Kiteworks verband seine beiden Reifegradmessungen – eine zur Compliance-Reife, eine zum Umgang mit der Aussetzung – durch Multiplikation statt Mittelwertbildung. Ergebnis: ein kombinierter Wert von 60 von 100 Punkten, deutlich unter den rund 77 Punkten, die ein einfacher Durchschnitt ergeben hätte. Knapp ein Drittel der Befragten schnitt in beiden Dimensionen gleichzeitig schlecht ab – die größte Einzelgruppe des Berichts.
Bemerkenswert ist der Wissensstand: Fast die Hälfte der Befragten wusste nicht, dass die Selbstbewertungspflichten aus Phase 1 während der Pause fortbestanden. Wer sich selbst als „sehr sicher" im Verständnis der Änderungen einstufte, schnitt in einem Wissenstest nicht besser ab als jene, die sich nur als „einigermaßen sicher" bezeichneten. 92 Prozent hatten bereits eine rechtliche oder Compliance-Prüfung veranlasst.
Der Markt hat auf die gesenkte Hürde bereits reagiert. 55 Prozent der Zulieferer bewerben sich nach eigenen Angaben nun um Aufträge, die sie zuvor wegen der Anforderungen von CMMC Level 2 gemieden hatten. 52 Prozent hatten sich aus einer Ausschreibung des Department of War zurückgezogen, 38 Prozent verloren einen Auftrag oder wurden wegen derselben Anforderung ausgeschlossen. Am stärksten traf es kleinere Unterauftragnehmer: Bei Subunternehmern der zweiten Ebene und darunter lag die Quote verlorener Ausschreibungen bei 55 Prozent – fast doppelt so hoch wie die 31 Prozent unter den Hauptauftragnehmern.
Die Daten von CyberSheath zeigen eine ähnliche Schere. Der durchschnittliche SPRS-Wert stieg auf einen Fünfjahreshöchststand von +51, nach +33 im Jahr 2025 bei einem möglichen Maximum von 110. Zugleich brach das Vertrauen in die Richtigkeit dieser Werte ein: Nur noch 65 Prozent bezeichneten sich als äußerst oder sehr zuversichtlich, nach 89 Prozent im Vorjahr und 94 Prozent im Jahr 2024. Lediglich ein Prozent hielt sich für vollständig auf die CMMC-Zertifizierung vorbereitet – unverändert gegenüber dem Vorjahr.
Die durchschnittlichen Jahresbudgets für DFARS-Compliance stiegen laut CyberSheath auf 155.000 Dollar; 53 Prozent halten diese Summe für „genau richtig", 24 Prozent für mehr als ausreichend. Bei den Sicherheitstechnologien liegt die Mehrfaktor-Authentifizierung bei 63 Prozent Verbreitung, gesicherte Backups bei 48 Prozent, Schutz vor Datenabfluss und Schwachstellenmanagement bei je 44 Prozent, Endpoint Detection bei 40 Prozent.
In beiden Umfragen sprechen sich die Unternehmen dafür aus, dass eine Überprüfung Teil des Verfahrens bleibt. Bei Kiteworks nannten 93 Prozent eine unabhängige Zertifizierung durch Dritte für die künftige Lieferantenauswahl wesentlich oder wichtig, ebenfalls 93 Prozent wollen sich an der Informationsanfrage des Department of War beteiligen, 58 Prozent erwarten eine Rückkehr von Phase 2 in veränderter Form. CyberSheath zufolge wünschen sich 90 Prozent verbindliche Mindeststandards für alle Bundesauftragnehmer, 77 Prozent sehen in der DFARS-Compliance einen spürbaren Beitrag zur nationalen Sicherheit. Gleichzeitig fordern 74 Prozent eine einfachere Umsetzung und 70 Prozent mehr Anbieterauswahl.
„Der entscheidende Befund ist der Abstand zwischen Zuversicht und Nachweis", sagte Frank Balonis, Field CISO bei Kiteworks. Emil Sayegh, CEO von CyberSheath, verwies darauf, dass die meisten Zulieferer Hersteller und Ingenieure seien, die den militärischen Auftrag unterstützten, und keine Sicherheitsspezialisten. Eine Reform von CMMC müsse die Erfüllung erleichtern, ohne den objektiven, überprüfbaren Nachweis aufzugeben, dass die Schutzmaßnahmen tatsächlich wirken.