Bewertungsmethodik

Was von der ANSSI stammt und was von uns

Die Unterscheidung ist wichtig, und wir stellen sie an den Anfang, weil sie verändert, was der Wert belegt:

• Von der ANSSI: die 20 Ziele, ihre Bezeichnungen, ihre Aufteilung auf vier Säulen (Governance, Schutz, Abwehr, Resilienz) und der Anwendungsbereich EI/EE — Referenzrahmen ReCyF v2.5 vom 17/03/2026. Dieses Dokument trägt den Vermerk „Arbeitsdokument“: Vor Abschluss der NIS-2-Umsetzung wird keine endgültige Fassung veröffentlicht. Wir sprechen daher von Vorbereitung, niemals von Konformität mit einem feststehenden Standard.
• Von uns: die Reifegradskala 0–4, die je Ziel erwartete Schwelle, die nachstehende Formel und der unter jedem Ziel angezeigte Erläuterungstext — die ANSSI veröffentlicht „annehmbare Mittel der Konformität“, die wir nicht wiedergeben; unsere Beschreibungen sind eine Umformulierung für die Beraterin oder den Berater. ReCyF definiert keinerlei Reifegradskala — das Wort kommt darin nicht vor. Die Verhältnismäßigkeit ergibt sich dort ausschließlich aus den Zielen 16 bis 20, die besonders wichtigen Einrichtungen vorbehalten sind, und aus der EI/EE-Kennzeichnung jedes Konformitätsmittels. Unsere Skala ist ein Steuerungs- und Priorisierungswerkzeug; sie hat keinerlei regulatorische Geltung.

Die Reifegradskala

• 0 — Nicht vorhanden: nichts eingerichtet.
• 1 — Initial: informelle, nicht dokumentierte, personenabhängige Praktiken.
• 2 — In Umsetzung: Vorgehen begonnen, teilweise Abdeckung.
• 3 — Definiert: dokumentierte, angewandte und überprüfbare Praxis.
• 4 — Beherrscht / optimiert: gemessene und dauerhaft verbesserte Praxis.

Der Anwendungsbereich: welche Ziele zählen

In die Berechnung gehen nur die Ziele ein, die auf die NIS-2-Kategorie des Kunden anwendbar sind:

• Besonders wichtige Einrichtung (EE): alle 20 Ziele.
• Wichtige Einrichtung (EI): der Sockel von 15 Zielen (die Ziele 16 bis 20 sind den EE vorbehalten).
• Außerhalb des Anwendungsbereichs: der Sockel von 15 Zielen wird dennoch bewertet, um eine Arbeitsgrundlage zu geben — ohne dass daraus die geringste regulatorische Verpflichtung folgt.

Ein nicht anwendbares Ziel benachteiligt den Wert nicht: es wird herausgenommen, aus Zähler wie aus Nenner.

Die Formel

Für jedes anwendbare Ziel wird der erreichte Reifegrad mit der erwarteten Schwelle verglichen, gedeckelt auf die Schwelle:

Wert = Σ min(Reifegrad, Schwelle) ÷ Σ Schwelle × 100

Zwei Folgen, die man kennen sollte:

• Das Überschreiten einer Schwelle bringt nichts. Ein Ziel auf Reifegrad 4, wo 3 erwartet wird, zählt als 3. Der Wert misst die Abdeckung der Erwartungen, nicht die Exzellenz — eine blockierende Lücke lässt sich nicht durch eine Stärke an anderer Stelle ausgleichen.
• Die Schwellen wirken faktisch als Gewichtung. Ein Ziel mit erwarteter Schwelle 3 wiegt schwerer als ein Ziel mit 2, da beide in Höhe ihrer Schwelle in den Nenner eingehen. Eine andere, verborgene Gewichtung gibt es nicht.

Was als erreichter Reifegrad zählt

In dieser Rangfolge: der von der Beraterin oder dem Berater validierte Reifegrad, ersatzweise der vom Kunden erklärte Reifegrad. Fehlen beide, zählt das Ziel als 0.

Ein Vorschlag — aus den Notizen des Beraters berechnet oder automatisch über einen Konnektor gemeldet — geht niemals in den maßgeblichen Wert ein. Das ist eine Governance-Regel und kein Umsetzungsdetail: Ein Bericht, der einem Kunden oder einer Prüfinstanz vorgelegt wird, darf sich ausschließlich auf Elemente stützen, die ein Mensch validiert hat. Ein nicht validierter Vorschlag bleibt sichtbar, mit „zu validieren“ gekennzeichnet, und fließt allein in den projizierten Wert ein.

Projizierter Wert

Der projizierte Wert wendet dieselbe Formel an, füllt aber die Ziele ohne menschlichen Reifegrad mit dem offenen Vorschlag auf. Er beantwortet die Frage „Wo stünden wir, wenn ich alles so validieren würde, wie es ist?“. Er ist stets größer oder gleich dem maßgeblichen Wert und ihm gleich, wenn kein Vorschlag offen ist. Sind Vorschläge offen, erscheint er auf der Übersichtsseite des Kundenberichts, ausdrücklich als bedingt dargestellt („projizierter Wert, wenn N Vorschläge validiert würden“): Er tritt niemals an die Stelle des maßgeblichen Werts, der die angezeigte Zahl bleibt.

Das Radar nach Säulen

Jede Säule zeigt das arithmetische Mittel der erreichten Reifegrade über ihre anwendbaren Ziele, verglichen mit dem Mittel der Schwellen. Es ist ein einfacher Mittelwert ohne Gewichtung: Er dient dazu, ein Profil zu lesen, nicht dazu, eine Rangfolge zu erzeugen.

Abweichungen und Maßnahmenplan

Ein Ziel weist eine Abweichung auf, sobald es anwendbar ist und sein erreichter Reifegrad strikt unter der erwarteten Schwelle liegt. Diese Erkennung ist deterministisch.

Der Maßnahmenplan wird aus dieser Liste aufgebaut: Jede Lücke erzeugt eine Maßnahme, deren Priorität sich aus dem Abstand zum Schwellenwert und der Wirkung der Maßnahme ergibt. Vollständig deterministisch.

Der Maßnahmenplan geht nicht in die Berechnung des Werts ein: Er folgt aus ihr.

Was der Wert nicht aussagt

• Er stellt keine NIS-2-Konformität fest. Die Konformität beurteilt sich nach den Umsetzungsvorschriften und gegebenenfalls nach einer Kontrolle der zuständigen Behörde.
• Er ersetzt kein Audit. Er stützt sich auf Selbstauskünfte, die von einer Beraterin oder einem Berater validiert wurden, wo möglich ergänzt durch technische Messwerte aus den Konnektoren.
• Er ist nicht dazu bestimmt, zwei Einrichtungen miteinander zu vergleichen: Die Schwellen sind dieselben, die Anwendungsbereiche und die Kontexte sind es nicht.

Reproduzierbarkeit

Die Formel ist deterministisch: gleiche Antworten, gleicher Wert. Kein Modell künstlicher Intelligenz wirkt mit, weder an der Berechnung noch sonst irgendwo in der Plattform.