CMMC Phase II Suspension: Facts vs. Fiction

8 Minuten Lesezeit

Download

Executive summary

7 Minuten Lesezeit

Am 13. Juli 2026 kündigte das Verteidigungsministerium die sofortige Aussetzung der Umsetzung von CMMC-Phase II an und richtete eine auf 60 Tage befristete CMMC-Reform-Taskforce ein, um eine umfassende Überprüfung des Programms durchzuführen. Auch wenn diese Ankündigung Unsicherheit hinsichtlich der Zukunft der Anforderungen an die Zertifizierung durch Dritte schafft, sollten Organisationen diese Entscheidung nicht als Lockerung der Cybersicherheitsverpflichtungen interpretieren.

Der Zertifizierungsprozess mag sich ändern. Die Anforderung, Regierungsinformationen zu schützen, bleibt jedoch bestehen. Selbstbewertungen und die Berichterstattung gemäß SPRS sind weiterhin Teil des aktuellen Compliance-Rahmens.

Organisationen, die mit Federal Contract Information (FCI) und Controlled Unclassified Information (CUI) umgehen, unterliegen weiterhin den bestehenden vertraglichen Cybersicherheitsverpflichtungen, einschließlich der Anforderungen gemäß DFARS 252.204-7012, der Umsetzungserwartungen gemäß NIST SP 800-171, der Selbstbewertungspflichten und der damit verbundenen Compliance-Maßnahmen. Die Ankündigung des US-Verteidigungsministeriums betrifft den Zeitplan für die Einführung der Zertifizierung, nicht jedoch die zugrunde liegenden Cybersicherheitsanforderungen.

Download the paper

Der Zertifizierungsprozess mag sich ändern. Die Verpflichtung zum Schutz von Regierungsinformationen bleibt jedoch bestehen. Selbstbewertungen und die Berichterstattung im Rahmen des SPRS sind weiterhin Bestandteil des aktuellen Compliance-Rahmens.

Fünf Dinge, die jeder Auftragnehmer wissen sollte

+ EXPAND ALL

1. Das CMMC-Programm wurde nicht eingestellt.

Das CMMC-Programm läuft weiterhin. Das US-Verteidigungsministerium hat die Umsetzung der Anforderungen der Phase II vorübergehend ausgesetzt und eine Überprüfung des Programms eingeleitet. Die Anforderungen der Phase I bleiben weiterhin in Kraft.

2. NIST SP 800-171 bleibt weiterhin in Kraft.

Organisationen, die mit „Controlled Unclassified Information“ (CUI) umgehen, sind weiterhin für die Umsetzung und Aufrechterhaltung der geltenden Sicherheitskontrollen gemäß NIST SP 800-171 verantwortlich. Diese Verpflichtungen ergeben sich aus bestehenden vertraglichen Anforderungen und haben sich durch die Aussetzung der Phase II nicht geändert.

3. Die DFARS-Anforderungen zur Cybersicherheit bleiben in Kraft.

Die Anforderungen gemäß DFARS 252.204-7012 gelten weiterhin für betroffene Verteidigungsinformationen und sind weiterhin vertraglich durchsetzbar. Diese Verpflichtungen ergeben sich aus bestehenden vertraglichen Anforderungen und haben sich durch die Aussetzung der Phase II nicht geändert.

4. Die Risiken im Zusammenhang mit dem „False Claims Act“ haben sich nicht geändert.

Organisationen sind weiterhin für die Richtigkeit der gegenüber den Behörden abgegebenen Selbsteinschätzungen, Erklärungen, Zusicherungen und Angaben zur Einhaltung von Cybersicherheitsvorschriften verantwortlich.

5. Der Zeitplan für die Zertifizierung kann sich ändern – die Verpflichtungen im Bereich der Cybersicherheit jedoch nicht.

Bei der aktuellen Diskussion geht es darum, wie die Einhaltung der Cybersicherheitsvorschriften überprüft wird, und nicht darum, ob Cybersicherheit erforderlich ist.

Fakten vs. Mythen

Mythos	Fakt	Kernaussage
„CMMC wurde eingestellt.“	CMMC wurde nicht eingestellt. Das US-Verteidigungsministerium hat die Einführung von Phase II ausgesetzt und eine Überprüfung des Programms eingeleitet. Die Anforderungen aus Phase I bleiben weiterhin in Kraft.	Nicht „Einstellung“, sondern „Pause“. Das CMMC-Programm bleibt aktiv, während das US-Verteidigungsministerium mögliche Anpassungen prüft.
„Wir müssen NIST SP 800-171 nicht mehr einhalten.“	Die Anforderungen aus NIST SP 800-171 gelten weiterhin und bilden nach wie vor die Grundlage für den Schutz von Controlled Unclassified Information (CUI).	Die Sicherheitsanforderungen bleiben bestehen. Organisationen, die CUI verarbeiten, müssen Kontrollen weiterhin implementieren und aufrechterhalten.
„Die Cybersicherheitsanforderungen aus DFARS gelten nicht mehr.“	DFARS 252.204-7012 ist weiterhin durchsetzbar. Auftragnehmer sind nach wie vor verpflichtet, erfasste Verteidigungsinformationen zu schützen.	Vertragliche Verpflichtungen haben sich nicht geändert. Die Pflicht zum Schutz staatlicher Informationen bleibt bestehen.
„Wir sollten unsere Cybersicherheitsverbesserungen stoppen.“	Organisationen sollten ihre Cybersicherheits-Roadmap und Maßnahmen zur Behebung von Schwachstellen weiterhin umsetzen.	Den Weg fortsetzen. Starke Cybersicherheit bleibt wesentlich, unabhängig vom Zertifizierungsprozess.
„Unsere gesamte Vorbereitung auf CMMC war umsonst.“	Vorbereitungsmaßnahmen bleiben wertvoll und unterstützen Compliance, Prüfungsbereitschaft, Cybersicherheitsreife und operative Resilienz.	Weiter aufbauen. SSPs, POA&Ms, Richtlinien, Verfahren, Evidenzablagen und Sicherheitsverbesserungen bleiben relevant.
„Die Regierung zieht sich aus der Cybersicherheit zurück.“	Cybersicherheit bleibt eine Top-Priorität für das US-Verteidigungsministerium. Die Überprüfung betrifft Prozesse und administrativen Aufwand – nicht Sicherheitserwartungen.	Cybersicherheit bleibt die Mission. Es geht darum, wie Compliance nachgewiesen wird – und nicht darum, ob Sicherheit erforderlich ist.
„Selbstauskünfte reichen wieder, Prüfungsbereitschaft ist unwichtig.“	Organisationen bleiben verantwortlich, Compliance nachzuweisen und Selbsteinschätzungen mit angemessener Evidenz zu untermauern.	Dokumentation bleibt entscheidend. Dokumentation, Richtlinien, Verfahren, technische Nachweise und Audit-Trails bleiben kritisch.
„Wenn sich CMMC ändert, müssen wir CUI nicht mehr schützen.“	Organisationen, die CUI empfangen, verarbeiten, speichern oder übertragen, bleiben für den Schutz dieser Informationen verantwortlich.	Die Daten haben sich nicht geändert. Zu wissen, wo CUI liegt und wie sie geschützt wird, bleibt grundlegend.
„Das US-Justizministerium verfolgt Cybersicherheitsvorgaben nicht mehr.“	Risiken aus dem False Claims Act und der DOJ Civil Cyber-Fraud Initiative bleiben unverändert bestehen.	Bestätigen Sie nur, was Sie belegen können. Unternehmen müssen Compliance-Aussagen mit belastbarer Evidenz belegen können.
„SPRS-Scores sind nicht mehr wichtig.“	Selbsteinschätzungen und SPRS-Berichterstattung bleiben Teil des aktuellen Compliance-Rahmens.	Aktuelle Dokumentation pflegen. SPRS-Scores, Dokumentation und Bestätigungen weiterhin sorgfältig verwalten
„Bestehende Verträge mit CMMC-Anforderungen bleiben unverändert.“	Das US-Verteidigungsministerium hat darauf hingewiesen, dass bestimmte Ausschreibungen und Verträge während der Überprüfungsphase angepasst werden können.	Verträge sorgfältig prüfen. Änderungen und Hinweise von Contracting Officers laufend beobachten.
„Kleine Unternehmen können einfach abwarten.“	Die Reform Task Force soll Empfehlungen innerhalb von 60 Tagen vorlegen; künftige Anforderungen können sich schnell weiterentwickeln.	Die Zeit sinnvoll nutzen. Informiert bleiben, Cybersicherheit verbessern und Bereitschaft aufrechterhalten.
„CMMC ist vorbei.“	Der Zertifizierungsprozess ist vorübergehend pausiert, aber die Cybersicherheitsanforderungen bleiben in Kraft.	CUI und FCI weiterhin schützen. Die Sicherheitsmission bleibt unverändert.

Was sich nicht verändert hat

Organisationen sollten weiterhin:

Federal Contract Information (FCI) schützen
Controlled Unclassified Information (CUI) schützen.
Die Anforderungen gemäß DFARS 252.204-7012 einhalten.
Die Maßnahmen zur Einhaltung von NIST SP 800-171 fortsetzen.
Die erforderlichen Selbstbewertungen durchführen.
System-Sicherheitspläne (SSPs) pflegen und aktualisieren.
Aktionspläne und Meilensteine (POA&Ms) pflegen.
Korrekte SPRS-Einreichungen und Bestätigungen sicherstellen.
Maßnahmen zur Behebung von Cybersicherheitsmängeln fortsetzen.
Sich auf mögliche behördliche Überprüfungen und Audits vorbereiten.
Nachvollziehbare Cybersicherheitsdokumentation und Nachweissammlungen pflegen.
Fähigkeiten in den Bereichen Vorfallreaktion, Protokollierung, Überwachung und Schwachstellenmanagement aufrechterhalten und weiterentwickeln.
Die Identifizierung und den Schutz von CUI im gesamten Unternehmen weiterhin sicherstellen.
Sicherzustellen, dass Bestätigungen der Geschäftsleitung und Konformitätserklärungen belastbar und nachvollziehbar belegt werden können.

Was sollten Auftragnehmer nun tun?

Organisationen sollten während des Überprüfungszeitraums die folgenden Maßnahmen in Betracht ziehen:

Die Umsetzung von NIST SP 800-171 sowie laufende Abhilfemaßnahmen fortzuführen.
SSPs, POA&Ms, Richtlinien, Verfahren und Nachweise aktuell zu halten.
Eingereichte SPRS-Unterlagen und jährliche Bestätigungen zu überprüfen.
Die Identifizierung, Klassifizierung und den Schutz von CUI und FCI fortzusetzen.
Laufende Ausschreibungen und Verträge auf mögliche Änderungen zu überprüfen.
Gegenüber Kunden und Regierungsbehörden abgegebene Zusicherungen zur Cybersicherheit zu bewerten.
Die Vorbereitungen auf mögliche zukünftige Zertifizierungs-, Bewertungs- oder Audit-Anforderungen fortzusetzen.
Veröffentlichte Leitlinien des CIO des US-Verteidigungsministeriums sowie der CMMC Reform Task Force zu verfolgen.
Geschäftsentscheidungen auf Basis der Annahme gelockerter Cybersicherheitsanforderungen zu vermeiden.
Die Überprüfungsphase zu nutzen, um Cybersicherheitsfähigkeiten weiterzuentwickeln und bekannte Sicherheitslücken zu schließen.

Was könnte sich verändern?

Die folgenden Bereiche werden derzeit überprüft:

Die zukünftige Rolle unabhängiger Dritter bei Bewertungen (C3PAOs).
Den Zeitplan künftiger Umsetzungsphasen.
Die eingesetzten Bewertungsmethoden.
Die Zertifizierungsanforderungen für verschiedene Gruppen von Auftragnehmern.
Maßnahmen zur Entlastung kleiner und nicht-traditioneller Unternehmen.
Mögliche Anpassungen der Bewertungs- und Bescheinigungsverfahren.
Potential updates to assessment and attestation processes
Die zukünftige Abstimmung zwischen Zertifizierungsmaßnahmen und Cybersicherheitsergebnissen.

Cybersecurity Compliance sollte nicht ausschließlich als Zertifizierungsmaßnahme betrachtet werden. Sie ist eine geschäftliche, betriebliche, vertragliche und nationale Sicherheitsanforderung.

Die Sichtweise von Protiviti

Als „CyberAB Registered Practitioner Organization“ (RPO) sind wir der Ansicht, dass sich Organisationen weiterhin auf das Wesentliche konzentrieren sollten. Die Einhaltung von Cybersicherheitsvorschriften sollte nicht ausschließlich als Zertifizierungsmaßnahme betrachtet werden. Es handelt sich vielmehr um eine geschäftliche, betriebliche, vertragliche und nationale Sicherheitsanforderung.

Das Zertifizierungsmodell mag sich in den nächsten 60 Tagen weiterentwickeln, doch die Verpflichtung zum Schutz von Regierungsinformationen bleibt unverändert. Organisationen, die weiterhin in Governance, Cybersicherheitskontrollen, Dokumentation, Nachweismanagement, kontinuierliche Überwachung und operative Widerstandsfähigkeit investieren, werden unabhängig vom Ergebnis der Überprüfung durch das Verteidigungsministerium am besten aufgestellt sein.

Unternehmen, die diese Zeit nutzen, um ihre Cybersicherheitsprogramme zu stärken, die Dokumentation zu verbessern, bekannte Kontrolllücken zu schließen, die Aufsicht durch die Geschäftsleitung zu verstärken und die Verteidigungsfähigkeit bei Audits zu verbessern, werden in der Lage sein, unabhängig von der zukünftigen Ausrichtung des CMMC-Programms effektiv zu reagieren.

Über Protiviti Deutschlands CMMC- & Compliance Services

Protiviti ist eine „CyberAB Registered Practitioner-Organisation (RPO)“, die Unternehmen bei CMMC, NIST SP 800-171, DFARS, Compliance-Vorbereitung, Management von Cybersicherheitsprogrammen, technischen Abhilfemaßnahmen und KI-gestützten Dienstleistungen zur Beschleunigung der Compliance unterstützt.

Für weitere Informationen zur CMMC-Bereitschaft, zur Einhaltung von Cybersicherheitsvorschriften und zu Dienstleistungen im Bereich des behördlichen Datenschutzes stehen wir Ihnen gerne zur Verfügung. Ihre Ansprechpartner für CMMC- und Compliance-Services finden Sie auf der folgenden Seite.