Anwendung der Kriterien

1. Bewertung der organisatorischen Kriterien

Zunächst wird eine Behörde nach organisatorischen Kriterien bewertet. Für jede Prüffrage wird, in Anlehnung an die EU-Kriterien, ein SEAL-Level von 0 bis 4 ermittelt. Es gilt das niedrigste erreichte SEAL-Level (Gate-Logik). Als Nachweis einer digital handlungsfähigen Organisation muss mindestens SEAL-3 erreicht werden.

2. Bewertung der IT-Kriterien

Im zweiten Schritt werden die eingesetzten IT-Lösungen bewertet. Ausgangspunkt ist die Kritikalitätsfeststellung nach dem BSI-Standard 200-4. Auf dieser Grundlage identifiziert eine Behörde die für ihre Aufgabenerfüllung geschäftskritischen Anwendungen. Jede dieser Anwendungen wird anschließend anhand der definierten Prüffragen bewertet. Die Bewertung erfolgt auf Basis der vorgesehenen Nachweise und führt für jede Prüffrage zu einem SEAL von 0 bis 4. Auch hier gilt die Gate-Logik: Für jede Kategorie ist das niedrigste erreichte SEAL maßgeblich. Da das SEAL auf Ebene der Souveränitätskategorien erfasst wird (Strategische Souveränität, Operative Souveränität, Rechtliche Souveränität, Lieferkettensouveränität, Souveränität von Daten & KI, Technologische Souveränität), bleiben kritische Bereiche auch auf Anwendungsebene sichtbar.

Für geschäftskritische Anwendungen muss mindestens SEAL-3 erreicht werden. Anwendungen, die dieses Niveau nicht erreichen, weisen in mindestens einem zentralen Souveränitätsaspekt ein Defizit auf und sollten hinsichtlich geeigneter Maßnahmen bewertet werden.

Eine ausführliche Tabelle mit Kriterien, Prüffragen, Nachweisen und SEALs kann auf der Startseite heruntergeladen werden.