WASHINGTON / LONDON (IT BOLTWISE) – Das US-Verteidigungsministerium (DoD) stoppt die geplante Ausweitung der CMMC-Phase-2-Anforderungen für Drittanbieter-Checks. Stattdessen startet das Pentagon eine 60-tägige „Top-to-Bottom“-Überprüfung des gesamten CMMC-Programms. Damit rückt die Frage in den Mittelpunkt, wie sich Cyber-Standards künftig zwischen Sicherheit, Skalierbarkeit und schneller Beschaffungsfähigkeit ausbalancieren lassen. Für viele Vertragsunternehmen, besonders kleine und neue Anbieter, kann das die nächsten Vertragszyklen spürbar verändern.
Das US-Verteidigungsministerium setzt eine der spürbarsten Belastungen im Bereich Lieferketten- und Cyber-Compliance vorerst aus: Die geplante Einführung der CMMC-Phase 2 für Drittparteien-Zertifizierungen wird suspendiert. Konkret betrifft das die Anforderung, ab dem 10. November 2026 bei Verträgen, die sensible aber nicht klassifizierte Informationen berühren, flächendeckend dritte Sicherheitsbewertungen einzubinden. Gleichzeitig kündigt das DoD eine „Top-to-Bottom“-Überprüfung an, die 60 Tage dauern soll. Damit wird der Zeitplan für CMMC 2.0 erneut zum Unsicherheitsfaktor – und verschiebt die Debatte weg von reinen Prüfregimen hin zu messbarer Cyber-Hygiene und schnellerer industrieller Leistungsfähigkeit.
Technisch betrachtet greift CMMC genau an der Schnittstelle zwischen Systemhärtung, Nachweisführung und Audit-Fähigkeit. Phase 1 bleibt bestehen: Für passende Verträge sollen weiterhin Selbsteinschätzungen („CMMC self-assessment“) erfolgen, die bereits seit dem vergangenen November wirken. Phase 2 wäre der nächste Schritt gewesen, bei dem zusätzliche Bewertungen durch zertifizierte Dritte (C3PAOs) den Nachweis standardisieren. Das DoD signalisiert nun jedoch, dass der Weg über Drittaudits in der aktuellen Ausprägung nicht im gewünschten Maß skalieren kann. In der Praxis heißt das: weniger formale Gates, mehr Fokus auf nachweisbare Basiskontrollen wie Zugriffs- und Patch-Disziplin, Segmentierung und dokumentierte Schutzprozesse.
Markt- und Umsetzungsdruck entstehen dabei aus drei Engpässen, die in der Memo des DoD CIO Kirsten Davies ausdrücklich zusammengedacht werden: prohibitive Compliance-Kosten, eine angespannte Kapazität bei Drittparteien und komplexe regulatorische Zeitpläne. Besonders betroffen sind laut DoD kleine und nicht-traditionelle Unternehmen, die zwar Innovations- und Lieferpotenzial haben, aber oft keine großen Teams für Audit-Vorbereitung abstellen können. Das erinnert an frühere Bremsspuren: Bereits unter der vorherigen Administration wurde CMMC 2021 pausiert, nachdem Kosten- und Bürokratiefragen im Umfeld des SBA und aus der Industrie öffentlich an Gewicht gewonnen hatten. In diesem Kontext wirkt die heutige Entscheidung wie eine erneute Kurskorrektur zugunsten geringerer Markteintrittsbarrieren.
Ein wichtiger Wettbewerbs- und Branchenvergleich ist hier die Frage, wie andere Compliance-Regime „Nachweis“ organisieren: Viele Unternehmen steuern Cyber-Risiken über interne Kontrollframeworks, technische Steuerungen und risikobasierte Prüfungen, statt jede Vertragsstrecke mit Drittzertifizierung zu durchziehen. Analystisch gesprochen stärkt das DoD damit eine Logik, die auditierbare Sicherheitsmaßnahmen priorisiert, ohne zwingend jede Stufe in ein teures Zertifizierungsmodell zu übersetzen. Gleichzeitig verweist die Memo auf die übergeordneten Beschaffungsziele von Verteidigungsminister Pete Hegseth und dessen Acquisition Transformation System, das Bürokratie abbauen und Innovation beschleunigen soll. Marktkenner erwarten daher, dass Anbieter ihre Compliance-Artefakte stärker modularisieren müssen, um ohne starre Audit-Schablonen schnell nachziehen zu können.
Historisch steht CMMC seit Jahren unter politischem und regulatorischem Druck. Die Entwicklung begann nahezu ein Jahrzehnt zuvor, als Prüfungen unter anderem aufzeigten, dass sich viele Kontraktoren trotz Selbstbestätigung nicht zuverlässig an die geforderten Standards hielten. Die Idee hinter CMMC war deshalb, Selbstattestierung durch verifizierende Drittprüfungen zu ergänzen, gesteuert über eine „Cyber Accreditation Body“ und ein Netzwerk unabhängiger Assessoren. Unter der Biden-Administration wurde das Programm 2021 pausiert und später in mehreren Schritten zu CMMC 2.0 weiterentwickelt. Dass die finalen Regeln bereits im November 2024 in Kraft traten, aber mit einer phasenweisen Umsetzung arbeiteten, zeigt: Das Problem war von Anfang an weniger die Zielrichtung, sondern der Umsetzungspfad für heterogene Unternehmensgrößen.
Für Unternehmen heißt die aktuelle Entscheidung vor allem: Planbarkeit wird kurzfristig unklar, aber die Zielrichtung wird schärfer. Während der Aussetzung soll das DoD weiterhin mit Selbstbewertungen und ausgewählten government-led assessments arbeiten. Außerdem werden alle „pending and future CMMC milestones“ bis auf Weiteres gestoppt, also nicht nur Phase 2, sondern auch Folgetermine in diesem Ablauf. Davies beschreibt das als Fokus auf „tangible cyber hygiene“ statt auf kostenintensive Zertifizierungen und bürokratische Red-Tape. In der Praxis müssen Vertragsorganisationen daher ihre Kontrollsammlung so strukturieren, dass sie sowohl Selbstbewertung als auch staatliche Stichproben möglichst reibungslos unterstützen können. Das betrifft Dokumentation, Evidence-Management und technische Durchsetzung.
Der regulatorische Aspekt bleibt dabei zentral, denn CMMC ist im Kern ein Framework für Nachweis und Risikominimierung in der Lieferkette. Gleichzeitig verschiebt die Suspendierung das Verhältnis zwischen formaler Konformität und realen Sicherheitswirksamkeiten: Wenn Drittaudits als Engpass gelten, steigt die Bedeutung von internen Governance-Prozessen, nachvollziehbaren technischen Kontrollen und transparenter Risikokommunikation. Datenschutz und Vertraulichkeit bleiben dennoch berührt, weil es um den Umgang mit sensiblen, wenn auch nicht klassifizierten Informationen in Projekten geht. Unternehmen sollten deshalb darauf achten, dass Evidence aus Audits nicht zu breiten Datenabflüssen führt, sondern minimal-invasiv erhoben und abgesichert wird. Das ist auch deshalb wichtig, weil Compliance-Werkzeuge häufig Logging und Zustandsdaten erzeugen.
Für die Zukunft deutet die Einrichtung der „CMMC Reform Task Force“ auf ein mögliches Modellwechsel-Narrativ hin: Geschwindigkeit zur Capability, niedrigere Barrieren für kleine und mittlere sowie nicht-traditionelle Anbieter und ein Ersatz prohibitiv wirkender Drittparteimodelle durch skalierbare Sicherheitsmaßnahmen. Aus Branchensicht könnte das bedeuten, dass CMMC stärker als kontinuierliches Kontroll- und Resilienzprogramm gedacht wird, nicht als einmaliges Audit-Zertifikat pro Vertragszyklus. Ein weiterer Entwicklungspfad wäre die stärkere Nutzung von „low-cost“-Marktplätzen für digitale Services, wie sie bereits von Teilen des Militärs aufgebaut wurden. Wenn die Reform im 60-Tage-Fenster konkrete Leitplanken liefert, werden Tooling- und Beratungsanbieter gefordert sein, Evidence-Pipelines und Sicherheitsmetriken schneller als bisher zu standardisieren und den Übergang in neue Vertragsroutinen zu unterstützen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Pentagon stoppt CMMC-Phase-2 und startet 60-Tage-Reformprüfung" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Pentagon stoppt CMMC-Phase-2 und startet 60-Tage-Reformprüfung" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Pentagon stoppt CMMC-Phase-2 und startet 60-Tage-Reformprüfung« bei Google Deutschland suchen, bei Bing oder Google News!