Ein Reifegrad ist nur dann etwas wert, wenn nachvollziehbar ist, wie er zustande kommt. Deshalb steht die vollständige Bewertungslogik hier — vor dem Angebot, nicht erst im Anhang des Berichts.
Je Prüffrage gibt es sechs Antwortstufen. Vier davon zählen in die Kontrollabdeckung des Kriteriums, zwei bewusst nicht.
| Antwort | Bedeutung | Gewicht |
|---|---|---|
| Ja | voll erfüllt | 1,0 |
| Überwiegend | weitgehend erfüllt | 0,75 |
| Teilweise | teilweise erfüllt | 0,5 |
| Nein | nicht erfüllt | 0,0 |
| Nicht anwendbar | nicht relevant, Begründung ist Pflicht | — |
| Nicht bewertbar | Evidenz fehlt, senkt die Ergebnissicherheit | — |
Zähler = 1,0·Ja + 0,75·Überwiegend
+ 0,5·Teilweise + 0·Nein
Nenner = Anzahl dieser vier Antworten
Abdeckung = Zähler / Nenner„Nicht anwendbar" und „nicht bewertbar" fallen aus Zähler und Nenner heraus. Damit „nicht anwendbar" nicht zum Sammelbecken wird, das die Abdeckung schönt, ist dort eine Begründung Pflicht.
Grün markiert gilt als technisch geprüft. Nur diese drei Methoden zählen in das Konfidenzrating. Ein Assessment, das ausschließlich auf Interviews beruht, bekommt deshalb nie das Prädikat „Hoch" — egal wie gut die Antworten klingen.
Die Kontrollabdeckung ist ein Vorschlag. Den Reifegrad vergibt der Auditor je Kriterium — bewusst, begründet und anhand fester Stufenbeschreibungen.
keine verlässliche, wiederholbare Umsetzung
teilweise umgesetzt, personenabhängig, kaum dokumentiert
dokumentiert und überwiegend umgesetzt
zusätzlich gemessen und regelmäßig auf Wirksamkeit geprüft
zusätzlich nachweislich optimiert, kontinuierliche Verbesserung
Ab Stufe 4 zählt nicht mehr nur, dass etwas umgesetzt ist, sondern dass die Wirksamkeit gemessen und regelmäßig geprüft wird. Genau an dieser Schwelle scheitern in der Praxis die meisten Kriterien — nicht an fehlender Technik, sondern an fehlendem Nachweis.
Aus Reifegrad, Zielwert und KO-Status ergibt sich die Ampel je Kriterium. Die Regeln werden in fester Reihenfolge ausgewertet — die erste zutreffende gewinnt.
Diese Warnungen blockieren nichts. Sie zwingen den Auditor aber dazu, eine optimistische Bewertung zu belegen — oder sie zu korrigieren. Ein Abweichen von der berechneten Ampel ist nur mit schriftlicher Begründung möglich, die im Bericht steht.
Befunde, die ein Kriterium unabhängig vom Reifegrad auf Rot setzen. Sie sind kein Punktabzug, sondern eine eigene Kategorie: Was hier steht, gehört vor alles andere auf die Maßnahmenliste.
Der Gesamtscore fasst die Dimensionen gewichtet zusammen. Das Konfidenzrating sagt daneben, wie belastbar diese Zahl überhaupt ist.
Dimensionsscore = Ø der Ist-Reifegrade
aller bewerteten Kriterien
dieser Dimension
Gesamtscore = Σ (Dimensionsscore × Gewicht)
────────────────────────────
Σ (Gewichte der bewerteten
Dimensionen)Nur Dimensionen mit mindestens einem bewerteten Kriterium fließen ein; die Gewichte der übrigen werden herausgerechnet. Ein Assessment über zwei von fünf Dimensionen liefert deshalb keinen geschönten Wert, sondern einen auf diesen Umfang bezogenen — und der Bericht weist aus, worauf er sich bezieht.
Keine offenen Screening- oder Kernfragen, mindestens 50 % der Antworten technisch geprüft, höchstens fünf nicht bewertbare Fragen.
Alle übrigen Fälle.
Offene Screening- oder Kernfragen vorhanden, oder weniger als 30 % der Antworten technisch geprüft.
Ein Score von 3,8 mit der Konfidenz „Niedrig" ist eine andere Aussage als derselbe Score mit „Hoch". Beide stehen im Bericht nebeneinander, damit niemand die zweite Information überliest.
Nicht jeder Bereich wiegt gleich schwer. Sicherheit und Cyber-Resilienz gehen mit 35 % in den Gesamtscore ein, Zukunftsfähigkeit mit 10 %. Die Gewichtung ist der Standard aus 502 Prüffragen — und je Projekt anpassbar, wenn Ihr Betrieb anders liegt.
Trägt das Fundament?
Server, Storage, Netz und Backup — die Schicht, auf der alles andere aufsetzt. Hier entscheidet sich, ob ein Ausfall ein Ärgernis oder ein Stillstand ist.
Läuft, was das Geschäft trägt?
Die Anwendungen, ohne die der Betrieb steht — mit ihren Abhängigkeiten, Schnittstellen und dem passenden Betriebsmodell.
Funktioniert es auch ohne den einen Kollegen?
Verantwortlichkeiten, Prozesse, Dokumentation. Der Bereich, in dem Kopfmonopole sichtbar werden — und der im Notfall den Unterschied macht.
Was passiert am Tag danach?
Die am stärksten gewichtete Dimension: Zugriffsschutz, Notfallvorsorge, Incident Response, Datenschutz und durchgereichte Auftraggeber-Anforderungen.
Trägt die Architektur noch in fünf Jahren?
Investitionsstau, Cloud-Readiness, Architektur und Kostenstruktur — die Grundlage für Budgetentscheidungen, die länger halten als ein Haushaltsjahr.
Über die Hälfte des Katalogs setzt direkt auf BSI WiBA 2.0 auf. Der Rest sind DATAZONE-eigene Fragen aus der Praxis — darunter ein eigener Block zu Microsoft 365 sowie Ergänzungen entlang der CIS Controls. Jedes der 33 Kriterien trägt seinen Normbezug im Bericht.
Der Weg in die Basis-Absicherung des Bundesamts für Sicherheit in der Informationstechnik. Über die Hälfte des Katalogs setzt direkt auf diesem Standard auf.
Ergänzende Prüffragen entlang der CIS Controls — dort, wo WiBA bewusst auf der Einstiegsebene bleibt.
Jedes Kriterium trägt die Zuordnung zu den Anhang-A-Bereichen: A.5 organisatorisch, A.7 physisch, A.8 technologisch. Als Landkarte, nicht als Zertifizierung.
Der Bezug zur IT-Sicherheitsberatung für kleine und Kleinstunternehmen — für Betriebe, die dort ansetzen wollen.
Technische und organisatorische Maßnahmen, ergänzt um vertraglich durchgereichte Anforderungen Ihrer Auftraggeber.
Die Network Scorecard bewertet den Ist-Zustand der IT-Infrastruktur. Sie ersetzt keine formale ISO/IEC-27001-Gap-Analyse des Managementsystems, keine TCO- oder Betriebsmodell-Studie und keine Penetrationstest-Tiefenprüfung.
Wenn etwas an der Methodik nicht zu Ihrem Betrieb passt, ist das ein guter Grund für ein Gespräch. Gewichte und Scope lassen sich anpassen — die Formeln bleiben, damit Ergebnisse vergleichbar sind.
DATAZONE · 86633 Neuburg a. d. Donau · Erhebung und Auswertung in Deutschland