ist es genauso – nur dass es hier nicht um Bremsen und Airbags, sondern um Firewalls, Passwörter und den Schutz von Daten geht.

Im Mittelpunkt stehen zwei Arten von Informationen, die gerne verwechselt werden:

• Federal Contract Information (FCI – vertragsrelevante Informationen): Das sind Daten, die die US-Regierung zur Verfügung stellt oder die für sie erstellt werden, zum Beispiel Vertragsdetails oder Zeitpläne. Sie sind nicht geheim, aber bitte auch nicht für die breite Öffentlichkeit bestimmt.
• Controlled Unclassified Information (CUI – sensible, aber nicht geheime Daten): Stellen Sie sich das wie Baupläne eines Hauses vor. Es ist kein Staatsgeheimnis, aber Sie würden trotzdem nicht wollen, dass jeder Zugriff darauf hat. Beispiele sind technische Zeichnungen, Forschungsergebnisse oder Spezifikationen für Bauteile. Wenn diese Daten in die falschen Hände geraten, kann das gravierende Folgen haben – bis hin zur Gefährdung der nationalen Sicherheit der USA.

Früher genügte eine Selbstauskunft: Unternehmen mussten lediglich versichern, dass sie sich an die Vorgaben des Standards NIST SP 800-171 hielten. Das Problem: Papier ist geduldig. Viele Sicherheitsmaßnahmen waren eher ein Lippenbekenntnis als gelebte Praxis. Vertrauen ist gut, dachte sich das DoD, aber Kontrolle ist in diesem Fall eindeutig besser. Also wurde mit CMMC ein System geschaffen, das eine unabhängige Überprüfung vorsieht.

Warum betrifft das auch deutsche Unternehmen?

Vielleicht fragen Sie sich an dieser Stelle: „Moment mal – wir sitzen doch in Deutschland. Warum sollten uns US-Vorschriften interessieren?“ Die Antwort ist simpel: Weil die Lieferkette des DoD international ist.

Wenn Sie nur eine einzige Schraube, Softwarezeile oder Beratungsdienstleistung für ein Unternehmen erbringen, das wiederum mit dem DoD arbeitet, können Sie Teil dieser Kette sein. Und damit auch Teil des Problems – oder Teil der Lösung.

Ein Beispiel:

• Ein Maschinenbauer in Baden-Württemberg liefert Bauteile für einen amerikanischen Flugzeughersteller.
• Eine Softwarefirma in Wien entwickelt ein Programm, das in einem militärischen System zum Einsatz kommt.
• Eine Logistikfirma in Zürich transportiert Bauteile im Auftrag eines DoD-Zulieferers.

Alle diese Unternehmen verarbeiten entweder FCI oder CUI – und alle brauchen deshalb früher oder später ein CMMC-Zertifikat.

Von Version 1.0 zu 2.0 – weniger Ballast, mehr Klarheit

Als das CMMC 2020 erstmals vorgestellt wurde, war die Kritik groß. Zu komplex, zu teuer, zu schwerfällig. Vor allem kleinere Firmen sahen sich vor einer unlösbaren Aufgabe. Das DoD hörte zu und machte das, was viele Behörden nicht können: Es vereinfachte.

Die überarbeitete Version CMMC 2.0 ist praxisnäher, übersichtlicher und direkt an die Standards des National Institute of Standards and Technology (NIST – einer US-Behörde, die technische Standards entwickelt) gekoppelt. Besonders wichtig ist dabei der Standard NIST SP 800-171 Rev. 3, der genau beschreibt, wie CUI geschützt werden muss. Für die besonders sensiblen Fälle kommt zusätzlich NIST SP 800-172 ins Spiel.

Das Ergebnis: Weniger Bürokratie, aber mehr Verbindlichkeit.

Die drei Stufen von CMMC 2.0 im Detail

Level 1: Foundational (Grundlegend)

Stellen Sie sich Level 1 wie den Fahrradhelm der Cybersicherheit vor. Nicht besonders kompliziert, aber ohne ihn geht’s nicht.

• Für wen? Unternehmen, die nur mit FCI zu tun haben.
• Anforderungen: 17 grundlegende Sicherheitsmaßnahmen – Dinge wie regelmäßige Passwortänderungen, Antivirensoftware und Zugangsbeschränkungen.
• Prüfung: Eine jährliche Selbstbewertung. Sie unterschreiben sozusagen, dass Sie den Helm nicht nur gekauft, sondern auch aufgesetzt haben.

Level 2: Advanced (Fortgeschritten)

Hier wird es ernst: Unternehmen, die CUI verarbeiten, müssen ein deutlich robusteres Sicherheitsniveau erreichen.

• Für wen? Die Mehrheit aller Firmen, die mit dem DoD zusammenarbeiten.
• Anforderungen: Umsetzung von 110 Sicherheitskontrollen nach NIST SP 800-171 Rev. 3. Das reicht von Zugriffskontrollen über Protokollierung bis hin zu Verschlüsselungstechnologien.
• Prüfung: Je nach Projektrisiko entweder eine jährliche Selbstbewertung oder – und das ist der häufigere Fall – ein Audit durch eine Certified Third Party Assessment Organization (C3PAO – ein akkreditiertes externes Prüfunternehmen). Das Audit ist alle drei Jahre fällig und sorgt dafür, dass niemand schummelt.

Level 3: Expert (Experte)

Level 3 ist die Champions League der Cybersicherheit. Hier geht es um Unternehmen, die mit hochsensiblen Daten arbeiten, die von sogenannten Advanced Persistent Threats (APT – hochentwickelten, langfristig angelegten Hackerangriffen) bedroht werden.

• Für wen? Unternehmen in den wichtigsten DoD-Programmen.
• Anforderungen: Alle Vorgaben aus NIST 800-171 plus zusätzliche Anforderungen aus NIST 800-172, die sich mit der Abwehr besonders raffinierter Angriffe befassen.
• Prüfung: Ein staatlich geführtes Audit durch das DoD selbst.

Ihre ersten Schritte in Richtung Zertifizierung

Der Weg zu einem CMMC-Zertifikat ist kein Sprint, sondern eher ein Marathon mit ein paar Hürden. Aber keine Sorge – wenn man frühzeitig anfängt, ist er machbar.

1. Bestandsaufnahme: Wo entstehen in Ihrem Unternehmen FCI oder CUI? Welche Systeme, Abteilungen und Standorte sind betroffen?
2. Lückenanalyse: Vergleichen Sie Ihre aktuelle Sicherheit mit den Vorgaben von NIST SP 800-171 Rev. 3.
3. Dokumentation: Erstellen Sie einen System Security Plan (SSP – eine Art Handbuch für Ihre IT-Sicherheit) sowie Plans of Action & Milestones (POA&M – Maßnahmenpläne, um erkannte Lücken zu schließen).
4. Selbstbewertung: Hinterlegen Sie Ihre Ergebnisse im Supplier Performance Risk System (SPRS – einer DoD-Datenbank, die Cyber-Scores verwaltet).
5. Audit-Vorbereitung: Falls Sie ein Level-2-Unternehmen sind, das ein externes Audit braucht, sollten Sie rechtzeitig ein C3PAO auswählen und ein Vorab-Audit planen.

Häufige Missverständnisse

• „Wir sind ein deutsches Unternehmen, CMMC gilt für uns nicht.“
  Doch! Sobald Sie Teil einer Lieferkette sind, die mit dem DoD arbeitet, sind Sie betroffen – auch wenn es nur indirekt ist.
• „Wir kümmern uns darum, wenn es soweit ist.“
  Schlechte Idee. Seit 2025 tauchen CMMC-Klauseln Schritt für Schritt in neuen Verträgen auf. Wer nicht vorbereitet ist, fliegt schneller raus, als ihm lieb ist.
• „Unsere ISO 27001-Zertifizierung reicht doch.“
  Leider nein. ISO 27001 ist hilfreich, deckt aber nicht alle Anforderungen von NIST 800-171 ab. Ein Abgleich ist zwingend nötig.

Fazit: Pflicht oder Chance?

Für viele deutsche Mittelständler klingt CMMC zunächst nach einem fernen US-Standard, der sie nichts angeht. Doch je genauer man hinschaut, desto klarer wird: Ohne CMMC kein Zugang zu lukrativen DoD-Verträgen.

Das klingt nach Pflicht – ist aber in Wahrheit eine große Chance. Denn ein solides Sicherheitskonzept schützt nicht nur die Daten Ihrer Partner, sondern vor allem Ihr eigenes Unternehmen. Wer frühzeitig beginnt, verschafft sich einen Wettbewerbsvorteil. Oder anders gesagt: Mit CMMC sichern Sie sich nicht nur den Zugang zur Schatztruhe Ihrer Partner, sondern schließen auch Ihre eigene besser ab.

Kontaktieren Sie uns, wenn Ihr Unternehmen mit den Anforderungen des CMMC 2.0 Standards in Berührung kommt und Sie von unserer kompetenten Unterstützung einen Mehrwert generieren möchten. Wir freuen uns auf Sie.