Defense-Contractors wirken so, als wären sie bei der Cybersecurity-Compliance heute sicherer als je zuvor. Dennoch zeigen aktuelle Umfragen ein klares Bild: Zwischen dem Gefühl, den Anforderungen zu genügen, und dem tatsächlichen Nachweis klafft eine Lücke. Genau diese Spannung steht im Zentrum zweier unabhängiger Erhebungen, die ein ähnliches Muster sichtbar machen.
Die Ergebnisse sind besonders brisant, weil die regulatorische Situation in den letzten Monaten durch die Aussetzung von CMMC 2.0 Phase 2 dritterseitigen Prüfungen beeinflusst wurde. Auch wenn bestimmte Kontrollen pausieren, bleibt die Erwartung bestehen, dass Unternehmen ihre Angaben korrekt belegen können.
Warum Contractors zuversichtlicher werden
In einer Umfrage von Kiteworks wurden 273 Defense-Contractors befragt. Dies geschah in den Tagen nach der Entscheidung des Pentagons, CMMC 2.0 Phase 2 Drittanbieter-Reviews auszusetzen. In dieser Befragung gaben 96 % an, sie seien zuversichtlich, dass ihre selbst bestätigten Werte für den Supplier Performance Risk System (SPRS)-Score unter einer späteren Prüfung Bestand hätten.
Auf den ersten Blick könnte das beruhigen. Die Aussage bezieht sich jedoch auf Selbstbewertungen. Entscheidend ist daher, ob die Unternehmen diese Einschätzungen nicht nur behaupten, sondern auch mit aktuellen Einreichungen und geeigneten Plattformen untermauern können.
Die Nachweise bleiben offenbar zurück
Kiteworks betrachtete nicht nur, wie reif die Compliance laut Selbstauskunft wirkt, sondern auch, wie die Unternehmen auf die Aussetzung reagierten. Die Methodik kombiniert diese Faktoren zu einem Gesamtwert. Die Kernaussage: Die gemessene Fähigkeit, die eigene Compliance tatsächlich durch konkrete, prüfbare Unterlagen zu belegen, fällt im Vergleich zur reinen Zuversicht deutlich geringer aus.
So konnten nur 29 % der Befragten ihre Erwartung mit zwei harten Kriterien stützen: mit einer aktuellen SPRS-Einreichung und der Nutzung einer FedRAMP-berechtigten Plattform. Damit zeigt sich ein grundlegendes Problem: Viele Unternehmen sind zwar überzeugt von der Richtigkeit ihrer Angaben, können diese Überzeugung aber nicht in derselben Qualität belegen, die für unabhängige Prüfungen nötig wäre.
In der Auswertung lag der kombinierte Score bei 60 von 100. Zum Vergleich: Eine einfache Durchschnittsbetrachtung hätte laut Bericht einen Wert von rund 77 ergeben. Das verdeutlicht, dass die Lücke in der Nachweisfähigkeit nicht nur klein ist, sondern den Gesamteindruck spürbar prägt.
Besonders auffällig: Etwa ein Drittel der Teilnehmenden erzielte in beiden Dimensionen niedrige Werte gleichzeitig. Diese Gruppe stellt in der Erhebung das größte zusammenhängende Cluster mit Defiziten dar.
Die Aussetzung ändert nichts an der rechtlichen Lage
Ein zentraler Punkt: Die Aussetzung von Phase 2 beseitigt nicht automatisch rechtliche Risiken. Kiteworks betont, dass die zugrunde liegende DFARS-Verpflichtung, korrekt zu attestieren, nicht pausiert. Zwar fällt die dritterseitige Prüfung dieser Attestations zeitweise weg, die rechtliche Verantwortung für zutreffende Angaben bleibt jedoch bestehen.
Entsprechend äußerten viele Unternehmen Sorge. 84 % der Befragten gaben an, sie seien wegen einer möglichen False-Claims-Act-Haftung im Zusammenhang mit einem ungenauen Score besorgt. In der Umfrage sagte außerdem 92 %, sie hätten bereits rechtliche oder Compliance-Prüfungen hinzugezogen.
Das deutet darauf hin, dass die Unsicherheit weniger aus dem Wegfall eines Prüfmechanismus entsteht, sondern aus der Frage, wie belastbar die eigene Datenlage im Zweifel ist.
Unwissen über Pflichten trotz Pause
Zusätzlich zeigt die Erhebung eine Informationslücke. Fast die Hälfte der Befragten wusste nicht, dass die Self-Assessment-Verpflichtungen aus Phase 1 auch während der Aussetzung weiter gelten.
Auch das Selbstbild ist nicht immer hilfreich: Unternehmen, die sich als „sehr zuversichtlich“ bezeichneten, schnitten im Faktencheck nicht besser ab als jene, die nur „etwas zuversichtlich“ waren. Das spricht dafür, dass Zuversicht allein kein verlässlicher Indikator für korrekte Umsetzung ist.
Marktreaktion: Ausschreibungen werden neu bewertet
Die veränderte Lage hat auch unmittelbare Auswirkungen auf das Marktgeschehen. Laut Kiteworks berichteten 55 % der Unternehmen, sie würden nun Angebote abgeben, die sie zuvor wegen der Anforderungen an CMMC Level 2 gemieden hatten.
Gleichzeitig gibt es gegenläufige Effekte: 52 % zogen sich aus einer Ausschreibung des Department of War zurück, und 38 % gaben an, im Zusammenhang mit derselben Anforderung Verträge verloren zu haben oder disqualifiziert worden zu sein. Damit wird sichtbar, dass Unternehmen die veränderte Barriere unterschiedlich interpretieren oder dass Kundenanforderungen in Ausschreibungen nicht überall synchron angepasst werden.
Besonders betroffen seien kleinere Zulieferer. Tier-2-Unternehmen und solche auf niedrigeren Ebenen berichteten Bid-Loss-Raten von 55 % – fast doppelt so hoch wie 31 % bei Prime Contractors.
Bestätigtes Muster in einer zweiten Langzeitstudie
Ein zweites Bild liefert das „2026 State of the DIB Report“ von CyberSheath und Merrill Research. Diese Untersuchung befragte 302 Contractors im Mai 2026 – also zu einem Zeitpunkt, bevor die Aussetzung effektiv griff. Dadurch liefert der Report einen Blick auf die Entwicklung über längere Zeit, nicht nur auf die unmittelbare Reaktion.
Auch dort zeigte sich ein Spannungsverhältnis. Der durchschnittliche SPRS-Score stieg auf ein Fünfjahreshoch: Er lag bei +51 gegenüber +33 im Jahr 2025. Als Referenz nennt der Report einen maximal möglichen Score von 110.
Parallel dazu fiel die Zuversicht jedoch deutlich. Nur 65 % der Contractors sagten, sie seien extrem oder sehr zuversichtlich, dass ihre Werte zutreffen. Das ist ein Rückgang gegenüber 89 % im Vorjahr und sogar 94 % im Jahr 2024.
Noch deutlicher wird es bei der Frage nach vollständiger Vorbereitung: Lediglich 1 % betrachtete sich als vollständig bereit für die CMMC-Zertifizierung. Diese Zahl blieb laut Report im Vergleich zum vorherigen Jahr unverändert.
Budget und Kerntechnologien: Investitionen steigen
Finanziell sieht es in der Erhebung vergleichsweise stabil aus. Die Studie von CyberSheath nennt durchschnittliche jährliche Budgets für DFARS-Compliance von 155.000 US-Dollar. 53 % bewerteten diesen Betrag als „gerade richtig“, während 24 % angaben, er sei mehr als ausreichend.
Auch die Verbreitung grundlegender Security-Technologien nahm zu. Genannt wurden unter anderem:
- Multi-Faktor-Authentifizierung: 63 %
- Sichere Backups: 48 %
- Schutz vor Datenlecks und Vulnerability Management: jeweils 44 %
- Endpoint Detection: 40 %
Das spricht dafür, dass Sicherheitsmaßnahmen operativ umgesetzt werden. Gleichzeitig bleibt aber die Frage offen, wie gut diese Maßnahmen in prüfbare Nachweise übersetzt werden, wenn ein externer Blick erforderlich ist.
Was die Industrie jetzt fordert
Beide Reports kommen zu einem ähnlichen Wunschbild: Contractors wollen, dass Verifikation ein Bestandteil des Prozesses bleibt. Die Idee ist nicht, Zertifizierungen komplett zu entkoppeln, sondern sicherzustellen, dass Nachweise weiterhin eine Rolle spielen.
In der Kiteworks-Umfrage sagten 93 %, eine unabhängige Third-Party-Autorisierung sei für die künftige Auswahl von Lieferanten wesentlich oder zumindest wichtig. Zudem planen 93 %, eine Stellungnahme auf eine Informationsanfrage des Department of War einzureichen, mit 58 %, die davon ausgehen, dass Phase 2 in veränderter Form zurückkehren wird.
CyberSheath und Merrill Research fanden ebenfalls klare Präferenzen. 90 % wünschen sich, dass die Regierung Mindeststandards für Cybersecurity für alle Bundesauftragnehmer verbindlich macht. Außerdem gaben 77 % an, dass DFARS-Compliance die nationale Sicherheit spürbar verbessert.
Auf der anderen Seite wollen viele auch weniger Reibung: 74 % wünschen sich eine leichtere Umsetzung und 70 % mehr Optionen für Lieferanten.
Der Kernfokus: Abstand zwischen Gefühl und Beleg
In den Zitaten der Studienautoren verdichtet sich die zentrale Botschaft. Kiteworks formuliert es als „Abstand zwischen Zuversicht und Evidenz“: Viele Unternehmen fühlen sich richtig, aber die Belegkette ist nicht überall so belastbar, wie sie für unabhängige Prüfungen sein muss.
Auch CyberSheath argumentiert ähnlich, jedoch aus einem anderen Blickwinkel. Der CEO betont, dass viele Contractors in erster Linie Hersteller und Ingenieure seien, die den Auftrag für das Militär unterstützen. Daher müsse sich jede Weiterentwicklung des CMMC so gestalten lassen, dass Compliance leichter erreichbar wird – ohne den Anspruch auf objektiv nachprüfbare Nachweise zu verlieren.
Fazit: Zuversicht allein reicht nicht
Die Umfragen zeichnen ein konsistentes Gesamtbild: Die CMMC-Zuversicht steigt, doch die Fähigkeit, Compliance überzeugend zu belegen, bleibt hinter den Erwartungen zurück. Gerade deshalb bleibt das Thema nicht nur technisch, sondern auch rechtlich und strategisch relevant.
Für Unternehmen bedeutet das: Wer künftig sicher ausschreiben und Risiken reduzieren will, muss stärker darauf achten, dass Daten, Einreichungen und Plattformanforderungen so zusammenpassen, dass ein externer Check nicht ins Leere läuft. Gleichzeitig zeigt die Marktlage, dass Änderungen in CMMC-Regeln und Prüfprozessen Auswirkungen auf Angebote, Disqualifikationen und Wettbewerbsfähigkeit haben – besonders für kleinere Zulieferer.
Quelle: https://www.securityweek.com/contractors-cmmc-confidence-rises-as-ability-to-prove-it-falls-behind/
