Kernaussagen
- • 288 Domains aus 6 Sektoren gescannt: 0 von 288 erreichen CERTIFIED (75+ Punkte).
- • Bester Sektordurchschnitt: Finanzsektor (BaFin) mit Ø 30,1 Punkten, trotz DORA-Pflicht seit Januar 2025.
- • Höchster Einzelwert: 55,1 Punkte im Gesundheitssektor. Niedrigster: 1,6 Punkte im DAX.
- • Kritische Infrastruktur: 87 % der Domains liegen unter 20 Punkten.
- • Cluster E (Agentic Readiness) und Cluster F (AI Governance) bilden sektorübergreifend die strukturell schwächsten Schichten.
These Layer-0-Infrastrukturvalidierung ist die Voraussetzung, die jedes KI-Governance-Framework stillschweigend annimmt. Dieser Benchmark zeigt: Die Annahme hat empirisch keine Grundlage.
CERTavia hat am 11. Juni 2026 insgesamt 288 europäische Enterprise-Domains aus sechs Sektoren gescannt. Das Ergebnis ist eindeutig und sektorübergreifend: Kein einziges Unternehmen erreicht die CERTavia CERTIFIED-Schwelle von 75 Punkten. Der durchschnittliche CES-Wert über alle 288 Domains beträgt 22,9 Punkte.
Methodik
Jede Domain durchläuft den vollständigen CERTavia Evaluation Score (CES). Der Score aggregiert 80+ Parameter aus sechs Clustern:
- Cluster A: Digitale Infrastruktur
- Cluster B: Datenschutz & Consent
- Cluster C: Rechtliche Compliance
- Cluster D: Transparenz
- Cluster E: Agentic Readiness
- Cluster F: AI Governance
Alle Scans wurden am 11. Juni 2026 durchgeführt. Die Ergebnisse sind anonymisiert: Unternehmensnamen werden in diesem öffentlichen Bericht nicht genannt. Die kostenpflichtigen Sektor-Datenpakete liefern Verteilungskennzahlen (Median, Quartile, Grade-Histogramm) sowie Ihre eigene Domain im Sektorvergleich — keine namentliche Liste der übrigen Domains.
Ergebnisse auf einen Blick
Alle sechs Sektoren liegen deutlich unterhalb der CERTIFIED-Schwelle. BaFin-regulierte Finanzinstitute als stärkster Sektor erreichen einen Durchschnitt von 30,1 Punkten. Das entspricht 40 % der Zielmarke.
| Sektor | Domains | Ø CES | Max CES | Min CES | CERTIFIED |
|---|---|---|---|---|---|
| DAX 40 | 40 | 22,7 | 53,5 | 1,6 | 0 |
| Automotive & Industrie | 50 | 29,5 | 47,0 | 10,8 | 0 |
| Finanzsektor (BaFin) | 50 | 30,1 | 47,8 | 16,0 | 0 |
| Gesundheitswesen & Pharma | 50 | 20,7 | 55,1 | 7,6 | 0 |
| Kritische Infrastruktur | 49 | 13,6 | 38,6 | 7,6 | 0 |
| Bundesbehörden & EU | 49 | 20,2 | 37,5 | 8,6 | 0 |
| Gesamt | 288 | 22,9 | 55,1 | 1,6 | 0 |
Die CERTIFIED-Schwelle liegt bei 75 Punkten. Der Sektordurchschnitt des stärksten Sektors (BaFin, 30,1) erreicht nicht einmal die Hälfte dieser Marke. Die Skala läuft von 0 bis 100; kein Wert in diesem Benchmark überschreitet 55,1.
Sektorprofil: sechs Branchen im Vergleich
Die folgenden Kacheln zeigen Ø CES, Spannweite und Score-Verteilung je Sektor. Alle Werte stammen aus dem Scan vom 11. Juni 2026.
DAX 40
Automotive & Industrie
Finanzsektor (BaFin)
Gesundheitswesen & Pharma
Kritische Infrastruktur
Bundesbehörden & EU
Detailanalyse nach Sektor
Jeder Sektor hat ein eigenes Risikoprofil. Die folgenden Abschnitte zeigen die Top 5 je Sektor (anonymisiert) sowie das strukturelle Kernproblem.
DAX 40: größte Spreizung, höchstes Ausfallrisiko im Tail
Top 5 (anonymisiert)
- #153,5
- #246,0
- #337,8
- #437,1
- #536,6
Der DAX zeigt die größte Spanne aller Sektoren: zwischen 1,6 und 53,5 liegen 51,9 Punkte. 50 % der DAX-Domains liegen unter 19 Punkten. Der Compliance-Druck der Investorenseite ist noch nicht bis in die technische Infrastruktur durchgedrungen.
Automotive & Industrie: stärkster Sektor, jedoch weit von CERTIFIED entfernt
Top 5 (anonymisiert)
- #147,0
- #246,6
- #346,1
- #443,3
- #542,9
Automotive ist der einzige Sektor ohne eine Domain unter 10 Punkten. Der Mittelfeld-Cluster (30–40 Punkte) umfasst 40 % aller Domains. Die Sektor-Spitze liegt über dem DAX-Spitzenwert, was auf eine gewisse Priorisierung von Infrastruktur-Compliance in der deutschen Industriekultur hindeutet.
Finanzsektor (BaFin): DORA-konform? Der CES sagt: Nein.
Top 5 (anonymisiert)
- #147,8
- #247,2
- #342,5
- #442,3
- #540,8
Der Finanzsektor hat den höchsten Durchschnitt aller Sektoren (30,1). Kein Institut unterschreitet 16 Punkte. Der Digital Operational Resilience Act (DORA) ist seit Januar 2025 für alle BaFin-regulierten Institute verbindlich. Der Sektor-Durchschnitt von 30,1 entspricht 40 % der CERTIFIED-Schwelle. Das zeigt: Regulierungsdruck erzeugt Basiskompetenz, jedoch keine Spitzenleistung.
Gesundheitswesen & Pharma: höchste Spitze, tiefster Absturz
Top 5 (anonymisiert)
- #155,1
- #250,2
- #339,2
- #436,2
- #536,1
Der höchste Einzelwert aller 288 Domains stammt aus dem Gesundheitssektor (55,1). Gleichzeitig liegen 56 % der Sektor-Domains unter 20 Punkten, darunter mehrere Universitätskliniken und Krankenhausketten. Hochregulierte Pharmaunternehmen und digitale Gesundheitsinfrastruktur leben in unterschiedlichen Compliance-Welten.
Kritische Infrastruktur: systemrelevant, infrastrukturell unterversorgt
Top 5 (anonymisiert)
- #138,6
- #233,7
- #327,2
- #426,7
- #523,7
87 % der KRITIS-Domains liegen unter 20 Punkten. Energie, Telekommunikation und Netzinfrastruktur haben strukturell andere Anforderungen als Finanzdienstleister. Cluster A (Digitale Infrastruktur) ist in diesem Sektor besonders schwach, weil ISPs und Energieversorger andere technische Endpunkte exponieren. NIS2 gilt seit Oktober 2024: Die Messdaten zeigen keine erkennbare Infrastrukturanpassung.
Bundesbehörden & EU: Die Regulierer verfehlen ihre eigenen Maßstäbe
Top 5 (anonymisiert)
- #137,5
- #235,8
- #332,4
- #432,3
- #532,2
Die Behörden, die NIS2 und den EU AI Act für Unternehmen durchsetzen, erzielen einen Durchschnitt von 20,2 Punkten. Kein einziges Bundesministerium oder Regulierungsinstitut erreicht die CERTIFIED-Schwelle. Der höchste Wert im Sektor liegt bei 37,5. Das entspricht dem Mittelfeld des Finanzsektors und ist ein strukturelles Glaubwürdigkeitsproblem für die gesamte europäische Digitalregulierung.
Cluster-Analyse: Wo liegen die Schwachstellen?
Der CES verteilt seine 80+ Parameter auf sechs Cluster. Die folgende Auswertung zeigt die Durchschnittswerte über alle 288 gescannten Domains.
Cluster E (Agentic Readiness, Ø ~9) und Cluster F (AI Governance, Ø ~6) bilden die infrastrukturelle Voraussetzung für regelkonforme KI-Systeme unter dem EU AI Act. Der Markt behandelt diese Schicht als gelöstes Problem. Die Messdaten zeigen das Gegenteil.
Regulatorischer Kontext
Drei europäische Regelwerke sind unmittelbar relevant:
DORA (Digital Operational Resilience Act) ist seit Januar 2025 für alle BaFin-regulierten Institute verbindlich. Der durchschnittliche CES-Wert der 50 größten deutschen Banken und Finanzinstitute beträgt 30,1 Punkte. Die CERTIFIED-Schwelle liegt bei 75 Punkten.
NIS2 gilt seit Oktober 2024 für Betreiber wesentlicher und wichtiger Einrichtungen, dazu gehören sämtliche KRITIS-Betreiber in diesem Benchmark. Der Sektor-Durchschnitt liegt bei 13,6 Punkten.
Der EU AI Act klassifiziert KI-Systeme in Hochrisiko-Kategorien, deren Betreiber nachweisbare Infrastruktur-Governance vorhalten müssen. Cluster F misst genau diese Governance-Schicht. Der sektorübergreifende Durchschnitt liegt bei ~6 Punkten. Die Nachweispflicht trifft auf eine Infrastruktur, die für diesen Nachweis strukturell nicht vorbereitet ist.
Einordnung
Die stärksten Einzelwerte liegen bei 55,1 (Gesundheit), 53,5 (DAX) und 47,8 (BaFin). Das sind Ausreißer nach oben, kein Sektor-Muster. Sie zeigen, dass ein CES über 50 technisch erreichbar ist. Sie zeigen auch, dass kein Unternehmen in diesem Benchmark den Weg bis 75 gefunden hat.
Besonders bezeichnend ist das Behördenpanel: Bundesministerien und EU-Institutionen, die NIS2 und den AI Act für Dritte durchsetzen, erzielen einen Durchschnitt von 20,2 Punkten. Die Regulierer sind selbst nicht CERTIFIED-fähig.
Vollständige Sektor-Rankings: anonymisiert und als PDF
Über diesen Report
Der CERTavia DACH Benchmark erscheint halbjährlich. Alle Scans werden mit dem CERTavia Evaluation Score (CES) durchgeführt, dem deterministischen Validierungsprotokoll für digitale Infrastruktur unter EU AI Act, NIS2 und DORA.
Unternehmen, die ihren eigenen CES-Score ermitteln möchten, finden den Einstieg unter certavia.org/wie-es-funktioniert. Der kostenlose Scan liefert Cluster A–F und den Vergleich mit dem Sektordurchschnitt in unter 60 Sekunden.
Vollständige Sektor-Datenpakete mit allen Domains, Rang-Positionen und historischen Vergleichswerten sind als Pro-Produkt verfügbar. Interesse? Sektor-Daten ansehen.
CERTavia analysiert technische Infrastruktursignale. Das Ergebnis ist ein maschinenlesbarer Befund, kein Rechtsgutachten und keine Zertifizierung im Sinne der EU AI Act Konformitätsbewertung nach Artikel 43. Für rechtsverbindliche Compliance-Bewertungen wenden Sie sich an eine zugelassene Konformitätsbewertungsstelle.
