CMMC
CMMC-Readiness für Zulieferer der US-Verteidigung
Wenn Sie Federal Contract Information oder Controlled Unclassified Information für das US-Kriegsministerium (Department of War) verarbeiten, verlangen Ihre Verträge bereits NIST SP 800-171. Wir bringen Sie zu einem belastbaren SPRS-Score und einem Programm, das bereit ist, wenn die Drittprüfungen wieder anlaufen.
Auf einen Blick
Level1 (FCI) oder 2 (CUI)
Geprüft durchHeute Selbstbewertung; C3PAO für Level 2, sobald Phase II wieder gilt
Ideal fürHaupt- und Unterauftragnehmer der US-Rüstungsindustrie
Stand Nov. 2026Phase I in Kraft, Phase II ausgesetzt
Überblick
Worum es geht
Das Cybersecurity Maturity Model Certification-Programm prüft, ob Rüstungszulieferer FCI und CUI schützen. Level 1 umfasst die 15 grundlegenden Anforderungen aus FAR 52.204-21. Level 2 umfasst die 110 Anforderungen aus NIST SP 800-171 Rev 2, bewertet im Supplier Performance Risk System (SPRS) von 110 bis zu einem Minimum von −203.
Phase I gilt seit dem 10. November 2025: Selbstbewertungen und SPRS-Bestätigungen können Voraussetzung für einen Zuschlag sein. Am 13. Juli 2026 hat das Ministerium Phase II ausgesetzt, die ab dem 10. November 2026 für die meisten CUI-Verträge eine C3PAO-Zertifizierung verlangt hätte, und eine Reformprüfung gestartet. Stand Mitte Oktober 2026 gab es keinen neuen Starttermin. DFARS 252.204-7012 und die Pflicht zur Umsetzung von 800-171 wurden nicht ausgesetzt, und eine falsche SPRS-Bestätigung bleibt ein Risiko nach dem False Claims Act.
Typische Auslöser
- Ein Hauptauftragnehmer oder Contracting Officer fragt nach Ihrem SPRS-Score oder CMMC-Status
- Sie halten CUI, und Ihr SPRS-Score wurde geschätzt statt bewertet
- Sie müssen zwischen einer CUI-Enklave und dem Schutz der gesamten Umgebung entscheiden
- Sie wollen bereit sein, wenn die Drittprüfungen wieder starten, statt hinten in der C3PAO-Warteschlange zu stehen
Die Lightwork-Methode
So kommen Sie ans Ziel
01
Scoping
FCI- und CUI-Flüsse nachverfolgen und Assets einordnen: CUI, Security Protection, Contractor Risk Managed, Specialized, Out of Scope.
02
Gap-Analyse
Alle 110 Anforderungen gegen die Prüfziele aus NIST SP 800-171A bewerten.
03
SPRS-Score
Nach der DoD-Methode bewerten und Lücken markieren, die nie auf einen POA&M dürfen.
04
Umsetzung
Lücken schließen, 5-Punkte-Anforderungen zuerst; Enklave oder GCC High prüfen, wo es passt.
05
SSP und POA&M
System Security Plan, POA&M und Nachweise nach Prüfziel geordnet.
06
Prüfungsbegleitung
Selbstbewertung jetzt, C3PAO-Vorbereitung, sobald Phase II wieder gilt.
Ergebnisse
Was Sie erhalten
- CUI-Scope und Asset-Einordnung
- Gap-Bericht zu allen 110 Anforderungen
- SPRS-Score mit nachvollziehbarer Berechnung
- System Security Plan (SSP)
- POA&M innerhalb der Grenzen von 32 CFR Part 170
- Nachweisordner nach Prüfziel
Zeitplan & Preis
Der Preis hängt davon ab, wie viele Systeme und Standorte CUI verarbeiten. Kontakt aufnehmen für ein Festpreisangebot.
Level 1 dauert meist Wochen. Level 2 dauert in der Regel mehrere Monate, länger, wenn CUI in eine neue Umgebung umziehen muss.
Den realistischen Zeitplan erhalten Sie nach dem Scoping.
Sind Sie ein C3PAO?
Nein. C3PAOs werden von der Cyber AB autorisiert und dürfen keine Unternehmen prüfen, die sie beraten haben. Wir bereiten Sie vor; die Prüfung übernimmt ein C3PAO Ihrer Wahl.
Phase II ist ausgesetzt. Sollen wir abwarten?
Ausgesetzt wurde ein Prüfweg, nicht die Anforderung. Verträge mit DFARS 252.204-7012 verlangen NIST SP 800-171 bereits heute, und die Selbstbewertungen aus Phase I gelten weiter. Wer die Pause zur Umsetzung nutzt, ist vorn, wenn die Prüfungen wieder starten.
Welchen SPRS-Score brauchen wir?
Für einen Conditional-Status auf Level 2 verlangt die Regel mindestens 88 von 110. Nur bestimmte 1-Punkt-Anforderungen dürfen auf einem POA&M stehen, und sie müssen binnen 180 Tagen geschlossen werden.
Dürfen wir CUI in kommerziellem Microsoft 365 oder Google Workspace speichern?
Cloud-Dienste mit CUI müssen FedRAMP Moderate oder ein Äquivalent erfüllen. Viele Zulieferer verlagern CUI deshalb nach GCC High oder in eine eigene Enklave, statt alles umzuziehen.
Gehen Sie gelassen in Ihr nächstes Audit.
Buchen Sie ein kostenloses 30-minütiges Erstgespräch. Wir klären, wo Sie stehen, was Ihre Kunden erwarten und wie Sie am schnellsten audit-ready werden.