CMMC-Zertifizierung –
Cybersecurity-Compliance für
US-DoD-Lieferanten
4Cyber unterstützt deutsche Unternehmen mit US-Verteidigungsverträgen dabei, Anforderungen, Nachweise und offene Maßnahmen strukturiert zu klären und eine belastbare CMMC-Readiness aufzubauen.
Unternehmen, die uns vertrauen
Was ist CMMC?
CMMC (Cybersecurity Maturity Model Certification) ist ein US-amerikanisches Zertifizierungsrahmenwerk des Department of Defense (DoD). Es verpflichtet alle Auftragnehmer und Unterauftragnehmer in der US-Verteidigungslieferkette, ihre Cybersicherheitsreife nachzuweisen – in drei Leveln, basierend auf NIST SP 800-171.
CMMC Phase I gilt weiter – Phase II vorläufig ausgesetzt
Das U.S. Department of War hat die mit Phase II verbundenen externen Assessment-Anforderungen und Umsetzungsmeilensteine am 13. Juli 2026 vorläufig ausgesetzt. Phase I bleibt bestehen; die folgenden Punkte zeigen, was Unternehmen jetzt beachten sollten. Offizielle Mitteilung lesen →
NIST SP 800-171 Rev. 2 bleibt maßgeblich.
Während der aktuellen Übergangsphase bleiben Phase-I-Self-Assessments und die vertraglichen Schutzpflichten nach DFARS 252.204-7012 bestehen. Unternehmen sollten Readiness, Nachweise und offene Maßnahmen deshalb aktuell und belastbar halten.
Nachweise und Dokumentation bleiben anspruchsvoll.
Der Standard umfasst 110 Sicherheitsanforderungen sowie belastbare Nachweise wie den System Security Plan und dokumentierte Maßnahmen. Unvollständige Dokumentation erschwert Self-Assessments und mögliche staatlich geführte Prüfungen.
Phase II ist ausgesetzt und wird überprüft.
Die Phase-II-Anforderungen und die damit verbundenen Umsetzungsmeilensteine sind derzeit ausgesetzt. Wie der zukünftige externe Assessment-Pfad ausgestaltet wird, hängt vom Ergebnis der laufenden CMMC-Überprüfung ab.
Was der 4Cyber Hub für CMMC konkret liefert
Der 4Cyber Hub unterstützt die CMMC-Readiness mit strukturierter Control-Umsetzung, SSP-Dokumentation, Aufgabensteuerung und zentraler Nachweisführung.
CUI-Scope & Anforderungen
CUI-relevante Bereiche, Systeme und Anforderungen strukturiert erfassen – als Grundlage für die CMMC-Readiness.
Control-Umsetzung
Anforderungen nach NIST SP 800-171 Rev. 2, Maßnahmen und offene Punkte zentral nachhalten.
SSP & Dokumentation
System Security Plan, Richtlinien und Nachweise strukturiert verwalten und aktuell halten.
Aufgabensteuerung
Verantwortlichkeiten, Fristen und Maßnahmenstatus transparent steuern – damit die Umsetzung nachvollziehbar bleibt.
Assessment-Vorbereitung
Nachweise, offene Punkte und Prüffragen zentral vorbereiten – für belastbare Self-Assessments und klare interne Readiness.
Laufende Compliance
Änderungen, Nachweise und wiederkehrende Aufgaben im Betrieb pflegen – damit Readiness und Nachweisführung nicht zum Einmalprojekt werden.
Von der Gap-Analyse zur belastbaren CMMC‑Readiness
Ein strukturierter 4-Schritte-Prozess, der Unternehmen mit US-DoD-Aufträgen von der Scope- und CUI-Klärung über NIST SP 800-171 Rev. 2 bis zum belastbaren Self-Assessment und einer dauerhaft gepflegten Nachweisstruktur führt.
Scope & CUI-Identifikation
- Systemgrenzen und CUI-Datenflüsse bestimmen
- Vertrags- und Assessment-Anforderungen prüfen
- Projektrahmen und Zeitplan definieren
Gap-Analyse nach NIST SP 800-171 Rev. 2
- Alle 110 Sicherheitsanforderungen bewerten
- Lücken identifizieren und priorisieren
- POA&M und SSP erstellen
Maßnahmen & Dokumentation
- Technische und organisatorische Maßnahmen umsetzen
- System Security Plan finalisieren
- Schulungen und Awareness durchführen
Self-Assessment & dauerhafte Readiness
- Abschlussbewertung nach NIST SP 800-171 Rev. 2
- Nachweise für Self-Assessments konsolidieren
- Auf mögliche künftige externe Assessment-Anforderungen vorbereiten
Im Erstgespräch klären wir, wo Ihr Unternehmen steht und welche Schritte sinnvoll sind.
Für wen ist CMMC relevant?
CMMC ist für Unternehmen relevant, die im Rahmen von US-Verteidigungsverträgen FCI oder CUI verarbeiten und entsprechende Anforderungen aus Ausschreibungen, Verträgen oder der Lieferkette erfüllen müssen.
US-DoD-Auftragnehmer
Für Unternehmen, die direkt als Auftragnehmer für das U.S. Department of Defense tätig sind und je nach Vertragsklausel FCI- oder CUI-bezogene Sicherheits- und Nachweisanforderungen erfüllen müssen.
Unterauftragnehmer in der DoD-Lieferkette
Für Unternehmen, an die Sicherheits- und Nachweisanforderungen aus einem US-Verteidigungsvertrag über die Lieferkette weitergegeben werden.
Technologie- & Industrieunternehmen
Für Technologie-, Rüstungs- und Industrieunternehmen, die in den US-Verteidigungsmarkt eintreten oder dort verbleiben möchten.
Unternehmen mit ISO-27001-Strukturen
Für Unternehmen, die bestehende ISMS-Strukturen gezielt für NIST SP 800-171, Self-Assessments und ihre CMMC-Readiness weiterverwenden möchten.
Bestehende ISO-27001-Strukturen für CMMC nutzen
Bestehende ISO-27001-Strukturen können bei Dokumentation, Risikomanagement, Richtlinien, Verantwortlichkeiten und Nachweisen eine wichtige Grundlage liefern. Sie ersetzen jedoch weder die CUI-Scope-Klärung noch die CMMC- und NIST-SP-800-171-spezifischen Vertrags- und Nachweisanforderungen. Welche Inhalte weiterverwendet werden können, wird im Rahmen der Gap-Analyse geprüft.
Bereit, Ihre CMMC-Readiness zu prüfen?
Im Erstgespräch klären wir gemeinsam Ihren Scope, die relevanten Vertragsanforderungen und einen realistischen Fahrplan für Self-Assessment und CMMC-Readiness.
Häufige Fragen zu CMMC
Bereit für den nächsten Schritt zur belastbaren CMMC-Readiness?
Starten Sie mit einer klaren Readiness-Analyse, einem strukturierten Maßnahmenplan und persönlicher Begleitung durch 4Cyber.
Unverbindlich · Keine Verpflichtung · Persönliche Einschätzung Ihrer Ausgangslage