Korrekturhinweis vom 17. Oktober 2026: Bei den Benchmark-Läufen vom 11. bis 18. Juni 2026 liefen die Infrastruktur-Prüfungen (Cluster A) in ein Rate-Limit. Ab etwa der 31. Domain eines Laufs wertete der Scanner Cluster A als 0 statt als nicht gemessen. Die CES-Werte der betroffenen Domains liegen dadurch teils um bis zu 25 Punkte zu niedrig. Die Ursache ist seit dem 29. August 2026 behoben. Die Durchschnitts- und Höchstwerte, die hier ursprünglich standen, habe ich deshalb entfernt. Details stehen im Korrekturhinweis auf certavia.org.
Am 11. Juni 2026 habe ich mit CERTavia 288 europäische Enterprise-Domains aus sechs Branchen gescannt. Die Grundlage jedes Scans ist das Sovereign Validation Protocol (SOVP), ein deterministisches Infrastruktur-Validierungs-Framework, das ich entwickelt, als IETF Internet-Draft eingereicht und beim USPTO als Provisional Patent angemeldet habe.
CERTavia prüft auf Grundlage des SOVP 80+ Parameter in 6 Clustern (A bis F). Das Ergebnis lautet SOVP-CERTIFIED oder SOVP-FAILED, bei Datenlücken INCOMPLETE. Der CERTavia Evaluation Score (CES) ist der numerische Gesamtwert (0 bis 100), der die Einzelwerte aller sechs Cluster aggregiert. Er zeigt, welche Cluster konkret Handlungsbedarf haben, um CERTIFIED zu erreichen. Die Cluster-Struktur und Parameterdefinitionen sind an den infrastrukturrelevanten Anforderungen des EU AI Act, insbesondere Art. 15, angelehnt.
Dieser erste große Benchmark liefert eine Ausgangsbasis: Keine der 288 Domains erreichte CERTIFIED.
Die Zahlen
Sechs Branchen, 288 Domains. Gescannt wurden je Sektor:
- DAX 40: 40 Domains
- Automotive & Industrie: 50 Domains
- Finanzsektor BaFin: 50 Domains
- Gesundheitswesen & Pharma: 50 Domains
- Kritische Infrastruktur: 49 Domains
- Bundesbehörden & EU: 49 Domains
In keinem Sektor erreichte eine Domain CERTIFIED. Durchschnitts- und Höchstwerte je Sektor nenne ich wegen des Messfehlers nicht mehr (siehe Korrekturhinweis).
Was mich an diesen Zahlen interessiert
Ich habe das SOVP entwickelt, um genau diese Art von Messung möglich zu machen. Was mich bei den Ergebnissen am meisten beschäftigt: Auch keine Domain der Bundesbehörden und EU-Institutionen, die NIS2 und den EU AI Act für andere durchsetzen, erreichte CERTIFIED.
Diese Anforderungsschicht ist neu. Der gesamte Markt steht am Anfang dieser Entwicklung.
Cluster F (AI Governance) und Cluster E (Agentic Readiness) messen die Infrastrukturschicht, die der EU AI Act als technische Grundvoraussetzung voraussetzt: maschinenlesbare Governance-Signale, die ein KI-System regelbasiert und reproduzierbar auswerten kann. Wer hier früh investiert, baut einen strukturellen Vorsprung auf.
Was das für die nächsten Monate bedeutet
DORA gilt seit Januar 2025 verbindlich. Die EU-AI-Act-Enforcement-Phase läuft. Unternehmen im Finanzsektor haben konkreten Handlungsbedarf beim Aufbau maschinenlesbarer Infrastruktur-Evidenz. Der entscheidende Vorteil von SOVP: Es ist auditierbar, deterministisch und kryptografisch signiert. Das macht den Fortschritt messbar.
Der Benchmark erscheint halbjährlich. Der nächste Scan ist für Ende 2026 geplant.
Vollständiger Report mit Branchentabellen und Methodik auf certavia.org →