// METHODIK //
Eine transparente, deterministische Methodik, ausgerichtet an ISO 27001, NIS2, DORA und DORA-ICT (für ICT-Drittanbieter). Gleiche Antworten → gleiche Bewertung, jedes Mal.
Score aggregiert über 3 Cybersicherheits-Frameworks.
// ÜBERBLICK //
Finnovia bewertet Organisationen anhand von vier Cybersicherheits-Rahmenwerken: FR-Basic (angelehnt an ISO 27001), FR-NIS2, FR-DORA und FR-ICT (für ICT-Drittanbieter, die DORA-regulierte Finanzunternehmen beliefern). Jede Bewertung basiert auf einem strukturierten, nach Domänen gegliederten Fragebogen, bei dem Antworten in gewichtete Werte umgerechnet werden, um ein FR-Cyber-Rating zu erstellen.
Unsere Methodik ist transparent, reproduzierbar und auf die europäischen regulatorischen Anforderungen abgestimmt. Die Gewichtungen spiegeln die Prioritäten des jeweiligen Rahmenwerks wider.
FR-Basic
Informationssicherheitsmanagement
56 Fragen · 10 Domänen
FR-NIS2
Netz- und Informationssicherheit
37 Fragen · 7 Domänen
FR-DORA
Digitale operationale Resilienz
38 Fragen · 7 Domänen
FR-ICT
IKT-Drittdienstleister — DORA Art. 30
16 Fragen · 6 Domänen
FR-ICT
Bewertet, inwieweit ein IKT-Anbieter die vertraglichen und operativen Anforderungen erfüllen kann, die ihm seine unter DORA fallenden Kunden nach Artikel 30 auferlegen müssen: Vertragsklauseln, Datensicherheit, Meldung von Vorfällen, Geschäftsfortführung und Ausstieg, Unterauftragsvergabe, unabhängige Prüfung. 6 Bereiche, 14 Fragen. Die Anforderung ergibt sich aus der Kundenbeziehung: Ein Anbieter außerhalb der EU wird genauso bewertet wie einer innerhalb der EU.
// Kategorien //
Nicht jede Organisation wird anhand jedes Rahmenwerks bewertet. Finnovia ermittelt die anwendbaren Rahmenwerke automatisch anhand sachlicher Angaben, die bei der Registrierung erfasst werden – Organisationen müssen sich nie selbst als DORA-, NIS2- oder IKT-Einrichtung einstufen.
Banken und Finanzmarktinfrastrukturen, die zusätzlich die NIS2-Größenschwellen für mittlere oder große Unternehmen erreichen.
Bewertet anhand: FR-DORA · FR-NIS2 · FR-Basic
Die übrigen unter DORA fallenden Finanzunternehmen – Versicherungsunternehmen, Wertpapierfirmen, Vermögensverwalter, Zahlungs- und E-Geld-Institute, Anbieter von Kryptowerte-Dienstleistungen und weitere – unabhängig von ihrer Größe, sowie Banken und Finanzmarktinfrastrukturen unterhalb der NIS2-Größenschwellen.
Bewertet anhand: FR-DORA · FR-Basic
Jede Organisation, die einem unter DORA fallenden Finanzunternehmen IKT-Produkte oder -Dienstleistungen bereitstellt – unabhängig von Standort, Größe oder Sektor des Anbieters. Ein Anbieter mit Sitz außerhalb der EU wird genauso bewertet wie ein Anbieter innerhalb der EU, denn die Anforderung ergibt sich aus der Kundenbeziehung, nicht aus dem regulatorischen Status des Anbieters. Die Zugehörigkeit zu Kategorie 3 wird bei der Registrierung durch eine einzige, direkte Frage festgestellt: Beliefert die Organisation mindestens ein unter DORA fallendes Finanzunternehmen? Sie wird nie aus Sektor, Größe oder Standort abgeleitet. Eine Organisation gehört nur dann zu Kategorie 3, wenn sie dies selbst bestätigt. Ein Anbieter, der selbst unter NIS2 fällt, gehört zu Kategorie 4 und wird zusätzlich anhand von FR-ICT bewertet.
Bewertet anhand: FR-ICT · FR-Basic
Organisationen aus NIS2-Sektoren (Energie, Verkehr, Gesundheit, digitale Infrastruktur und weitere), die die NIS2-Größenschwellen erreichen oder unabhängig von ihrer Größe erfasst sind, etwa DNS-Diensteanbieter oder Vertrauensdiensteanbieter.
Bewertet anhand: FR-NIS2 · FR-Basic – + FR-ICT, wenn die Organisation zudem einem unter DORA fallenden Finanzunternehmen IKT-Produkte oder -Dienstleistungen bereitstellt.
Organisationen ohne Bezug zu DORA oder NIS2 – einschließlich Organisationen außerhalb der EU ohne unter DORA fallende Kunden.
Bewertet anhand: FR-Basic (der universelle Grundschutz)
// SO FUNKTIONIERT ES //
Für jede Domäne ist der Score der Durchschnitt der gegebenen Antworten, umgerechnet in Prozent. „Nicht zutreffend“-Antworten werden ausgeschlossen. Eine Domäne, in der alle Fragen Stufe 3 (Gesteuert) erreichen, hat einen Score von 75 %.
Der Gesamtscore wird als gewichtete Summe der einzelnen Domänen-Scores berechnet. Jede Domäne trägt proportional zu ihrer Gewichtung bei, die ihre Bedeutung im Rahmenwerk widerspiegelt.
Der Gesamtscore wird anhand einer festen 8-stufigen Skala in ein FR-Cyber-Rating umgewandelt, von FR-Cyber F (Score unter 20 %) bis FR-Cyber A (Score von mindestens 90 %). Jede Ratingstufe wird durch vordefinierte, in der Methodik festgelegte Schwellenwerte bestimmt und niemals nachträglich angepasst.
// REIFEGRAD-SKALA //
Jede Frage wird auf einer 5-stufigen Reifegradskala bewertet, von 0 (keine Maßnahmen) bis 4 (optimierter Prozess mit kontinuierlicher Verbesserung).
| Stufe | Reifegrad | Score |
|---|---|---|
| 0 | Keiner | 0% |
| 1 | Initial | 25% |
| 2 | Definiert | 50% |
| 3 | Gesteuert | 75% |
| 4 | Optimiert | 100% |
| N/A | Nicht anwendbar | excluded |
// FR-RATING-SKALA //
Das FR-Cyber-Rating überführt den Gesamtscore anhand der FR-Ratingskala in eine vergleichbare Ratingstufe. Es ermöglicht eine unmittelbare Einschätzung des Compliance-Reifegrads.
// FR-CYBER RISIKOBÄNDER //
Die 8 FR Cyber Rating Stufen werden zu drei Risikobändern aggregiert, für übergeordnetes Reporting und Benchmarking — definiert in Methodology Book §5.1.
≥ 70 %
FR-Cyber A · FR-Cyber A- · FR-Cyber B+
Starke Cybersicherheitslage mit gemessenen, dokumentierten und konsistent angewandten Kontrollen.
50 – 69 %
FR-Cyber B · FR-Cyber B-
Zufriedenstellende Lage mit identifizierten Verbesserungsbereichen und bekannten Restrisiken.
< 50 %
FR-Cyber C · FR-Cyber D · FR-Cyber F
Erhebliche Lücken, die sofortige Aufmerksamkeit erfordern; Kontrollen sind teilweise vorhanden, ad hoc oder fehlen ganz.
// DOMÄNENGEWICHTE //
Jedes Rahmenwerk weist seinen Domänen unterschiedliche Gewichtungen zu, die die regulatorischen Prioritäten widerspiegeln. Höher gewichtete Domänen haben einen größeren Einfluss auf das Endrating.
56 Fragen · 10 Domänen
37 Fragen · 7 Domänen
38 Fragen · 7 Domänen
16 Fragen · 6 Domänen
// GÜLTIGKEIT //
Jedes Rating hat einen festen Gültigkeitszeitraum. Nach Ablauf zählt es nicht mehr als aktueller Nachweis und wird nicht mehr auf der öffentlichen Ratings-Seite gelistet.
12 Monate
Ab Einreichungsdatum
Spiegelt die von der Organisation eingereichten Antworten wider. In dieser Phase keine Analystenprüfung.
24 Monate
Ab Freigabedatum durch den Analysten
Kontrollweise von einem Finnovia-Analysten geprüft. Nur verifizierte Ratings werden veröffentlicht.
Die automatisierte Prüfung von Finnovia kontrolliert die Konsistenz und Plausibilität der eingereichten Antworten anhand der vorgelegten Nachweise – etwa indem sie eine mit „Optimiert" bewertete Antwort ohne beigefügtes Dokument markiert oder Nachweise, die nicht zum angegebenen Reifegrad passen. Es handelt sich um eine Konsistenzprüfung, nicht um ein unabhängiges Audit: Sie erhöht das Vertrauen in die innere Stimmigkeit der Selbstbewertung, überprüft die Nachweise selbst jedoch nicht an der Realität.
Drei Sicherheitsstufen: Selbstbewertung, automatisierte KI-Prüfung und ein von einem Finnovia-Analysten verifiziertes Rating.
// UNSERE VERPFLICHTUNGEN //
Die Methodik von Finnovia basiert auf Transparenz und Rigorosität:
Öffentliche Gewichtungen — Die Domänengewichtungen werden offen kommuniziert.
Deterministische Bewertung — Identische Antworten ergeben immer identische Scores. Keine subjektiven Faktoren.
Regulatorische Ausrichtung — Die Fragebögen decken die Anforderungen jedes Rahmenwerks vollständig ab.
Unabhängige Verifizierung — Eingereichte Bewertungen können vor Veröffentlichung von einem Finnovia-Analysten geprüft werden.
// BEREIT FÜR IHR RATING //
Starten Sie mit der kostenlosen Discovery-Stufe. Upgraden Sie auf ein verifiziertes Rating, sobald Sie bereit sind.