Jedes Kriterium beschreibt eine Fähigkeit, die im tatsächlichen Anwendungsbetrieb erkennbar sein muss. Eine benannte Zuständigkeit ist beispielsweise erst belastbar, wenn die zuständige Person erreichbar ist, ihre Aufgaben kennt und über notwendige Befugnisse verfügt. Für Datenqualität werden geeignete Prüfergebnisse verlangt, für den Umgang mit Ausfällen ein erprobter Ersatzweg. Die Organisation legt vor der Bewertung fest, welche Nachweise ausreichen. Allgemeine Aussagen über Offenheit, Innovationskraft oder vorhandene Lizenzen ersetzen diese Kriterien nicht. Das Raster bleibt auf den jeweils untersuchten Einsatz zugeschnitten.
Zu einem Nachweis gehören Gegenstand, Datum, Herkunft und sein tatsächlicher Geltungsbereich. Eine erfolgreiche Übung an einem Standort belegt nicht automatisch dieselbe Fähigkeit im gesamten Unternehmen. Dokumente werden durch geeignete Stichproben, Gespräche oder Beobachtungen ergänzt. Dabei wird festgehalten, ob ein Verfahren nur beschrieben, bereits erprobt oder im laufenden Betrieb verlässlich angewendet wird. Alte Nachweise erhalten kein unbegrenztes Gewicht. Die bewertende Person prüft, ob seit ihrer Entstehung wesentliche Änderungen eingetreten sind und ob die betrachteten Fälle ausreichend repräsentativ waren.
Bewertungszustand
Erforderliche Evidenz
Ungeklärt
Geeigneter Nachweis fehlt noch
Beschrieben
Verfahren und Zuständigkeit dokumentiert
Erprobt
Ausgewählte Fälle erfolgreich bearbeitet
Im Betrieb bestätigt
Wiederholte Anwendung nachvollziehbar belegt
Fehlende Evidenz von Mängeln unterscheiden
Ein nicht vorgelegter Nachweis beweist nicht in jedem Fall, dass eine Fähigkeit fehlt. Er erlaubt aber auch keine positive Bestätigung. Deshalb werden ungeklärte Sachverhalte getrennt von nachgewiesenen Mängeln ausgewiesen. Kritische Mindestbedingungen erhalten eine eigene Beurteilung. Eine fehlende wirksame Zugriffsbeschränkung kann nicht durch gute Schulungsunterlagen rechnerisch ausgeglichen werden. Zusammengefasste Werte dürfen solche Lücken nicht verdecken. Die Bewertung benennt zusätzlich, welche Aussage wegen eingeschränkter Datenlage nur vorläufig ist und welche weitere Prüfung sie konkret absichern würde.
Bewertungen nachvollziehbar abstimmen
Bei wichtigen Kriterien beurteilen zwei geeignete Personen ausgewählte Fälle zunächst unabhängig voneinander. Unterschiedliche Einschätzungen werden anhand des festgelegten Maßstabs geklärt. Häufige Abweichungen zeigen, dass das Raster unklar oder die Evidenz unzureichend sein kann. Die Ergebnisse werden mit den Verantwortlichen besprochen, ohne fehlende Nachweise durch bloße Zustimmung zu ersetzen. Ein Reifegrad ist keine gesetzliche Zulassung und kein allgemeiner Sicherheitsnachweis. Er beschreibt eine begründete organisatorische Einschätzung innerhalb eines festgelegten Umfangs und zu einem bestimmten Zeitpunkt.
Aus Ergebnissen überprüfbare Schritte ableiten
Jede relevante Lücke wird mit einer Maßnahme, einer verantwortlichen Person und einem geeigneten Abschlussnachweis verbunden. Der nächste Bewertungstermin prüft diese Wirkung statt nur die Erledigung einer Aufgabenliste. Wo ein Verfahren bereits tragfähig funktioniert, wird der Nachweis erhalten und bei Veränderungen erneuert. Der Bericht zeigt Stärken, kritische Voraussetzungen und Unsicherheit getrennt. So entsteht eine nutzbare Entscheidungsgrundlage für Einführung, Begrenzung oder Weiterentwicklung einer Anwendung. Die Organisation kann ihre Fortschritte erklären, ohne eine höhere Genauigkeit vorzutäuschen, als ihre Nachweise tatsächlich erlauben.
