CMMC-Phasen und die Aussetzung von Phase II: Stand Oktober 2026

Problem in der Praxis

Viele Zulieferer hatten sich auf eine C3PAO-Zertifizierung bis November 2026 vorbereitet. Die Aussetzung wirft die Frage auf, ob diese Arbeit verloren ist. Gleichzeitig verlangen Hauptauftragnehmer weiter Selbstbewertungen und Nachweise nach NIST SP 800-171, und laufende Ausschreibungen werden angepasst. Wer die Aussetzung mit einer Abschaffung verwechselt, riskiert Vertragsverstöße.

CISO-Einordnung

Was gilt (Weisungen vom 13.07.2026):

• In Beschaffungsunterlagen nur Level 1 (Self) oder Level 2 (Self).
• Laufende Ausschreibungen mit Level 2 (C3PAO) oder Level 3 (DIBCAC) sind zu ändern; in bestehenden Verträgen werden diese Anforderungen vor der nächsten Option oder bei der nächsten planmäßigen Verwaltungsänderung entfernt.
• Keine Waiver während der Überprüfung.
• Das Ministerium setzt die Einhaltung von NIST SP 800-171 Rev 2 über Selbstbewertungen und ausgewählte staatliche Bewertungen durch; DFARS 252.204-7012 bleibt in Kraft.
• Weitere Leitlinien sind nach Abschluss der 60-tägigen Überprüfung angekündigt.

Stand der Veröffentlichung: Bis 10.10.2026 ist im Federal Register zu CMMC keine neue Regel erschienen; die Seite des DoW CIO nennt am 10.10.2026 weiter die Aussetzung.

Rechtlich steht die Aussetzung neben einem unveränderten Regelwerk. Für Zulieferer zählt, was im Vertrag und in der Ausschreibung steht.

Umsetzungsperspektive

• Selbstbewertungen nach Level 1 oder Level 2 aktuell halten.
• Vorbereitung auf Fremdbewertungen nicht abbrechen, sondern priorisieren, was auch für NIST SP 800-171 und DFARS 252.204-7012 nötig ist.
• Vertrags- und Ausschreibungsänderungen auswerten.
• Die Ergebnisse der Überprüfung verfolgen.

Typische Fehler

1. Die Aussetzung wird als Ende von CMMC verstanden.
2. Selbstbewertungen und Affirmationen werden nicht mehr gepflegt.
3. DFARS 252.204-7012 wird vergessen.
4. Die bestehende Vertragsklausel wird ignoriert, weil die Weisung sie überlagere; geändert wird sie erst durch Vertragsänderung.
5. Investitionen in die Umsetzung von NIST SP 800-171 werden gestoppt.

Risiken und Trade-offs

Die Aussetzung senkt kurzfristig Kosten, erhöht aber die Planungsunsicherheit. Wer die Umsetzung fortsetzt, ist vorbereitet, falls Fremdbewertungen zurückkehren, trägt aber Kosten, deren Nutzen offen ist.

Entscheidungspunkte

• Welche Verträge und Ausschreibungen enthalten welche CMMC-Stufe?
• Welche Vorbereitungen dienen auch NIST SP 800-171 und DFARS 252.204-7012?
• Wer verfolgt die Ergebnisse der Überprüfung?

Praktische Empfehlungen

1. Halten Sie Selbstbewertungen und Affirmationen aktuell.
2. Setzen Sie die Umsetzung von NIST SP 800-171 Rev 2 fort.
3. Werten Sie Ausschreibungs- und Vertragsänderungen aus.
4. Verfolgen Sie die Ergebnisse der Reform Task Force.
5. Kommunizieren Sie intern klar: ausgesetzt, nicht abgeschafft.

Relevante Normreferenzen

• 32 CFR 170.3(e) (eCFR, Stand 07.10.2026); Final Rule 90 FR 43560 (10.09.2025, wirksam 10.11.2025).
• DoW CIO: "Removing Barriers to Defense Industrial Base Expansion" und "Implementing Suspension of CMMC Phase II" (13.07.2026); Pressemitteilung des DoW vom 13.07.2026.
• DFARS 252.204-7012.