Die Prüfung ist ausgesetzt, aber die Pflicht bleibt.

Am 13. Juli 2026 hat das Department of War die CMMC-Phase-2-Anforderungen ausgesetzt. Die Bewertung durch einen akkreditierten C3PAO war ab dem 10. November 2026 vorgesehen und findet bis auf Weiteres nicht statt. Unverändert gelten die Selbstbewertung nach Phase 1, DFARS 252.204-7012, DFARS 252.204-7021 mit jährlicher Affirmation, die 110 Kontrollen aus NIST SP 800-171 Rev. 2 und die Pflicht, den Score im SPRS aktuell zu halten.

Ausgesetzt ist damit die Verifikation. Was wegfällt, ist die externe Instanz, die Lücken vor der Zuschlagserteilung gefunden hätte. Die Selbstauskunft im SPRS trägt jetzt allein, was vorher auf zwei Schultern lag.

Im Juli haben ISEC7 und Kiteworks erklärt, was CMMC 2.0 für Zulieferer der US-Verteidigungsindustrie bedeutet. Der Termin im Oktober nimmt den Stand nach dem Reform-Review auf und geht dann dorthin, wofür im ersten Webcast die Zeit fehlte: den Prüfumfang.

Das nehmen Sie mit:

• Was der Reform-Review am Programm geändert hat und was davon in Ihren Verträgen und Ausschreibungen tatsächlich ankommt.
• Welche Kanäle in Ihrem Haus CUI führen, von der E-Mail mit Anhang bis zum abteilungsinternen SFTP-Server, und warum jeder davon im Prüfumfang liegt.
• Wie aus einem Log-Flickenteppich ein Nachweis wird, den ein Prüfer in Stunden abarbeitet statt in Wochen.
• Wo die Klassifizierung ansetzt: Welche Dokumente überhaupt CUI enthalten, entscheidet den Scope, bevor eine einzige Kontrolle greift.

ISEC7 ist kein C3PAO und keine Prüfstelle. Wir gehen den Anforderungskatalog mit Ihnen durch, bestimmen den Scope und begleiten den Betrieb bis zur Audit Readiness. Die Bewertung selbst liegt bei einem akkreditierten Prüfer, und der muss in den USA ansässig sein.

Die Anmeldung läuft über GoToWebinar. Dort erhalten Sie den Zugangslink und im Nachgang die Aufzeichnung. Zur Anmeldung

Der Webcast vom 15. Juli 2026: Kein Nachweis, kein Auftrag

Quelle zum Sachstand: DoD CIO, CMMC-Programmseite, dodcio.defense.gov/CMMC/About