WASHINGTON / LONDON (IT BOLTWISE) – Das US-Verteidigungsministerium stoppt die für 2026 geplanten CMMC-Phase-II-Anforderungen für Drittanbieter-Assessment und will dafür Bürokratie abbauen, ohne Sicherheitsstandards aufzuweichen. Begründet wird der Schritt mit strukturell zu hohen Hürden für kleinere und untypische Unternehmen der Defense Industrial Base. Gleichzeitig setzt das Pentagon auf weiterhin gültige Basis-Compliance über NIST SP 800-171 Rev 2 – mit Fokus auf Cyberhygiene statt Papierkram. In den kommenden 60 Tagen soll eine Task Force ein überarbeitetes CMMC-Konzept mit niedrigeren Einstiegshürden vorlegen.
Das Pentagon fährt bei den Cybersecurity-Vorgaben für die Defense Industrial Base (DIB) eine Bremse ein: CMMC Phase II wird vorerst ausgesetzt, insbesondere die Vorgaben rund um Drittanbieter-Assessments. Der Schritt zielt auf eine Beschleunigung der System- und Fähigkeitsbereitstellung, soll aber gleichzeitig klarmachen, dass der Bund weiterhin verlangt, dass Industriepartner Bundesdaten schützen. Im Kern verschiebt sich damit das Gewicht vom Nachweis über externe Audits hin zu einer stärker vereinfachten, direkt prüfbaren Sicherheitsbasis. Für viele Zulieferer, die Compliance bislang als Engpass erlebt haben, ist das vor allem eine Frage von Zeit, Kosten und Planbarkeit.
Technisch betrachtet berührt die Entscheidung vor allem den Prüfpfad: Phase II hatte vorgesehen, dass Unternehmen sowohl eine Self-Assessment-Komponente durchlaufen als auch in regelmäßigen Abständen Assessments durch Dritte erhalten. Damit entstehen in der Praxis Warteschlangen, Abhängigkeiten von begrenzten Auditor-Kapazitäten und erheblicher Aufwand bei der Dokumentation. Genau diese „Red Tape“-Schicht adressiert das Pentagon laut internen Unterlagen. Während die Third-Party-Audits stoppen, bleibt jedoch die Basis-Compliance erhalten – konkret über NIST SP 800-171 Rev 2. Das ist wichtig, weil NIST als Referenzrahmen bereits stark in Beschaffungs- und Sicherheitsprozesse eingebettet ist und damit als stabiler technischer Unterbau dient.
Markt- und Branchenwirkung dürfte besonders jene Firmen treffen, die in der DIB-Realität eher klein oder atypisch sind. In den vorliegenden Begründungen wird der Engpass mit Zahlen unterlegt: Es gebe noch immer über 100.000 DIB-Unternehmen, die auf ein drittseitiges Assessment angewiesen wären, während nur rund 100 bis „ein wenig mehr als 100“ Assessors verfügbar seien. Für mittelständische Anbieter rechnet sich Compliance damit häufig nicht, selbst wenn das Sicherheitsziel erreichbar ist. Wettbewerber im Compliance-Sinne sind dabei weniger einzelne Firmen als Standards-Ökosysteme: Unternehmen, die bereits NIST-orientiert arbeiten, sehen sich nun weniger gezwungen, den Nachweisprozess neu aufzusetzen als bei alternativen Audit-Regimen.
Historisch ist CMMC dabei kein plötzliches Projekt, sondern zieht sich seit mindestens 2019 durch die US-Politik. Bereits unter der ersten Trump-Regierung entstand die Sorge, dass Gegner über Auftragnehmer und Lieferketten in Informationssysteme eindringen und das gestohlene Wissen aggregieren könnten, um strategische Vorteile zu gewinnen. Damals sollte ein gestuftes Framework Unternehmen anhand einer Skala von eins bis fünf bewerten – abhängig von Klassifizierung und Schutzbedarf der jeweiligen Arbeit. 2021 hat die Biden-Administration die Ebenen auf drei reduziert („CMMC 2.0“). Phase II blieb dann der Teil, der externen Prüfaufwand in den Vordergrund rückte und dadurch stärker als andere Komponenten das Zusammenspiel aus Security Engineering und Beschaffungsprozess belastete.
Im operativen Ablauf kündigt das Pentagon zusätzlich eine Task Force an, die CMMC umfassend überprüfen und Feedback aus öffentlichen Anfragen bündelt. Das Zeitfenster ist eng: innerhalb von 60 Tagen soll ein Abschlussbericht erscheinen, der „realistische“ Maßnahmen empfiehlt und den Eintritt für kleine sowie untypische Unternehmen erleichtern soll. Während dieser Phase gilt: Die Behörde setzt weiterhin auf Self-Assessments als Nachweis für die Einhaltung von NIST SP 800-171 Rev 2. Damit verschiebt sich auch die Governance: Statt externer Audits steht verstärkt die Fähigkeit im Vordergrund, interne Kontrollen, Richtlinien und technische Maßnahmen so zu dokumentieren, dass sie im Bedarfsfall nachvollziehbar werden. Für Sicherheitsverantwortliche ist das ein anderer Arbeitsmodus, der eher kontinuierliche Cyberhygiene als Projekt-Compliance priorisiert.
Regulatorisch bleibt trotz der Aussetzung ein entscheidender Punkt bestehen: Die rechtliche Pflicht, dass Industriepartner Bundesdaten schützen, entfällt nicht. Das Pentagon betont ausdrücklich, dass keine „Relaxation“ der Standards beabsichtigt ist, sondern die Bürokratie des Third-Party-Assessment reduziert wird. In der Praxis heißt das, dass Unternehmen zwar weniger externe Prüftermine koordinieren müssen, aber ihre Kontrolllandschaft weiterhin an NIST ausrichten müssen, insbesondere bei Zugriffssteuerung, Incident-Handling und grundlegenden Sicherungsmaßnahmen. Die Datenschutz- und Security-Risiken für Bundesdaten bleiben damit technisch relevant – nur der Prüfaufwand wird strukturell neu kalibriert.
Für die nächsten Monate ist zudem die Beschaffungsseite der wahrscheinlichste Hebel: Wenn bestehende Ausschreibungen oder Verträge die auszusetzenden Phase-II-Anforderungen enthalten, sollen sie laut Pentagon zeitnah geändert oder modifiziert werden. Das kann Anbieterplanungen kurzfristig beruhigen, aber auch neue Fragen auslösen, etwa welche Nachweise in Angeboten noch gefordert sind und wie Käufer intern die Bewertung dokumentieren. Branchenkenner sehen darin vor allem eine Chance für Developer- und Security-Teams, Ressourcen stärker in technische Kontrollen zu stecken statt in Audit-Vorbereitung. Gleichzeitig bleibt offen, wie stark CMMC nach dem 60-Tage-Review künftig wieder auf Drittprüfungen setzt – oder ob ein stärker risikobasiertes, administrativ schlankeres Modell entsteht.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Pentagon setzt CMMC-Phase-II-Zertifizierungen vorerst aus" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Pentagon setzt CMMC-Phase-II-Zertifizierungen vorerst aus" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Pentagon setzt CMMC-Phase-II-Zertifizierungen vorerst aus« bei Google Deutschland suchen, bei Bing oder Google News!