CMMC im Überblick: wann deutsche Zulieferer der US-Verteidigung betroffen sind

Problem in der Praxis

Deutsche Zulieferer erhalten CMMC-Anforderungen meist nicht von einer US-Behörde, sondern von ihrem US-Hauptauftragnehmer, der sie nach 32 CFR 170.23 weitergeben muss. Oft ist unklar, ob die eigenen Systeme überhaupt FCI oder CUI berühren, etwa Zeichnungen, Spezifikationen oder Vertragsdaten. Wer das nicht klärt, kann weder richtig bewerten noch dem Hauptauftragnehmer belastbar antworten.

CISO-Einordnung

• Anwendungsbereich (32 CFR 170.3): Auftragnehmer und Unterauftragnehmer mit FCI oder CUI auf nicht eingestuften Auftragnehmer-Informationssystemen, auch bei kommerziellen Gütern, ausgenommen ausschließlich COTS, oberhalb der Micro-Purchase-Schwelle. Das Ministerium kann die Anwendung vor einer Ausschreibung nach seinen Verfahren abbedingen.
• Festlegung je Vertrag: Programmverantwortliche wählen den CMMC-Status nach Art der Information (FCI oder CUI).
• Lieferkette (170.23): Verarbeitet ein Unterauftragnehmer nur FCI, braucht er Level 1 (Self); bei CUI mindestens Level 2 (Self); verlangt der Hauptauftrag Level 2 (C3PAO) oder Level 3 (DIBCAC), braucht der Unterauftragnehmer mit CUI mindestens Level 2 (C3PAO). Diese Stufen sind während der Aussetzung nicht festlegbar (cmmc-003).
• Vertragsklausel (DFARS 252.204-7021): aktueller CMMC-Status für alle Systeme mit FCI oder CUI über die Vertragsdauer, jährliche Bestätigung in SPRS, Weitergabe an Unterauftragnehmer und Prüfung von deren Status vor der Vergabe.

Für deutsche Zulieferer bedeutet das: Die Pflicht entsteht vertraglich über die Lieferkette, nicht über eine Zulassung in Deutschland.

Umsetzungsperspektive

• Klären, ob und wo FCI oder CUI aus US-Verteidigungsaufträgen in eigene Systeme gelangt.
• Den Geltungsbereich (Assessment Scope) auf die betroffenen Systeme zuschneiden.
• Mit dem Hauptauftragnehmer die verlangte Stufe und die Nachweise abstimmen.
• Den aktuellen Stand der Aussetzung bei jeder neuen Ausschreibung prüfen.

Typische Fehler

1. CMMC wird als reine US-Angelegenheit des Hauptauftragnehmers betrachtet.
2. Der Zulieferer weiß nicht, ob er FCI oder CUI verarbeitet.
3. Die Aussetzung von Phase II wird als Aufhebung von CMMC verstanden, obwohl Selbstbewertungen und DFARS 252.204-7012 weiter gelten.
4. Ein C5-Testat oder eine ISO-27001-Zertifizierung wird als Ersatz angeboten; als Anerkennung nennt 32 CFR 170.20 nur bestimmte frühere Bewertungen der DCMA DIBCAC (High Assessment mit voller Punktzahl).
5. Der Geltungsbereich wird nicht abgegrenzt, sodass die gesamte Unternehmens-IT bewertet werden müsste.

Risiken und Trade-offs

Eine enge Abgrenzung der Systeme mit FCI oder CUI senkt den Aufwand, verlangt aber saubere Datenflüsse. Frühe Vorbereitung auf höhere Stufen kann sich lohnen, wenn das Programm nach der Überprüfung wieder Fremdbewertungen verlangt; ob und wann das geschieht, ist offen.

Entscheidungspunkte

• Verarbeiten wir FCI, CUI oder keines von beiden?
• Welche Systeme gehören in den Geltungsbereich?
• Welche Stufe verlangt der Hauptauftragnehmer?
• Wer verfolgt den Stand der Aussetzung und der Überprüfung?

Praktische Empfehlungen

1. Erfassen Sie die Informationsarten aus US-Verteidigungsaufträgen.
2. Grenzen Sie den Geltungsbereich auf betroffene Systeme ab.
3. Stimmen Sie die verlangte Stufe schriftlich mit dem Hauptauftragnehmer ab.
4. Behandeln Sie die Aussetzung nicht als Freistellung.
5. Beobachten Sie die Ergebnisse der Überprüfung durch das Ministerium.

Relevante Normreferenzen

• 32 CFR Part 170, insbesondere 170.3 und 170.23 (eCFR, Stand 07.10.2026); Final Rule 89 FR 83092 (15.10.2024).
• DFARS 252.204-7021 und 204.7502 (eCFR, Stand 07.10.2026); Final Rule 90 FR 43560 (10.09.2025, wirksam 10.11.2025).
• Memoranden des DoW CIO vom 13.07.2026 zur Aussetzung von Phase II.