CMMC ausgesetzt: Die Governance der US-Verteidigungsbehörde ins Wanken geraten

Die Aussetzung vom 13. Juli 2026

Am 13. Juli 2026 setzte das Department of Defense den Übergang zu Phase 2 des Cybersecurity Maturity Model Certification aus – ein Programm, das über fünf Jahre hinweg entwickelt wurde, um die Cybersicherheit der industriellen Verteidigungsbasis zu zertifizieren. Die Entscheidung erfolgte durch zwei administrative Memoranda: eines vom Chief Information Officer des Ministeriums, das andere vom Under Secretary of Defense for Acquisition and Sustainment unterzeichnet. Zusammen verpflichten sie die Vertragsaktivitäten, ausschließlich Selbstbewertung zu akzeptieren, ordnen die Entfernung von Anforderungen zur Bewertung höherer Ebenen aus aktiven Ausschreibungen und bestehenden Verträgen an und blockieren jede Ausnahmeregelung während einer 60-Tage-Überprüfung, wie Lawfare^[1] berichtet.

Das Ministerium präsentiert den Schritt als Erleichterung der Verwaltungslast für kleine Zulieferunternehmen. Die Begründung hat einen realen Hintergrund: Die Zertifizierung auf Stufe drei ist mit erheblichen Kosten für Unternehmen mit niedrigen Gewinnmargen verbunden. Die Art und Weise, wie die Aussetzung erfolgt, verändert jedoch das Rechtssystem radikal im Vergleich zu einer bloßen regulatorischen Anpassung.

Was es vorher gab, was sich jetzt ändert

Das CMMC stützt sich auf zwei legislative Regeln, die durch ein öffentliches Notice-and-Comment-Verfahren angenommen wurden. Die CMMC Program Rule, die im Dezember 2024 in Kraft trat, legt die Bewertungsstufen fest, das Ökosystem von Drittbewertungen, das Regime der jährlichen Bestätigung und eine Ausnahmeregelung für den Einzelfall, die an hochrangige Beschaffungsbeamte delegiert wird. Die Zwillingsregel, die Acquisition Rule, die am 10. November 2025 in Kraft trat, führte die operative Vertragsklausel in die Defense Federal Acquisition Regulation Supplement ein.

Beide Regeln bleiben formell gültig, ohne Änderungen oder Aufhebung durch ein formales Verfahren. Die Aussetzung betrifft nur deren praktische Anwendung, die auf administrativem Wege durchgesetzt wird.

Das Rechtsproblem: Memorandum gegen verbindliche Regel

Die Linie zwischen einer legislativen Regel und einer Auslegungsleitlinie ist das Herzstück dieser Angelegenheit. Nach dem Administrative Procedure Act kann eine Behörde ihre eigene Auslegung einer bestehenden Regel schnell ändern und das öffentliche Kommentarverfahren umgehen. Das Urteil Perez v. Mortgage Bankers Association von 2015 bestätigte dieses Prinzip, wie die auf Lawfare veröffentlichte Analyse erinnert.

Eine Auslegungsleitlinie unterscheidet sich grundlegend von einer verbindlichen Regel. Die CMMC Program Rule und die Acquisition Rule haben Gesetzeskraft und wurden durch öffentliche Kommentarfristen angenommen. Die Aussetzung ihrer praktischen Wirkung durch ein administratives Memorandum wirft eine Frage auf, die Gerichte beantworten müssen: Kann ein Dokument ohne Gesetzeskraft die Anwendung einer Regel einfrieren, die solche Kraft besitzt?

Zwei jüngste Entwicklungen im amerikanischen Verwaltungsrecht machen diese Frage besonders relevant. Der Supreme Court hat die Auslegungsdeferenz gegenüber Bundesbehörden reduziert. Derselbe Gerichtshof hat die Bedingungen verschärft, unter denen eine Behörde von einer vorherigen regulatorischen Position abweichen kann und fügt damit eine zweite Ebene der rechtlichen Anfälligkeit der Aussetzung hinzu.

Die sachliche Begründung unter Prüfung

Das Ministerium begründet die Aussetzung mit dem Gewicht der Zertifizierung auf Stufe drei für kleine Zulieferunternehmen. Die von Lawfare^[1] veröffentlichte Analyse stellt fest, dass die zentrale sachliche Begründung einer Überprüfung verfügbarer Daten nicht standhält.

Die Verringerung der Verwaltungslast, wenn sie mit dem aktuellen Cybersicherheitsbedrohungsumfeld verglichen wird, scheint geringer zu sein als in den beiden Memoranda angegeben. Der durch die Aussetzung geopferte Sicherheitsvorteil übersteigt nach dieser Analyse die von kleineren Unternehmen erreichten administrativen Einsparungen.

Diese Diskrepanz zwischen erklärter Begründung und verifizierbarer Tatsache fügt ein drittes Anfälligkeitsniveau zur Aussetzung hinzu, zusätzlich zu den bereits erwähnten zwei Verwaltungsprofilen: die Art des Memorandums gegenüber der verbindlichen Regel und die Verschärfung der Rechtsprechung zu Kursänderungen von Bundesbehörden.

Das Governance-Signal

Ein Cybersicherheitsrahmen, der von geschriebenen Regeln abhängt, die veröffentlicht, einer öffentlichen Kommentierung unterzogen und dann durch zwei interne Memoranda eingefroren werden, zeigt eine unvollständige Rechenschaftsstruktur. Die zentrale Frage bleibt offen: Welche namentlich benannte Amtsperson trägt die Verantwortung für die Entscheidung, während der nächsten 60 Tage ausschließlich Selbstbewertung zu akzeptieren?

Das vom CIO unterzeichnete Memorandum und das vom Under Secretary for Acquisition and Sustainment unterzeichnete teilen sich die operationelle Verantwortung. Der Entscheidungsprozess, der zur Aussetzung führte, entbehrt einer öffentlichen Darstellung, die dem Notice-and-Comment-Verfahren entspricht. Diese Diskrepanz zwischen unmittelbarer Aussetzungsbefugnis und prozeduraler Transparenz definiert das Risiko, das jeder General Counsel der Verteidigungsindustriebasis jetzt bewerten muss, wie auch Nextgov/FCW^[2] berichtet, das Aussagen des Beamten John Tenaglia zu diesem Dossier zitiert.

Die Aussetzung hat einen zweiten, weniger sichtbaren Effekt: Unternehmen, die in Bewertungen auf Stufe drei investiert hatten, sind mit Compliance-Ausgaben konfrontiert, die vorerst keine unmittelbare vertragliche Entsprechung haben.

Drei Entscheidungen für den Board

Für General Counsel, Chief Risk Officer und Board Audit & Risk Committee von Unternehmen in der Verteidigungsindustriebasis stellt die CMMC-Aussetzung drei unterschiedliche Entscheidungen dar.

1. Der General Counsel muss klären, welche vertraglich verbleibende Exposition entsteht, falls die Durchsetzung höherer Ebenen vor Ende der 60-Tage-Überprüfung wiederaufgenommen wird, da die zugrunde liegenden Regeln formell gültig bleiben.
2. Der Chief Risk Officer muss das Cybersecurity-Risiko-Framework aktualisieren und das Risiko der technischen Sicherheit, das unverändert bleibt, vom Regelungsrisiko trennen, das vorübergehend ausgesetzt ist und ohne Dauer-Klarheit bleibt.
3. Der Board Audit & Risk Committee muss bewerten, welche Offenlegung gegenüber Investoren die Aussetzung erfordert, besonders für börsennotierte Unternehmen mit Bundesverträgen im Zusammenhang mit Zertifizierung auf Stufe drei.

Die oben beschriebenen drei Entscheidungen haben ein gemeinsames Merkmal: jede erfordert eine schriftliche, datierte Antwort, die einer identifizierbaren Person innerhalb der Organisation zugeordnet werden kann, niemals zu einem anonymen Komitee oder einer generischen Richtlinie.

Der Chief Executive Officer steht einer von den oben aufgeführten drei unterschiedlichen strategischen Entscheidung gegenüber: die bereits geplanten Investitionen in die Zertifizierung auf Stufe drei beibehalten oder das Compliance-Budget auf die sofort erforderliche Selbstbewertung umleiten und auf die Dauer der Aussetzung wetten.

Regulatory Horizon

Die Aussetzung bleibt vom 13. Juli 2026 gültig, mit Überprüfung in 60 Tagen. Die CMMC Program Rule vom Dezember 2024 und die Acquisition Rule vom 10. November 2025 bleiben beide formell anwendbar, ohne textliche Änderungen. Der Gerichtsbarkeitsrahmen betrifft ausschließlich Verträge des US-Verteidigungsministeriums ohne automatische Ausweitung auf andere regulierte Sektoren.

Unternehmen der Verteidigungsindustriebasis, die bereits Bewertungen auf Stufe drei abgeschlossen hatten, behalten vorerst einen dokumentarischen Vorteil gegenüber denen, die nur Selbstbewertung aktiviert hatten: Falls die Durchsetzung am Ende der Überprüfung wiederaufgenommen wird, ist der zeitliche Abstand zur vollständigen Compliance geringer für diejenigen, die bereits in den vollständigen Audit-Trail investiert haben.

Die Frage, welche Person formell und schriftlich für die Aussetzungsentscheidung Verantwortung trägt, bleibt ohne offizielle Antwort. Eine zweite Frage ergibt sich daraus: Falls die 60-Tage-Überprüfung die Aussetzung in permanenter Form bestätigt, welches formale Verfahren wird sie in den Augen eines Gerichts legitim machen, das der Deferenz gegenüber Behörden bereits reduziert hat?