Gestern hätte die Frist sein sollen. Am 10. November 2026 sollten die Anforderungen der CMMC-Phase II in Kraft treten, und kleine Verteidigungsauftragnehmer, die mit Controlled Unclassified Information umgehen, hätten eine Zertifizierung durch Dritte benötigt, um für neue Auftragsvergaben infrage zu kommen. Stattdessen liegt die Anforderung auf Eis. Das Department of War hat Phase II bereits am 13. Juli 2026 ausgesetzt, nachdem die Small Business Administration geschätzt hatte, dass eine vollständige Zertifizierung durch Dritte ein kleines Unternehmen rund 593.800 Dollar kosten könnte, gegenüber etwa 388.600 Dollar für Unternehmen, die für den Weg der Selbsteinschätzung infrage kommen.
Wenn Sie Verteidigungsaufträge halten oder als Subunternehmer an solchen beteiligt sind, ist das kein Befehl zum Rückzug. Es ist ein Anlass, das Budget neu aufzustellen. Die Bewertungsgebühr, vor der Ihnen graute, ist aufgeschoben, aber jede zugrunde liegende Sicherheitsverpflichtung bleibt durchsetzbar, und das Geld, das Sie bereits ausgegeben haben, muss trotzdem auf den richtigen Konten landen. Dieser Beitrag erklärt, was tatsächlich ausgesetzt wurde, warum das Pentagon die Pause verhängt hat und wie Sie Ihr Compliance-Budget so handhaben, dass die Pause Ihnen Geld spart, statt Ihre Bücher durcheinanderzubringen.
Was ausgesetzt wurde – und was nicht
Die Aussetzung richtet sich gegen einen ganz bestimmten Mechanismus: die verpflichtende Bewertung durch Dritte im Rahmen von Phase II. Auftragnehmer, die mit CUI umgehen, hätten eine Zertifizierung durch eine Certified Third-Party Assessment Organization, kurz C3PAO, benötigt, um für erfasste Aufträge infrage zu kommen. Diese Zertifizierungshürde ist nun bis zum Abschluss einer umfassenden Programmüberprüfung ausgesetzt, und ein neuer Termin wurde nicht festgelegt.
Alles andere lief weiter. Die Anforderungen der Phase-1-Selbsteinschätzung bleiben vollständig in Kraft, das heißt, Sie bewerten Ihre eigenen Systeme weiterhin gegen NIST SP 800-171 Revision 2 und übermitteln Ihre Ergebnisse über das Supplier Performance Risk System. Die DFARS-Klausel 252.204-7012 – die zugrunde liegende vertragliche Verpflichtung zum Schutz abgedeckter Verteidigungsinformationen – bleibt unverändert und unberührt. Wenn Ihre Verträge diese Klausel enthalten, hat Ihre Pflicht zum Schutz der Informationen nie auch nur gezuckt.
Denken Sie es sich so: Die Regierung hat die externe Prüfung ausgesetzt, nicht die Hausaufgaben. Ihr System Security Plan, Ihre Plans of Action and Milestones für Lücken, die Sie noch nicht geschlossen haben, Ihre Bereitschaft zur Vorfallreaktion und Ihr aktueller SPRS-Score zählen alle weiterhin. Ein Contracting Officer kann weiterhin danach fragen, und ein Hauptauftragnehmer, der Anforderungen an Sie weiterreicht, kann weiterhin Nachweise verlangen. Die Unternehmen, die die Aussetzung wie Urlaub behandeln, werden am härtesten schwitzen, wenn der neue Zeitplan kommt.
Warum das Pentagon die Pause verhängt hat
Drei Faktoren trieben die Entscheidung, basierend auf den eigenen öffentlichen Erklärungen des Ministeriums und Branchenberichten.
Erstens die Kostenlast. Die Analyse der SBA bezifferte die gesamten Compliance-Kosten für kleine Unternehmen, die eine Bewertung durch Dritte benötigen, auf etwa 593.800 Dollar pro Zertifizierung. Diese Zahl bündelt Remediation, Dokumentation, Tooling und Bewertungsgebühren, und für Unternehmen, die mit Verteidigungsmargen operieren, reichte sie Berichten zufolge aus, um manche vollständig aus der Defense Industrial Base zu drängen. Die engeren Schätzungen des Ministeriums selbst erzählen dieselbe Geschichte in kleinerem Maßstab: rund 105.000 Dollar über den dreijährigen Zertifizierungszyklus für eine C3PAO-Bewertung auf Level 2 für kleine Unternehmen, und das deckt nur die Bewertung ab, nicht die dahinterliegende Sicherheitsarbeit. Die Selbsteinschätzung auf Level 1 kostet etwa 6.000 Dollar pro Jahr, während der Weg der Selbsteinschätzung auf Level 2 über drei Jahre insgesamt rund 37.000 Dollar umfasst. Bei mehr als 100.000 kleinen Unternehmen im Geltungsbereich wirkte die Gesamtsumme wie eine Eintrittsbarriere für genau die Zulieferer, die das Pentagon nach eigenen Angaben will.
Zweitens die Prüferkapazität. Die Zahl der akkreditierten C3PAOs reichte nicht aus, um die Menge der Auftragnehmer zu bewältigen, die vor der Novemberfrist eine Zertifizierung benötigten. Ein hartes Compliance-Datum gepaart mit zu wenigen Prüfern schuf einen strukturellen Engpass, den das Ministerium innerhalb des bestehenden Zeitplans nicht lösen konnte. Selbst Auftragnehmer, die zahlen wollten, konnten nicht sicher sein, rechtzeitig bewertet zu werden.
Drittens die politische Ausrichtung. Die Beschaffungsführung des Ministeriums hat Tempo hin zur Einsatzfähigkeit und niedrigere Eintrittsbarrieren für kleine und nicht-traditionelle Auftragnehmer priorisiert. Ein mehrjähriger, teurer Zertifizierungszyklus wurde als unvereinbar mit dieser Vorgabe bewertet, sodass die Aussetzung zusammen mit einer umfassenden Überprüfung durch eine neu gebildete CMMC Reform Task Force kam. Die öffentliche Botschaft lautete, dass die Cybersicherheit selbst nicht reduziert wird, sondern nur der bürokratische Aufwand beim Nachweis.
Keiner dieser Gründe deutet darauf hin, dass die Anforderung verschwindet. Kostendruck spricht für einen günstigeren Weg, Prüferknappheit für einen längeren Zeitplan und Beschaffungsreform für einfachere Mechanismen. Jedes dieser Ergebnisse endet weiterhin damit, dass Sie Compliance nachweisen. Budgetieren Sie entsprechend.
Was das jetzt für Ihr Compliance-Budget bedeutet
Beginnen Sie damit, Ihr Compliance-Budget in drei Töpfe aufzuteilen, denn die Aussetzung behandelt jeden anders.
Topf eins sind Kontrollen, die Sie ohnehin schulden. Managed Detection, Protokollaufbewahrung, Multi-Faktor-Authentifizierung, Patch-Kadenz, Backup-Tests, Security-Awareness-Schulungen und die Dokumentation, die all das belegt: Nichts davon wurde ausgesetzt. DFARS 252.204-7012 verlangt es weiterhin, die Phase-1-Selbsteinschätzung bewertet es weiterhin, und Ihr SPRS-Score weist es weiterhin aus. Finanzieren Sie diesen Topf weiterhin voll aus. Kürzungen hier sparen kein Geld; sie erzeugen Befunde für die spätere Bewertung und schwächen Ihre Position bei jeder Ausschreibung, die nach Ihrer Sicherheitslage fragt.
Topf zwei ist die aufgeschobene Zertifizierungsgebühr. Wenn Sie eine Anzahlung für eine C3PAO-Bewertung geplant oder eine Readiness-Bewertung für den Herbst angesetzt hatten, verschiebt sich diese Ausgabe, sie verschwindet nicht. Buchen Sie sie nicht in die allgemeinen Mittel zurück und hoffen Sie, dass der neue Termin sein eigenes Budget mitbringt. Legen Sie sie sichtbar als reservierten Betrag zurück, damit die künftige Bewertung nicht als Überraschung kommt. Wenn Sie bereits eine Anzahlung geleistet haben, ist diese Zahlung ein aktivierter Rechnungsabgrenzungsposten, kein Aufwand, und Ihre Bücher sollten das so ausweisen, bis die Bewertung tatsächlich stattfindet.
Topf drei ist Evidenz-Hygiene, die sich in jedem Fall auszahlt. Die Behebung von Lücken gegen NIST SP 800-171, die Pflege der POA&M, Routinen zur Nachweiserhebung und die Nachverfolgung der Weitergabe an Subunternehmer werden alle billiger, je früher Sie sie aufbauen, und teurer, je länger Sie sie aufschieben. Dies ist der Ort mit der höchsten Rendite, um freigewordenes Bewertungsgeld umzuleiten. Ein Auftragnehmer mit sauberer Evidenz kann schnell reagieren, wenn der neue Zeitplan erscheint; ein Auftragnehmer mit veraltetem System Security Plan zahlt Eiltarife für dieselbe Arbeit.
Ein weiterer Budget-Fakt zu Ihren Gunsten: Compliance-Kosten gelten bei Verteidigungsaufträgen im Allgemeinen als erstattungsfähig. Das Ministerium hat erklärt, dass die Kosten der Einhaltung von DFARS 252.204-7012 wahrscheinlich erstattungsfähig und indirekten Kostenpools zurechenbar sind, und Zertifizierungskosten wurden als erstattungsfähige, rückzahlbare Kosten beschrieben. Erstattungsfähig heißt nicht automatisch und heißt nicht profitabel, aber es heißt, dass disziplinierte Nachverfolgung Compliance-Ausgaben von reinem Gemeinkostenaufwand in dokumentierte Vertragskosten verwandelt. Das funktioniert nur, wenn Ihre Bücher genau zeigen können, was Sie ausgegeben haben, für welche Anforderung und wann.
Buchen Sie die Pause richtig: Halten Sie das Bewertungsgeld sichtbar
Der Buchhaltungsfehler, zu dem die Aussetzung verleitet, ist das Verwischen dieser Töpfe. Eine Anzahlung für eine nun aufgeschobene Bewertung wird als Aufwand gebucht, als hätte die Bewertung stattgefunden. Tooling-Abonnements werden auf allgemeine IT gebucht statt auf das Compliance-Vorhaben, das sie unterstützen. Rechnungen von Remediation-Dienstleistern stapeln sich auf einem Konto ohne Bezug zu den Kontrollfamilien, die sie adressiert haben. Ein halbes Jahr später kann niemand mehr rekonstruieren, was das Programm gekostet hat oder welche Beträge in einen indirekten Kostenpool gehören.
Beheben Sie das von Anfang an mit getrennten Konten: Bewertungsgebühren, Sicherheits-Tooling und Remediation-Arbeit bekommen jeweils ihr eigenes Aufwandskonto, und jede Zahlung für noch nicht erbrachte Leistungen bleibt als aktiver Rechnungsabgrenzungsposten bis zur Lieferung. Hier ist das Muster für einen kleinen Auftragnehmer, der im Juni eine Readiness-Anzahlung geleistet hat, sein Detection-Tooling durch die Aussetzung weiterlaufen ließ und einen Remediation-Sprint im Juli gegen zwei NIST-Kontrollfamilien abgrenzte:
2026-01-01 open Assets:Cash:Operating USD
2026-01-01 open Assets:Prepaid:Compliance USD
2026-01-01 open Expenses:Compliance:Assessment-Fees USD
2026-01-01 open Expenses:Compliance:Security-Tooling USD
2026-01-01 open Expenses:Compliance:Remediation USD
2026-01-01 open Liabilities:Accrued:Compliance USD
2026-06-15 * "C3PAO" "Readiness deposit ahead of November Phase 2 deadline"
Assets:Prepaid:Compliance 15000.00 USD
Assets:Cash:Operating -15000.00 USD
2026-07-31 * "MSSP" "July managed detection and log retention"
Expenses:Compliance:Security-Tooling 1200.00 USD
Assets:Cash:Operating -1200.00 USD
2026-07-31 * "Contractor" "NIST 800-171 remediation sprint, access control and system protection families"
Expenses:Compliance:Remediation 8400.00 USD
Liabilities:Accrued:Compliance -8400.00 USD
2026-08-05 * "Contractor" "Pay July remediation invoice"
Liabilities:Accrued:Compliance 8400.00 USD
Assets:Cash:Operating -8400.00 USDBeachten Sie, was die Aussetzung in diesem Journal ändert: nichts am Tooling oder an der Remediation, die immer erforderlich waren, und nichts an der Anzahlung, die genau dort bleibt, wo sie ist. Die 15.000 Dollar bleiben ein aktiver Rechnungsabgrenzungsposten, weil die Bewertung, die sie bezahlen, aufgeschoben und nicht storniert ist. Sie jetzt als Aufwand zu buchen würde die Compliance-Kosten dieses Jahres überzeichnen und dann die Kosten des Bewertungsjahres unterzeichnen, wenn die Rechnung gegen eine bereits vergessene Zahlung eintrifft. Wenn Sie Ihre Bücher in Plain Text führen, lassen sich die Muster zur Kostenverfolgung in der Dokumentation ganz natürlich auf eine solche Aufteilung der Compliance pro Anforderung übertragen.
Benennen Sie die Anforderung in jeder Buchungstextzeile. Wenn eine künftige Bewertung, eine DCAA-Anfrage oder Ihr eigener Abschlussprozess fragt, wofür eine Belastung war, ist die Buchungstextzeile die Antwort. „Remediation sprint, access control and system protection families" übersteht die Prüfung; „consulting" nicht.
Vier Fehler, die aus einer Pause eine Strafe machen
Die Aussetzung ist großzügig, aber sie bestraft vier ganz bestimmte Verhaltensweisen.
Erstens: bei SPRS verstummen. Ihr Selbsteinschätzungs-Score ist weiterhin Ihre öffentliche Sicherheitslage, und Hauptauftragnehmer prüfen ihn weiterhin, bevor sie Subunternehmerverträge vergeben. Ein Score, der verfällt, weil Sie aufgehört haben, ihn zu aktualisieren, liest sich schlechter als ein bescheidener Score, den Sie aktiv pflegen. Halten Sie die Bewertung aktuell und schließen Sie POA&Ms weiterhin planmäßig.
Zweitens: Remediation mitten im Prozess einfrieren. Halb migriertes Logging, ein teilweise ausgerolltes Privileged-Access-Tool, eine Dokumentation, die die alte Architektur beschreibt: Aufgeschobene Projekte verfallen schneller als laufender Betrieb. Schließen Sie die Kontrolle entweder ab oder legen Sie sie formell neu fest; lassen Sie sie nicht halbfertig liegen, bis die neue Frist einen Neustart zu Eiltarifen erzwingt.
Drittens: Compliance-Kosten mit allgemeiner IT vermischen. Die oben beschriebene Behandlung der Erstattungsfähigkeit hängt von der Identifizierbarkeit ab. Wenn Ihre Detection-Plattform, Ihre Prüferanzahlung und Ihre Büro-Laptops alle über ein IT-Konto laufen, können Sie nicht nachweisen, welche Beträge eine Vertragsanforderung gestützt haben. Getrennte Konten kosten nichts in der Pflege und sind der Unterschied zwischen einem dokumentierten indirekten Kostenposten und einer Diskussion.
Viertens: die Weitergabe an Subunternehmer verfallen lassen. Wenn Sie Hauptauftragnehmer sind, erben Ihre Subunternehmer, die mit föderalen Vertragsinformationen oder CUI umgehen, weiterhin Verpflichtungen durch Ihre Verträge, unabhängig von der Phase-II-Pause. Wenn Sie Subunternehmer sind, wurden die Anforderungen Ihres Hauptauftragnehmers nicht durch eine Ankündigung auf Ministeriumsebene ausgesetzt. Prüfen Sie jetzt die Weitergabeklauseln, solange niemand prüft, statt eine Lücke erst während der Leistungserbringung zu entdecken.
Worauf Sie als Nächstes achten sollten
Drei Signale werden Ihnen zeigen, wie die Geschichte endet. Die Empfehlungen der Reform Task Force wurden für den Herbst 2026 erwartet und werden die Ersatzmechanik skizzieren: mögliche Gegenseitigkeit mit anderen Rahmenwerken, gestufte Bewertungswege oder ein längerer Übergangspfad für kleine Unternehmen. Achten Sie auf ein neues Wirksamkeitsdatum für Phase II, das am Tag seiner Bekanntgabe jede Planungsannahme in diesem Beitrag zurücksetzt. Und achten Sie auf Ihr eigenes Postfach von Hauptauftragnehmern, denn große Auftragnehmer legen oft schneller eigene Sicherheitsanforderungen für Lieferanten fest, als das Ministerium sich bewegt – Aussetzung hin oder her.
Bis dahin ist die erfolgversprechende Haltung langweilig: Halten Sie Ihr Phase-1-Haus in Ordnung, halten Sie Ihren SPRS-Score ehrlich, halten Sie Remediation finanziert und halten Sie jeden Compliance-Dollar in einem Konto, das die Anforderung benennt, der er diente. Wenn der neue Zeitplan kommt, soll die einzige Überraschung sein, wie bereit Sie bereits sind. Der letzte nützliche Schritt ist der kleinste: Öffnen Sie diese Woche Ihre Bücher und bestätigen Sie, dass Ihr aufgeschobenes Bewertungsgeld als aktiver Rechnungsabgrenzungsposten liegt und nicht in einem Aufwandskonto vergraben ist, wo das Budget des nächsten Jahres es nicht findet.
