CMMC-Stufen, Selbstbewertung, POA&M und Affirmation: was ein Zulieferer nachweisen muss

Problem in der Praxis

Zulieferer unterschätzen, dass die Selbstbewertung keine interne Übung ist: Ergebnis und Bestätigung werden in SPRS gemeldet und vom Ministerium geprüft. Die Bestätigung gibt eine namentlich benannte leitende Person ab. Wer Anforderungen offen lässt, kann bei Level 1 überhaupt keinen Status erreichen und bei Level 2 nur in engen Grenzen einen vorläufigen.

CISO-Einordnung

• Level 1 (32 CFR 170.15): Selbstbewertung gegen die Anforderungen nach 170.14(c)(2); alle müssen MET sein; kein POA&M; Eintrag in SPRS mit Stufe, Datum, Geltungsbereich und CAGE-Codes; jährliche Wiederholung.
• Level 2 (Self) (170.16): Selbstbewertung gegen 170.14(c)(3) mit Punktzahl in SPRS (etwa "105 von 110"); vorläufiger Status (Conditional) mit POA&M möglich; ein Level-2-Status deckt Level 1 für denselben Geltungsbereich ab.
• Level 2 (C3PAO) (170.17) und Level 3 (DIBCAC) (170.18): Fremdbewertungen; seit 13.07.2026 dürfen neue Beschaffungsunterlagen sie nicht festlegen, in bestehenden Verträgen gelten sie bis zur Vertragsänderung (cmmc-003).
• POA&M (170.21): Quote aus Punktzahl und Gesamtzahl der Anforderungen mindestens 0,8; nur Anforderungen mit Punktwert 1, mit einer Ausnahme für Verschlüsselung ohne FIPS-Validierung; einige Anforderungen sind ausdrücklich ausgeschlossen, darunter der System Security Plan; Abschlussbewertung binnen 180 Tagen nach dem Datum des vorläufigen Status.
• Affirmation (170.22): Name, Funktion und Kontakt des Affirming Official und Erklärung, dass alle für den jeweiligen CMMC-Status anwendbaren Sicherheitsanforderungen umgesetzt sind und bleiben; nach Erreichen eines vorläufigen oder endgültigen Status, jährlich danach und nach dem POA&M-Abschluss.
• Aktualität (DFARS 252.204-7021): Ein vorläufiger Status darf höchstens 180 Tage alt sein, ein endgültiger Level-1-Status höchstens ein Jahr, ein endgültiger Level-2- oder Level-3-Status höchstens drei Jahre, jeweils ohne Änderungen der Einhaltung seit dem Statusdatum und mit einer höchstens ein Jahr alten Affirmation.

Umsetzungsperspektive

• Geltungsbereich festlegen und dokumentieren.
• Selbstbewertung nach den Verfahren in 170.15 bzw. 170.16 durchführen und belegen.
• Offene Punkte bei Level 2 nur im zulässigen Rahmen in einen POA&M aufnehmen und binnen 180 Tagen schließen.
• Den Affirming Official benennen und den jährlichen Zyklus im Kalender verankern.
• SPRS-Einträge mit dem Hauptauftragnehmer abstimmen.

Typische Fehler

1. Für Level 1 wird ein POA&M geplant, obwohl er dort nicht zulässig ist.
2. Ausgeschlossene Anforderungen werden in den POA&M aufgenommen.
3. Die 180-Tage-Frist für den Abschluss verstreicht.
4. Die jährliche Affirmation wird vergessen.
5. Der Affirming Official kennt seine Verantwortung nicht.

Risiken und Trade-offs

Ein vorläufiger Status mit POA&M verschafft Zeit, birgt aber das Risiko, den Status nach 180 Tagen zu verlieren. Eine knappe Abgrenzung des Geltungsbereichs reduziert den Aufwand, erhöht aber die Anforderungen an die Trennung der Systeme.

Entscheidungspunkte

• Welche Stufe ist verlangt, und welche Systeme sind im Geltungsbereich?
• Wer ist Affirming Official?
• Welche Anforderungen sind offen, und dürfen sie in einen POA&M?
• Wie wird die 180-Tage-Frist überwacht?

Praktische Empfehlungen

1. Dokumentieren Sie Geltungsbereich und Bewertung nachvollziehbar.
2. Planen Sie Level 1 ohne POA&M.
3. Prüfen Sie POA&M-Punkte gegen die zulässigen Anforderungen.
4. Benennen Sie den Affirming Official und schulen Sie ihn.
5. Verankern Sie jährliche Bewertung und Affirmation im Kalender.

Relevante Normreferenzen

• 32 CFR 170.14 bis 170.18, 170.21, 170.22, 170.24 (eCFR, Stand 07.10.2026).
• DFARS 252.204-7021 (Begriff "current") (eCFR, Stand 07.10.2026).
• NIST SP 800-171 Rev 2 (Bezug, keine Wiedergabe).