Schlüsselpunkte
- Das Verteidigungsministerium der Vereinigten Staaten hat die Anforderungen der CMMC-Phase II ausgesetzt, doch müssen die Organisationen weiterhin die Vorgaben gemäß NIST SP 800-171, DFARS und anderen bestehenden US-Sicherheitsvorschriften einhalten.
- Durch die Aussetzung werden die C3PAO-Zertifizierungsanforderungen vorübergehend ausgesetzt, jedoch bleiben Selbstbewertungen, die Meldung der SPRS-Werte, jährliche Bestätigungen sowie die Anforderungen zum Schutz von Kontrollierten nicht klassifizierten Informationen (CUI) weiterhin bestehen.
- MSPs sollten ihre Abhilfemaßnahmen fortsetzen, die eingereichten SPRS-Daten überprüfen, Prüfungsnachweise aufbewahren und feststellen, welche Systeme Informationen zu Bundesaufträgen (FCI) oder Kontrollierten nicht klassifizierten Informationen (CUI) verarbeiten.
- Unternehmen sind weiterhin für die Richtigkeit der Compliance-Erklärungen verantwortlich, und unbegründete Angaben können zu vertraglichen oder verwaltungsrechtlichen Haftungsansprüchen sowie zu einer Haftung nach dem False Claims Act (FCA) führen.
Am 13. Juli 2026 veröffentlichte das Verteidigungsministerium der Vereinigten Staaten eine Mitteilung mit dem Titel „Forging the Arsenal of Freedom“ (dt. „Die Waffen der Freiheit schmieden“), in der es die sofortige Aussetzung der Anforderungen der Phase II der Cybersecurity Maturity Model Certification (CMMC) ankündigte. Wenn Sie Kunden aus der Verteidigungsindustrie (DIB) – also dem Netzwerk von Unternehmen, die das US-amerikanische Verteidigungsministerium beliefern – betreuen, mussten Sie diese Woche vermutlich schon mehrfach auf diese Frage antworten: „Heißt das etwa, die Compliance-Pflicht ist vorbei?“
Das heißt es nicht.
Eine CMMC Reform Task Force hat nun 60 Tage Zeit, um einen Bericht vorzulegen, der auf dem Feedback basiert, das im Rahmen einer öffentlichen Informationsanfrage (RFI) gesammelt wurden, dem formellen Verfahren der US-Regierung zur Einholung von Stellungnahmen der Industrie, bevor sie eine Vorschrift ändert. Allerdings sind Berichte wie dieser oft recht lang, und ein genaues Datum ist nicht garantiert.
Möchten Sie lieber eine visuelle Zusammenfassung? Sehen Sie sich unser Video „CMMC Phase II ausgesetzt: Was bedeutet das für MSPs?“ an, um weitere Informationen zu erhalten.
Deshalb hat das Ministerium CMMC Phase II ausgesetzt
Als Grund nennt das Ministerium laut Pressemitteilung die Richtlinie von Verteidigungsminister Pete Hegseth zum „Acquisition Transformation System“ (ATS), die den raschen Aufbau von Kapazitäten sowie geringere Compliance-Kosten für kleine, mittlere und nicht-traditionelle Unternehmen in den Vordergrund stellt. In der Pressemitteilung werden Daten der Small Business Administration (SBA) angeführt, aus denen hervorgeht, dass Compliance-Kosten Unternehmen aus dem DIB verdrängten. Chief Information Officer (CIO) des Verteidigungsministeriums, Kirsten A. Davies, wird mit genau dieser Aussage wörtlich zitiert.
Dahinter steckt auch eine einfache mathematische Aufgabe. Den meisten Schätzungen zufolge, die seit der Ankündigung kursieren, benötigten weit über 100.000 Unternehmen eine Bewertung durch Dritte, die von rund 100 akkreditierten Gutachtern durchgeführt werden musste, wodurch es nahezu unmöglich wurde, den ursprünglichen Zeitplan einzuhalten.
Das ändert sich durch die Aussetzung
Phase II wird ausgesetzt. Dies ist die Voraussetzung für zertifizierte Bewertungen durch Dritte im Rahmen einer C3PAO (einer CMMC Third-Party Assessment Organization, also einer akkreditierten externen Stelle) oder für eine Überprüfung durch das DIBCAC (das Defense Industrial Base Cybersecurity Assessment Center, die dem Ministerium eigene Bewertungsstelle). Auch alle anstehenden oder zukünftigen CMMC-Meilensteine werden vorerst ausgesetzt.
Bis dahin wird das Ministerium die Einhaltung der Vorschriften weiterhin durch Selbstbewertungen gemäß NIST SP 800-171 Rev. 2 (dem US-Standard, in dem die 110 Sicherheitsmaßnahmen zum Schutz sensibler Verteidigungsdaten aufgeführt sind) sowie durch, wie es in der Mitteilung heißt, „ausgewählte, von der Regierung geleitete Bewertungen“ sicherstellen. Diese werden wahrscheinlich größtenteils auf der Ebene der Hauptauftragnehmer angesiedelt sein, also weiter oben in der Lieferkette als bei den meisten MSP-Kunden. Es ist eher als Erinnerung daran zu verstehen, dass das Ministerium nach wie vor befugt ist, hinter die Kulissen zu schauen, und nicht so sehr als neues Prüfungsprogramm.
Diese Anforderungen gelten weiterhin
Die Anforderungen an die Selbstbewertung in Phase I gelten weiterhin in vollem Umfang: FAR (Federal Acquisition Regulation) 52.204-21, die grundlegende Sicherheitsmaßnahmen für Informationen im Rahmen von Bundesverträgen (FCI) regelt, sowie DFARS (Defense Federal Acquisition Regulation Supplement) 252.204-7012, die Sicherheitsmaßnahmen für kontrollierte nicht klassifizierte Informationen (CUI), die Meldung von Cybervorfällen und die Umsetzung aller 110 Kontrollmaßnahmen gemäß NIST SP 800-171 vorschreibt. In der Pressemitteilung heißt es ausdrücklich, dass die Aussetzung die Verpflichtung der Unternehmen zum Schutz von Bundesdaten nicht aufhebt.
Ebenfalls unverändert: Einträge zur Bewertung im Supplier Performance Risk System (SPRS), jährliche Bestätigungen, Anforderungen gemäß den International Traffic in Arms Regulations (ITAR), Abhilfemaßnahmenpläne, Systemsicherheitspläne und die Weitergabe von Anforderungen an Subunternehmer. CUI selbst ist eine weit gefasste Kategorie, und ITAR ist eine von vielen Normen, die darunter fallen. CMMC hat versucht, all diese Anforderungen in einer einzigen Zertifizierung zusammenzufassen, und genau diese Zusammenfassung wurde nun ausgesetzt. Die zugrunde liegenden Anforderungen gelten weiterhin alle.
Hierin besteht das Compliance-Risiko
Durch die Aussetzung entfällt zwar ein Überprüfungsschritt, die zugrunde liegende Verpflichtung bleibt jedoch bestehen. Was vorerst wegfällt, ist die dritte Partei, die Ihre Arbeit überprüft hätte, bevor ein Problem aufgetreten wäre.
Eine ungenaue Selbsteinschätzung oder eine unbegründete Bekräftigung kann dennoch zu vertraglichen und verwaltungsrechtlichen Risiken sowie zu Risiken im Zusammenhang mit dem „False Claims Act“ (FCA) führen – einem US-Gesetz, das ein Unternehmen und häufig auch die Person, die die Erklärung unterzeichnet hat, persönlich haftbar macht, wenn sie wissentlich staatliche Programme betrogen haben. In Verträgen wird diese Anforderung bereits von den Hauptauftragnehmern an die Subunternehmer weitergegeben, und diese Klausel wird sich wahrscheinlich von der Vorlage eines abgeschlossenen Prüfberichts zu einer Formulierung wandeln, die eher lautet: „Reichen Sie Ihre Selbsterklärung ein, und wir behalten uns das Recht vor, Sie zu einem späteren Zeitpunkt zu prüfen.“ Eine Falschangabe, insbesondere nach der Annahme staatlicher Mittel, kann zivil- und strafrechtliche Konsequenzen nach sich ziehen. Es ist bereits öffentlich bekannt, dass mehrere DIB-Unternehmen aufgrund von Compliance-Behauptungen, die sich als unbegründet erwiesen haben, nach dem „False Claims Act“ strafrechtlich verfolgt wurden.
Praktische Schritte für MSPs
- Treiben Sie die Wartungspläne weiter voran; diese Nachricht ist kein Grund, sie auszusetzen.
- Vergewissern Sie sich, dass die SPRS-Werte und die jährlichen Bestätigungen weiterhin die tatsächliche Situation Ihrer Kunden widerspiegeln.
- Bestätigen Sie den Umfang, beispielsweise. welche Kundensysteme mit CUI oder FCI in Verbindung stehen und welche davon Sie direkt verwalten.
- Halten Sie die Nachweise auf dem neuesten Stand, einschließlich Prüfpfade, Aufzeichnungen zur Patch-Compliance und Zugriffsprotokolle, für den Fall, dass eine Überprüfung durch den Hauptauftragnehmer ansteht.
- Machen Sie Ihren Kunden deutlich, dass „ausgesetzt“ nicht dasselbe ist wie „geklärt“.
So unterstützt NinjaOne Compliance mit CMMC- und FedRAMP
FedRAMP (das „Federal Risk and Authorization Management Program“, das regelt, welche Softwareplattformen für den Umgang mit Bundesdaten zugelassen sind) ist nicht dasselbe Programm wie CMMC, und die genannte Aussetzung bezieht sich nicht darauf. Wenn Sie einem Prüfer jedoch zeigen, dass Ihre Plattform bereits auf einer von FedRAMP zugelassenen Infrastruktur läuft, vereinfacht dies in der Regel das Gespräch. NinjaOne ist die einzige RMM-Plattform (Remote Monitoring and Management), die derzeit auf dem Markt für „FedRAMP Moderate“ zugelassen ist.
Im Grunde genommen unterstützt NinjaOne MSPs dabei, die in NIST SP 800-171 geforderten technischen Kontrollmaßnahmen umzusetzen und nachzuweisen: automatisierte Patches, rollenbasierte Zugriffskontrolle (RBAC), Multi-Faktor-Authentifizierung (MFA) sowie eine zentralisierte Berichterstellung für alle von Ihnen verwalteten Kundenumgebungen.
Jedes Unternehmen der Verteidigungsindustrie (DIB) ist weiterhin gesetzlich verpflichtet, auf Anfrage seine Compliance-Nachweise vorzulegen: Protokolle, Prüfpfade und die Selbstbescheinigung, auf der seine SPRS-Bewertung basiert. Dies gilt unabhängig davon, ob ein externer Prüfer zur Überprüfung vor Ort erscheint oder nicht. Genau deshalb ist eine Plattform, die darauf ausgelegt ist, diese Nachweise stets auf dem neuesten Stand und abrufbar zu halten, gerade jetzt so wichtig.
