Wozu ein NIS2-Reifegradmodell dient
Ein Reifegradmodell macht sichtbar, wie belastbar eine organisatorische Fähigkeit umgesetzt ist. Es ersetzt weder die gesetzliche Pflicht noch die Risikobewertung. Sein Wert liegt in der Vergleichbarkeit: Ausgangslage, Zielzustand, Fortschritt und verbleibende Unsicherheit werden über Zeit messbar.
Für NIS2 sollte Reifegrad nicht mit Compliance gleichgesetzt werden. Ein hoher Durchschnittswert kann einen kritischen Einzel-Gap nicht kompensieren.
Fünf Reifegradstufen
| Stufe | Charakteristik | Managementaussage |
|---|---|---|
| 1 – Initial | ad hoc, personenabhängig, kaum dokumentiert | Ergebnis nicht zuverlässig reproduzierbar |
| 2 – Definiert | Grundregeln und Verantwortlichkeiten vorhanden | Sollzustand ist beschrieben |
| 3 – Implementiert | Prozess wird im relevanten Scope angewandt | Umsetzung ist operativ etabliert |
| 4 – Überwacht | Kontrollen, Kennzahlen und Reviews vorhanden | Abweichungen werden erkannt und gesteuert |
| 5 – Wirksam | Wirksamkeit nachgewiesen, Verbesserung systematisch | Fähigkeit ist belastbar und lernfähig |
Was bewertet werden sollte
Eine belastbare Reifegradbewertung betrachtet nicht nur Dokumentation. Relevante Dimensionen sind Governance, Prozess, Rollen, operative Umsetzung, Evidenz, Wirksamkeitsprüfung und Managementüberwachung.
Zielreifegrad risikobasiert festlegen
Nicht jede Fähigkeit benötigt dieselbe Ausprägung. Zielreifegrade sollten sich an Geschäftsrelevanz, gesetzlicher Pflicht, Exposition und Komplexität orientieren. Meldefähigkeit, Wiederherstellung kritischer Services oder Steuerung wesentlicher Risiken verlangen regelmäßig höhere Belastbarkeit als unterstützende Prozesse mit geringerem Risiko.
Warum der Gesamtscore nicht genügt
Beispiel: Neun gut etablierte Fähigkeiten und ein nicht funktionierender Meldeprozess können rechnerisch einen ordentlichen Durchschnitt ergeben. Managementseitig bleibt trotzdem ein kritischer Gap bestehen.
Deshalb sollten Score, kritische Einzel-Gaps und Confidence gemeinsam berichtet werden.
Confidence getrennt vom Reifegrad betrachten
Reifegrad beschreibt den bewerteten Zustand. Confidence beschreibt, wie belastbar diese Bewertung ist. Eine positive Selbstauskunft ohne Nachweis kann daher einen guten vorläufigen Reifegrad, aber nur geringe Bewertungssicherheit besitzen.
Darstellung im Executive Dashboard
Für die Geschäftsleitung eignen sich Capability-Scores mit Trend, Zielwert und Kennzeichnung kritischer Gaps. Technische Detailmetriken gehören in die operative Ebene. Der Executive View beantwortet: Wo stehen wir? Wo müssen wir hin? Welche Abweichung verlangt eine Entscheidung?
Typische Fehler
- Reifegrad als rechtlichen Compliance-Nachweis behandeln.
- alle Fähigkeiten gleich gewichten.
- Dokumentexistenz mit Wirksamkeit gleichsetzen.
- Confidence nicht ausweisen.
- Durchschnittsscore verwenden, um kritische Gaps zu relativieren.
FAQ
Welcher Reifegrad ist für NIS2 erforderlich?
Das BSIG schreibt keinen numerischen Reifegrad vor. Er ist ein Managementinstrument zur strukturierten Bewertung von Umsetzung und Wirksamkeit.
Kann ein Reifegradmodell ein Audit ersetzen?
Nein. Es unterstützt Standortbestimmung und Steuerung, ersetzt aber keine unabhängige Prüfung.
Passende NIS2 Resources
Je nach Ausgangslage führt der nächste Schritt entweder zur strukturierten Standortbestimmung oder direkt zur organisatorischen Umsetzung.
NIS2 Self-Assessment Toolkit
Reifegrad bewerten, Executive Gaps erkennen und Managementprioritäten ableiten.
NIS2 Governance Toolkit
Richtlinien, Standards, Prozesse, Rollen, Register, Nachweise und Umsetzungshilfen aufbauen.
Verwandte NIS2-Themen
Quellen und Rechtsstand
Inhaltlicher Stand: 9. August 2026. Maßgeblich bleiben der jeweils geltende Gesetzes- und Behördenstand sowie die konkrete Situation des Unternehmens.
Hinweis: Fachliche Orientierung; keine Rechtsberatung.