Glossar für Compliance und Informationssicherheit
Verständliche Definitionen der Standards, Maßnahmen und Risikobegriffe, die bei ISO 27001, NIS2, DORA, DSGVO und dem EU AI Act eine Rolle spielen.
C
Cloud-Sicherheit
Cloud-Sicherheit umfasst alle Maßnahmen, die Daten und Anwendungen in fremd betriebenen Umgebungen schützen. Kennzeichnend ist die geteilte Verantwortung: Der Anbieter sichert die Plattform, der Kunde verantwortet Konfiguration, Identitäten, Berechtigungen und Daten. Die Auslagerung des Betriebs verlagert die Rechenschaftspflicht nicht auf den Anbieter.
ISMSCompliance-Risiko
Ein Compliance-Risiko ist die Möglichkeit, dass eine Organisation oder ihre Beschäftigten gegen verbindliche Vorgaben verstoßen, sei es gegen Gesetze, aufsichtsrechtliche Anforderungen, Verträge oder selbst gesetzte Regeln, und dass daraus Sanktionen, Haftung, Vergabeausschlüsse oder Reputationsschäden folgen. Bewertet wird es über die identifizierten Pflichten, nicht über ein Bauchgefühl.
RisikomanagementD
Datenminimierung
Datenminimierung ist der Grundsatz, personenbezogene Daten nur in dem Umfang zu verarbeiten, der für den festgelegten Zweck tatsächlich erforderlich ist. Der Grundsatz begrenzt die Menge der Daten, ihre Detailtiefe, den Kreis der Zugriffsberechtigten und die Speicherdauer. Er gilt auch dann, wenn eine Rechtsgrundlage vorliegt und die Daten gut geschützt sind.
DSGVODatenresidenz
Datenresidenz bezeichnet den geografischen Ort, an dem Daten gespeichert und verarbeitet werden. Gesteuert wird sie über die Wahl der Region, über Standortzusagen und über vertragliche Regelungen. Zu unterscheiden sind der Speicherort, der Ort des Zugriffs und die Rechtsordnungen, denen der Anbieter unterliegt. Erst zusammen ergeben die drei ein belastbares Bild.
ISMSI
Informationssicherheitsziele
Informationssicherheitsziele sind die von der Organisation festgelegten, messbaren Absichten, die das ISMS erreichen soll. ISO/IEC 27001 verlangt sie in Abschnitt 6.2 auf den relevanten Ebenen und Funktionen: im Einklang mit der Leitlinie, messbar soweit praktikabel, überwacht, kommuniziert, aktualisiert und als dokumentierte Information verfügbar.
ISMSInternes Audit
Ein internes Audit ist die systematische, unabhängig durchgeführte und dokumentierte Prüfung, ob ein Managementsystem die eigenen Vorgaben und die Anforderungen der zugrunde liegenden Norm erfüllt und wirksam umgesetzt ist. ISO/IEC 27001 fordert es in Abschnitt 9.2 in geplanten Abständen. Verantwortet wird es von der Organisation selbst, nicht von der Zertifizierungsstelle.
ISO 27001K
Konzentrationsrisiko
Ein Konzentrationsrisiko entsteht, wenn sich Abhängigkeiten auf wenige Punkte bündeln: auf einen Dienstleister, eine Technologie, einen Standort oder eine Region. Ein einzelner Ausfall wirkt dann nicht lokal, sondern trifft mehrere Prozesse gleichzeitig. Bei IT-Dienstleistern ist es einer der Gründe, warum die EU einzelne Anbieter des Finanzsektors zentral beaufsichtigt.
RisikomanagementKritische Infrastruktur (KRITIS)
Kritische Infrastrukturen, kurz KRITIS, sind Einrichtungen und Anlagen von wesentlicher Bedeutung für das Gemeinwesen, deren Ausfall zu erheblichen Versorgungsengpässen oder Gefährdungen der öffentlichen Sicherheit führen würde. Im deutschen Recht ist der Begriff über das BSI-Gesetz und die BSI-Kritisverordnung ausgestaltet; maßgeblich sind Sektor und Schwellenwert.
NIS2Kryptografiekonzept
Ein Kryptografiekonzept legt schriftlich fest, wo eine Organisation kryptografische Verfahren einsetzt, welche Verfahren zugelassen sind und wie Schlüssel über ihren gesamten Lebenszyklus verwaltet werden. Es ist die Vorgabenebene über der einzelnen Verschlüsselung und das Dokument, nach dem ein Auditor fragt, bevor er einzelne Systeme prüft.
ISMSM
Managementsystem
Ein Managementsystem ist der dokumentierte Rahmen aus Politik, Zielen, Rollen, Prozessen und Nachweisen, mit dem eine Organisation ein Thema planvoll steuert und verbessert. Die ISO-Normen für Informationssicherheit, Betriebskontinuität, Compliance und Qualität folgen derselben Grundstruktur. Genau das macht den gemeinsamen Betrieb mehrerer Systeme möglich.
GRCMulti-Faktor-Authentifizierung (MFA)
Multi-Faktor-Authentifizierung verlangt für eine Anmeldung mindestens zwei Nachweise aus unterschiedlichen Kategorien: Wissen, Besitz oder ein biometrisches Merkmal. Dadurch genügt ein erbeutetes Passwort allein nicht mehr für den Zugang. Zwei Nachweise derselben Kategorie, etwa Passwort und Sicherheitsfrage, sind keine Multi-Faktor-Authentifizierung.
ISMSR
Richtlinie und Verfahrensanweisung
Eine Richtlinie legt verbindlich fest, was gelten soll und wer dafür verantwortlich ist. Eine Verfahrensanweisung beschreibt, wie eine Tätigkeit im Einzelnen abläuft. Beide stehen in einer Hierarchie unterhalb der Leitlinie der Geschäftsleitung und oberhalb der Arbeitsanweisungen. Die saubere Trennung entscheidet darüber, wie oft ein Dokument neu freigegeben werden muss.
GRCRisikoeigentümer (Risk Owner)
Der Risikoeigentümer ist die benannte Person, die für ein bestimmtes Risiko verantwortlich ist: Sie bewertet es, entscheidet über die Behandlung, akzeptiert das Restrisiko und verantwortet dessen Überwachung. Die Rolle erfordert Entscheidungs- und Budgetbefugnis im betroffenen Bereich; sie liegt deshalb im Fachbereich, nicht in der Stabsstelle, die den Prozess betreut.
GRC