Glossar für Compliance und Informationssicherheit
Verständliche Definitionen der Standards, Maßnahmen und Risikobegriffe, die bei ISO 27001, NIS2, DORA, DSGVO und dem EU AI Act eine Rolle spielen.
A
Abweichung (Nonconformity)
Eine Abweichung (Nonconformity) ist eine Auditfeststellung, die belegt, dass eine geltende Anforderung nicht erfüllt ist. Unterschieden werden Haupt- und Nebenabweichungen (major und minor); nach dem BSI-Auditierungsschema schließt eine schwerwiegende Abweichung die Ausstellung oder Aufrechterhaltung eines Zertifikats aus. Davon zu trennen sind Empfehlungen ohne bindende Wirkung.
ISO 27001Anhang A (Annex A)
Anhang A der ISO/IEC 27001:2022 ist ein normativer Referenzkatalog von 93 Informationssicherheitsmaßnahmen, gegen den eine Organisation ihre Risikobehandlung abgleicht. Die Maßnahmen verteilen sich auf vier Themenfelder: 37 organisatorische, 8 personenbezogene, 14 physische und 34 technologische. Er ist keine Umsetzungsliste; das Ergebnis steht im Statement of Applicability.
ISO 27001Asset-Inventar (Asset-Verzeichnis)
Ein Asset-Inventar ist das gepflegte Verzeichnis aller Assets, die eine Organisation für ihre Informationssicherheit schützen muss, mit Eigentümer, Schutzbedarf und Abhängigkeiten je Eintrag. ISO/IEC 27001:2022 führt es in Anhang A als Maßnahme 5.9, DORA verlangt es in Art. 8 Abs. 6 von Finanzunternehmen. Anders als eine CMDB erfasst es auch Informationen und Geschäftsprozesse.
ISMSB
Backup-Strategie
Eine Backup-Strategie ist das Regelwerk einer Organisation, das festlegt, welche Daten wie oft, wohin und wie lange gesichert werden und wie die Wiederherstellung abläuft. Für besonders wichtige und wichtige Einrichtungen verlangt § 30 Abs. 2 Nr. 3 BSIG Backup-Management und Wiederherstellung nach einem Notfall. Ihren Wert belegen erst Wiederherstellungstests.
ISMSBetroffenenrechte
Betroffenenrechte sind die Ansprüche, die die DSGVO einer natürlichen Person gegenüber dem Verantwortlichen für die Verarbeitung ihrer Daten einräumt. Art. 15 bis 22 DSGVO regeln sie, von der Auskunft über Berichtigung und Löschung bis zum Widerspruch. Der Verantwortliche antwortet spätestens einen Monat nach Eingang des Antrags (Art. 12 Abs. 3).
DSGVOBSI C5
BSI C5 (Cloud Computing Compliance Criteria Catalogue) ist ein Kriterienkatalog des BSI, der Mindestanforderungen an die Informationssicherheit von Cloud-Diensten festlegt. C5:2026 umfasst 168 Kriterien in 17 Themengebieten. Die Konformität wird nicht zertifiziert, sondern durch ein Testat eines Wirtschaftsprüfers nach ISAE 3000 nachgewiesen, das sich auf einzelne Cloud-Dienste bezieht.
ISMSBundesdatenschutzgesetz (BDSG)
Das Bundesdatenschutzgesetz (BDSG) ist das Bundesgesetz, das die DSGVO (Verordnung (EU) 2016/679) ergänzt und ihre Öffnungsklauseln ausfüllt. Für Unternehmen regelt es vor allem den Datenschutzbeauftragten (§ 38), Einschränkungen der Betroffenenrechte (§§ 32 bis 37) und ab dem 20. November 2026 das Scoring (§ 37a).
DSGVOBusiness Continuity Management (BCM)
Business Continuity Management (BCM) ist der Managementprozess, mit dem eine Organisation sicherstellt, dass zeitkritische Geschäftsprozesse eine Unterbrechung überstehen. Für Einrichtungen unter dem BSIG verlangt § 30 Abs. 2 Nr. 3 BSIG die Aufrechterhaltung des Betriebs. BCM bestimmt, welche Prozesse wie schnell wieder verfügbar sein müssen, und belegt die Wirksamkeit seiner Pläne in Übungen.
ISMSBusiness Impact Analyse (BIA)
Die Business Impact Analyse (BIA) ist eine strukturierte Untersuchung, die zeitkritische Geschäftsprozesse und die Ressourcen ermittelt, die sie tragen. Sie bewertet den Schaden eines Ausfalls über die Zeit und leitet Kenngrößen wie die maximal tolerierbare Ausfallzeit ab; für Finanzunternehmen verlangt sie Art. 11 Abs. 5 DORA. Ursachen eines Ausfalls untersucht die Risikoanalyse.
RisikomanagementC
Change-Management
Change-Management in der IT (Änderungsmanagement) ist das Verfahren, mit dem Änderungen an Systemen, Anwendungen und Konfigurationen beantragt, bewertet, genehmigt, getestet und dokumentiert werden. Für Finanzunternehmen schreibt es Art. 9 Abs. 4 Buchst. e DORA vor; der IT-Grundschutz regelt es im Baustein OPS.1.1.3. Es ist vom organisatorischen Veränderungsmanagement zu trennen.
ISMSCloud-Sicherheit
Cloud-Sicherheit umfasst alle Maßnahmen, die Daten und Anwendungen in fremd betriebenen Umgebungen schützen. Kennzeichnend ist die geteilte Verantwortung: Der Anbieter sichert die Plattform, der Kunde verantwortet Konfiguration, Identitäten, Berechtigungen und Daten. Die Auslagerung des Betriebs verlagert die Rechenschaftspflicht nicht auf den Anbieter.
ISMSCMDB
Eine CMDB (Configuration Management Database) ist die Datenbank, in der der IT-Betrieb seine Konfigurationselemente (Configuration Items) und deren Beziehungen führt. Sie stammt aus dem ITIL-Konfigurationsmanagement und dient der Störungs- und Änderungsanalyse. Das Asset-Inventar eines ISMS ersetzt sie nicht, und umgekehrt.
ISMSCompliance
Compliance (Regelkonformität) ist die organisierte und nachweisbare Einhaltung aller Gesetze, Verträge, Normen und internen Regeln, die für ein Unternehmen gelten. Rechtlich trägt sie § 130 OWiG, der vom Inhaber die erforderlichen Aufsichtsmaßnahmen verlangt. Ein Compliance-Management-System ist die Organisation, mit der ein Unternehmen diese Einhaltung steuert.
GRCCompliance-Management-System (CMS)
Ein Compliance-Management-System (CMS) ist die Gesamtheit der Regeln, Zuständigkeiten und Kontrollen, mit denen ein Unternehmen die Einhaltung geltender Pflichten sicherstellt und belegt. Nach dem BGH-Urteil vom 9. Mai 2017 (1 StR 265/16) ist ein „effizientes Compliance-Management“ für die Geldbuße nach § 30 OWiG von Bedeutung. Geprüft wird es nach IDW PS 980 oder zertifiziert nach ISO 37301.
GRCCompliance-Risiko
Ein Compliance-Risiko ist die Möglichkeit, dass eine Organisation gegen eine verbindliche Vorgabe verstößt und daraus Sanktionen, Haftung oder Reputationsschäden folgen. In Deutschland knüpfen § 130 und § 30 OWiG an eine verletzte Aufsichtspflicht eine Geldbuße gegen das Unternehmen. Anders als ein operationelles Risiko entsteht es aus einer verbindlichen Regel, nicht aus einem Betriebsereignis.
RisikomanagementCSDDD
Die CSDDD (Richtlinie (EU) 2024/1760) ist die EU-Lieferkettenrichtlinie zu menschenrechts- und umweltbezogenen Sorgfaltspflichten sehr großer Unternehmen. Nach der Omnibus-Änderung gilt sie ab 26. Juli 2029 vor allem für Unternehmen mit über 1,5 Mrd. EUR Nettoumsatz, bei EU-Unternehmen zusätzlich mit über 5.000 Beschäftigten. Bei Drittstaatsunternehmen zählt allein der Umsatz in der Union.
GRCCyber Resilience Act (CRA)
Der Cyber Resilience Act ist die Verordnung (EU) 2024/2847 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen. Sie verpflichtet Hersteller, Hard- und Software über den gesamten Lebenszyklus sicher zu gestalten, Schwachstellen zu behandeln und die Konformität nachzuweisen; Einführer und Händler haben eigene Prüfpflichten (Art. 19, 20).
Cyber Resilience ActD
Data Governance
Data Governance ist der Ordnungsrahmen aus Rollen, Regeln und Kontrollen, der festlegt, wer über welche Daten entscheidet und wie sie genutzt, geschützt und gelöscht werden. Gesetzlich gefordert ist das Ergebnis über die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO. Seit dem 12. September 2025 gilt zudem der Data Act, Verordnung (EU) 2023/2854.
GRCDatenminimierung
Datenminimierung ist der Datenschutzgrundsatz, personenbezogene Daten nur in dem Umfang zu verarbeiten, den der festgelegte Zweck erfordert. Art. 5 Abs. 1 Buchst. c DSGVO verlangt, dass Daten „dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt“ sind. Der Begriff Datensparsamkeit meint dasselbe, steht aber nicht in der Verordnung.
DSGVODatenpanne (Verletzung des Schutzes personenbezogener Daten)
Eine Datenpanne ist eine Sicherheitsverletzung, durch die personenbezogene Daten vernichtet, verloren, verändert, unbefugt offengelegt oder unbefugt zugänglich werden. Der Verantwortliche meldet sie nach Art. 33 DSGVO unverzüglich, möglichst binnen 72 Stunden, der Aufsichtsbehörde, außer sie führt voraussichtlich zu keinem Risiko. Der Rechtsbegriff steht in Art. 4 Nr. 12 DSGVO.
DSGVODatenresidenz
Datenresidenz ist der geografische Ort, an dem Daten gespeichert und verarbeitet werden, festgelegt über die Regionswahl und vertragliche Standortzusagen. Sie beantwortet nur die Frage nach dem Speicherort; von wo zugegriffen wird und welchem Recht der Anbieter unterliegt, ist getrennt zu prüfen. Datenlokalisierung ist dagegen eine Auflage, Datensouveränität eine Rechtsfrage.
ISMSDatenschutzbeauftragter (DSB)
Der Datenschutzbeauftragte (DSB) überwacht die Einhaltung des Datenschutzrechts im Unternehmen, berät den Verantwortlichen und ist Anlaufstelle für Aufsichtsbehörde und betroffene Personen. In Deutschland verpflichtet § 38 BDSG zur Benennung, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.
GRCDatensicherung und Wiederherstellung
Datensicherung und Wiederherstellung sind eine Sicherheitsmaßnahme in zwei Schritten: Die Sicherung erzeugt Kopien von Daten und Systemen, die Wiederherstellung führt sie in den Betrieb zurück. § 30 Abs. 2 Satz 2 Nr. 3 BSIG nennt beides, Art. 12 Abs. 2 DORA verlangt regelmäßige Tests. Belegt ist die Maßnahme erst durch einen dokumentierten Wiederherstellungstest.
RisikomanagementDienstleistersteuerung
Dienstleistersteuerung ist die Managementaufgabe, externe Anbieter über den Lebenszyklus einer bezogenen Leistung zu prüfen, vertraglich abzusichern, zu überwachen und geordnet zu beenden. Für NIS2-Einrichtungen verlangt § 30 Abs. 2 Satz 2 Nr. 4 BSIG die Sicherheit der Lieferkette. Anders als die Auslagerung erfasst sie jeden externen Bezug, nicht nur ausgelagerte Tätigkeiten.
RisikomanagementDigitale operationale Resilienz
Digitale operationale Resilienz ist die Fähigkeit eines Finanzunternehmens, seine Dienstleistungen auch bei gestörter oder ausgefallener IT weiter zu erbringen und das belegen zu können. DORA beschreibt sie in Art. 3 Nr. 1 als Fähigkeit, die operative Integrität und Betriebszuverlässigkeit aufzubauen, zu gewährleisten und zu überprüfen, auch über IKT-Drittdienstleister.
DORAE
E-Mail-Sicherheit
E-Mail-Sicherheit ist die Gesamtheit der Maßnahmen, die E-Mail-Kommunikation vor Missbrauch der eigenen Domain, vor Mitlesen und vor schädlichen Nachrichten schützen. Für die Absenderprüfung mit SPF, DKIM und DMARC legt die BSI TR-03182 prüfbare Anforderungen fest, für den Transport die BSI TR-03108. Die DNS-Einträge der Absenderprüfung sind öffentlich und damit von außen prüfbar.
ISMSEndpoint Detection and Response (EDR)
Endpoint Detection and Response (EDR) ist eine Sicherheitslösung, die Abläufe auf Endgeräten und Servern aufzeichnet, Auffälligkeiten meldet und betroffene Systeme isolieren lässt. Vorgeschrieben ist EDR nicht; § 30 Abs. 2 Satz 2 Nr. 2 BSIG verlangt die Bewältigung von Sicherheitsvorfällen. Anders als Virenschutz, der Dateien auf bekannte Schadsoftware prüft, zeichnet EDR den Hergang auf.
ISMSEU AI Act / KI-Verordnung (KI-VO)
Der EU AI Act ist die Verordnung (EU) 2024/1689 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz, deutsch KI-Verordnung. Sie reguliert KI-Systeme nach ihrem Risiko: Einzelne Praktiken sind nach Art. 5 verboten, Hochrisiko-Systeme müssen die Anforderungen von Kapitel III erfüllen, für weitere Systeme gelten Transparenzpflichten nach Art. 50.
EU AI ActI
Informationsaustausch zu Cyberbedrohungen
Informationsaustausch zu Cyberbedrohungen ist der freiwillige Austausch von Bedrohungswissen zwischen Finanzunternehmen, den Artikel 45 DORA unter drei Bedingungen erlaubt. Dazu zählen nach Absatz 1 Indikatoren für Beeinträchtigungen, Taktiken, Techniken und Verfahren, Cybersicherheitswarnungen und Konfigurationstools. Pflicht ist allein die Mitteilung der Teilnahme an die zuständige Behörde.
DORAInformationssicherheit
Informationssicherheit ist der angemessene Schutz der Vertraulichkeit, Integrität und Verfügbarkeit von Informationen auf Papier, in IT-Systemen oder im Wissen von Personen. § 2 Nr. 17 BSIG definiert den Begriff gesetzlich. IT-Sicherheit ist nach BSI-Standard 200-1 eine Teilmenge davon und auf elektronisch gespeicherte Informationen beschränkt.
ISMSInformationssicherheitsleitlinie (Security Policy)
Die Informationssicherheitsleitlinie ist das oberste Dokument der Sicherheitsorganisation. Sie wird von der Geschäftsleitung in Kraft gesetzt und legt Ziele, Geltungsbereich, Grundsätze, Rollen und Verbindlichkeit der Informationssicherheit fest. Detailregelungen stehen in nachgelagerten Richtlinien, nicht in der Leitlinie selbst.
ISMSInformationssicherheitsziele
Informationssicherheitsziele sind die von der Organisation festgelegten Absichten, die das ISMS erreichen soll. ISO/IEC 27001:2022 verlangt sie in Abschnitt 6.2 auf den relevanten Ebenen und Funktionen, abgeleitet aus der Leitlinie und mit einer Planung, wer was bis wann erreicht. Sie sind von Kennzahlen und Maßnahmen zu unterscheiden.
ISMSInternes Audit
Ein internes Audit ist eine planmäßige Prüfung durch die Organisation selbst, ob ihr Managementsystem die eigenen Vorgaben und die Normanforderungen erfüllt und wirksam umgesetzt ist. ISO/IEC 27001:2022 verlangt es in Abschnitt 9.2 in geplanten Abständen. Verantwortet wird es von der Organisation selbst, nicht von der Zertifizierungsstelle.
ISO 27001ISMS (Informationssicherheits-Managementsystem)
Ein ISMS (Informationssicherheits-Managementsystem) ist das Steuerungssystem aus Leitlinie, Rollen, Risikoverfahren und Maßnahmen, mit dem eine Organisation Informationssicherheit lenkt und nachweist. Die Anforderungen daran stehen in ISO/IEC 27001, nach der ein ISMS zertifizierbar ist. Anders als IT-Sicherheit erfasst es Informationen in jeder Form, auch auf Papier.
ISMSISO/IEC 27001 (ISO 27001)
ISO/IEC 27001 ist die internationale Norm für Informationssicherheits-Managementsysteme (ISMS). Sie legt in den Kapiteln 4 bis 10 die verbindlichen Anforderungen an Aufbau, Betrieb, Überwachung und Verbesserung eines ISMS fest; Anhang A nennt ergänzend 93 Referenzmaßnahmen. Anders als ISO/IEC 27002 ist ISO/IEC 27001 zertifizierbar.
ISO 27001ISO/IEC 27002 (ISO 27002)
ISO/IEC 27002 (Informationssicherheitsmaßnahmen) ist die internationale Norm, die die 93 Maßnahmen aus Anhang A der ISO/IEC 27001 mit Zweck und Umsetzungshinweisen erläutert. Die Fassung 2022 gliedert sie in vier Themenfelder: 37 organisatorische, 8 personenbezogene, 14 physische und 34 technologische Maßnahmen. Anders als ISO/IEC 27001 ist sie nicht zertifizierbar.
ISO 27002ISO/IEC 42001 (ISO 42001)
ISO/IEC 42001:2023 ist die internationale Norm für Managementsysteme für künstliche Intelligenz. Sie legt Anforderungen an Aufbau, Betrieb, Überwachung und Verbesserung eines KI-Managementsystems fest und richtet sich an Organisationen, die KI-Systeme anbieten oder einsetzen. Als Managementsystemnorm ist sie ein Organisationsrahmen, kein Konformitätsweg zu einer Verordnung.
GRCIT-Sicherheit
IT-Sicherheit (IT Security) ist der Schutz von IT-Systemen, Anwendungen und Netzen sowie der darin verarbeiteten Informationen vor Verlust der Vertraulichkeit, Integrität und Verfügbarkeit. Das BSIG nennt sie „Sicherheit in der Informationstechnik“ (§ 2 Nr. 39 BSIG). Nach BSI-Standard 200-1 ist sie eine Teilmenge der Informationssicherheit.
ISMSIT-Sicherheitsmanagement
IT-Sicherheitsmanagement ist die Planungs-, Lenkungs- und Kontrollaufgabe, mit der eine Organisation Informationssicherheit dauerhaft herstellt, überprüft und verbessert. Das BSI nennt sie (Informations-)Sicherheitsmanagement und beschreibt sie in BSI-Standard 200-1 und im Baustein ISMS.1; ausgeübt wird sie über ein ISMS. Die Gesamtverantwortung trägt die Leitungsebene.
ISMSK
Key Risk Indicator (KRI)
Ein Key Risk Indicator (KRI) ist eine Kennzahl, die frühzeitig anzeigt, dass ein bestimmtes Risiko steigt, bevor ein Schaden eintritt. Er gehört zu einem benannten Risiko und hat Schwellenwerte aus der Risikobereitschaft. DORA verlangt von Finanzunternehmen in Art. 6 Abs. 8 Buchst. c wesentliche Risikokennzahlen als Teil ihrer Ziele für die Informationssicherheit.
RisikomanagementKI-Kennzeichnungspflicht
Die KI-Kennzeichnungspflicht ist eine Transparenzpflicht nach Art. 50 der KI-Verordnung (EU) 2024/1689, die KI-Interaktionen und KI-erzeugte Inhalte für Menschen erkennbar macht. Sie gilt seit dem 2. August 2026. Für generative Systeme, die vorher in Verkehr gebracht wurden, haben Anbieter für die maschinenlesbare Kennzeichnung bis zum 2. Dezember 2026 Zeit.
EU AI ActKonzentrationsrisiko
Ein Konzentrationsrisiko ist das Risiko aus Abhängigkeiten, die sich auf wenige Anbieter, Technologien, Standorte oder Personen bündeln, sodass ein Ausfall mehrere Prozesse zugleich trifft. Art. 29 DORA verlangt von Finanzunternehmen vor Verträgen für kritische oder wichtige Funktionen eine vorläufige Bewertung des IKT-Konzentrationsrisikos. Die MaRisk sprechen von Risikokonzentrationen.
RisikomanagementKRITIS-Dachgesetz (KRITISDachG)
Das KRITIS-Dachgesetz (KRITISDachG) ist das Bundesgesetz, das die physische Resilienz kritischer Anlagen regelt und die Richtlinie (EU) 2022/2557 umsetzt. Es ist seit dem 17. März 2026 in Kraft; die Pflichten der Betreiber beginnen gestaffelt nach der Registrierung einer Anlage. Die Sicherheit der Informationstechnik regelt daneben das BSI-Gesetz.
NIS2Kritische Infrastruktur (KRITIS)
Kritische Infrastrukturen (KRITIS) sind Anlagen, die eine Versorgungsleistung erbringen, deren Ausfall zu erheblichen Versorgungsengpässen oder Gefährdungen der öffentlichen Sicherheit führen würde. Seit dem 17. März 2026 definiert § 2 Nr. 3 KRITISDachG die kritische Anlage, § 4 Abs. 1 nennt zehn Sektoren. Ihre Betreiber gelten nach dem BSIG zugleich als besonders wichtige Einrichtungen.
NIS2Kryptografiekonzept
Ein Kryptografiekonzept ist eine schriftliche Vorgabe, die festlegt, wo eine Organisation kryptografische Verfahren einsetzt, welche sie zulässt und wie sie Schlüssel verwaltet. Für Einrichtungen unter dem BSIG gehört es zu den Mindestmaßnahmen des § 30 Abs. 2 BSIG (Nr. 8). Es steht über der einzelnen Verschlüsselung und regelt Schlüssel über ihren gesamten Lebenszyklus.
ISMSL
Least Privilege (Minimalprinzip)
Least Privilege ist ein Sicherheitsprinzip, nach dem jede Identität nur die Rechte erhält, die ihre Aufgabe erfordert, und nur so lange, wie sie sie braucht. Der BSI-Baustein ORP.4 verlangt es als Basis-Anforderung, § 30 Abs. 2 Satz 2 Nr. 9 BSIG ein Konzept für die Zugriffskontrolle. Anders als Need-to-know begrenzt es nicht, welche Informationen jemand sieht, sondern was er damit tun darf.
ISO 27002Lieferkettensicherheit
Lieferkettensicherheit ist die Risikomanagementmaßnahme, mit der eine Einrichtung die Sicherheitsrisiken aus ihren Beziehungen zu Anbietern und Diensteanbietern steuert. § 30 Abs. 2 Satz 2 Nr. 4 BSIG verlangt die „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern“.
NIS2M
Managementbewertung
Die Managementbewertung ist die regelmäßige Bewertung des Managementsystems durch die oberste Leitung. ISO/IEC 27001 fordert sie in Abschnitt 9.3 in geplanten Abständen: Die Leitung prüft anhand festgelegter Eingaben, ob das ISMS seinen Zweck noch erfüllt. Ergebnis ist nicht ein Protokoll, sondern eine dokumentierte Entscheidung.
ISO 27001Managementsystem
Ein Managementsystem ist der Rahmen aus Politik, Zielen, Rollen, Prozessen und Nachweisen, mit dem eine Organisation ein Thema planvoll steuert und verbessert. Die harmonisierte Struktur nach Annex SL gibt ISO/IEC 27001, ISO 22301 und ISO 37301 dieselben Abschnitte 4 bis 10 vor. Das ISMS ist das Managementsystem für Informationssicherheit.
GRCMaRisk
Die MaRisk (Mindestanforderungen an das Risikomanagement) sind ein Rundschreiben der BaFin, das die Risikomanagement-Pflicht aus § 25a Abs. 1 KWG für Banken und Finanzdienstleister konkretisiert. Seit dem 30. Juni 2026 gilt das Rundschreiben 06/2026 (BA), die neunte MaRisk-Novelle. Bedeutende Institute unter direkter EZB-Aufsicht sind seitdem ausgenommen.
DORAMulti-Faktor-Authentifizierung (MFA)
Multi-Faktor-Authentifizierung (MFA) ist ein Anmeldeverfahren mit mindestens zwei Nachweisen aus unterschiedlichen Kategorien: Wissen, Besitz oder Inhärenz. Für besonders wichtige und wichtige Einrichtungen ist sie nach § 30 Abs. 2 Satz 2 Nr. 10 BSIG Mindestmaßnahme, alternativ zur kontinuierlichen Authentifizierung. Zwei Wissensfaktoren wie Passwort und Sicherheitsfrage sind keine MFA.
ISMSN
Nachweis (Evidence)
Ein Nachweis (Evidence) ist eine nachprüfbare Information, die belegt, dass eine Anforderung erfüllt oder eine Maßnahme wirksam ist, etwa eine Aufzeichnung oder ein Systemauszug. ISO/IEC 27001 fasst Dokumente und Aufzeichnungen in Abschnitt 7.5 als dokumentierte Information. Ein Nachweis trägt nur, solange der Zustand gilt, den er beschreibt, und nur mit Quelle, Datum und Geltungszeitraum.
ISMSNIS-2-Umsetzungsgesetz
Das NIS-2-Umsetzungsgesetz ist das deutsche Gesetz, das die Richtlinie (EU) 2022/2555 umsetzt und dafür das BSI-Gesetz (BSIG) neu fasst. Es gilt seit dem 6. Dezember 2025 und verpflichtet besonders wichtige und wichtige Einrichtungen zu Risikomanagement, Meldung erheblicher Sicherheitsvorfälle und Registrierung beim BSI.
NIS2P
PCI DSS
PCI DSS (Payment Card Industry Data Security Standard) ist der Sicherheitsstandard der Kartenzahlungsbranche für alle, die Kartendaten speichern, verarbeiten oder übertragen. Herausgeber ist das PCI Security Standards Council; seit dem 31. Dezember 2024 gilt allein Version 4.0.1. Verbindlich wird er über Compliance-Programme von Kartenorganisationen und Acquirern, nicht per Gesetz.
GRCPenetrationstest (Pentest)
Ein Penetrationstest ist eine beauftragte, abgegrenzte Sicherheitsprüfung, bei der Fachleute mit Angreifermethoden in ein Zielsystem einzudringen versuchen. Anders als ein automatisierter Scan zeigt er, ob eine Schwachstelle in der konkreten Umgebung ausnutzbar ist. Art. 26 DORA verlangt von ermittelten Finanzunternehmen mindestens alle drei Jahre bedrohungsorientierte Penetrationstests.
ISMSPhishing-Simulation
Eine Phishing-Simulation ist eine kontrollierte, vom Unternehmen selbst veranlasste Kampagne, bei der Beschäftigte Nachrichten erhalten, die echten Phishing-Versuchen nachempfunden sind. Für Einrichtungen unter dem BSIG ist sie eine Sensibilisierungsmaßnahme nach § 30 Abs. 2 Nr. 7 BSIG. Sie übt das Erkennen und vor allem das Melden verdächtiger Nachrichten.
ISMSProtokollierung und Monitoring
Protokollierung und Monitoring sind die Sicherheitsmaßnahmen, die sicherheitsrelevante Ereignisse in Systemen und Anwendungen aufzeichnen und auf Auffälligkeiten auswerten. ISO/IEC 27001 führt sie in Anhang A als Maßnahmen 8.15 und 8.16. Weil Protokolle personenbezogene Daten enthalten können, sind Zweck, Zugriff und Löschung ebenso festzulegen wie die Erfassung.
ISMSPseudonymisierung
Pseudonymisierung ist nach Art. 4 Nr. 5 DSGVO eine Verarbeitung, nach der sich personenbezogene Daten ohne gesondert verwahrte Zusatzinformationen keiner Person mehr zuordnen lassen. Für den, der die Zusatzinformationen hält, bleiben die Daten personenbezogen. Anonymisierte Daten lassen sich niemandem mehr zuordnen und fallen nicht unter die DSGVO.
DSGVOR
Restrisiko
Das Restrisiko ist das Risiko, das nach der Umsetzung der beschlossenen Maßnahmen verbleibt. Nach BSI-Standard 200-3 wird es der Leitungsebene zur Zustimmung vorgelegt; diese Risikoakzeptanz dokumentiert, dass die Institution das Restrisiko kennt. Es unterscheidet sich vom inhärenten Risiko ohne Maßnahmen und vom aktuellen Risiko mit den heute wirksamen Maßnahmen.
RisikomanagementRichtlinie und Verfahrensanweisung
Eine Richtlinie ist ein verbindliches Regelungsdokument, das festlegt, was gilt und wer verantwortlich ist; eine Verfahrensanweisung beschreibt, wie ein Ablauf erfolgt. Beide stehen unterhalb der Leitlinie der Geschäftsleitung, oberhalb der Arbeitsanweisungen und unterliegen der Dokumentenlenkung nach Abschnitt 7.5 der ISO/IEC 27001.
GRCRisikoanalyse
Die Risikoanalyse ist der Schritt im Risikomanagement, der erkannte Risiken nach Eintrittswahrscheinlichkeit und Auswirkung einschätzt. Ob ein Risiko akzeptabel ist, entscheidet die anschließende Risikobewertung. Der BSI-Standard 200-3 nennt dagegen den gesamten Prozess bis zur Risikobehandlung Risikoanalyse.
RisikomanagementRisikoeigentümer (Risk Owner)
Der Risikoeigentümer (Risk Owner) ist die benannte Person, die für ein Risiko Rechenschaft trägt und über seine Behandlung entscheidet. ISO/IEC 27001 verlangt in Abschnitt 6.1.2, für jedes identifizierte Risiko einen Risikoeigentümer zu bestimmen. Die Rolle braucht Entscheidungs- und Budgetbefugnis; bei Fachrisiken liegt sie daher im Fachbereich, nicht beim Informationssicherheitsbeauftragten.
GRCRisikomatrix
Eine Risikomatrix ist eine Tabelle, die Risiken nach Eintrittswahrscheinlichkeit und Schadensausmaß einordnet und jeder Zelle eine Risikostufe zuweist. Der BSI-Standard 200-3 empfiehlt höchstens fünf Kategorien je Achse und stellt Zahl und Kriterien der Stufen frei. Anders als die Matrix nach Nohl aus dem Arbeitsschutz bewertet sie Schäden an Informationen und Prozessen.
RisikomanagementS
Sicherheitskennzahlen (KPI)
Sicherheitskennzahlen (Security KPIs) sind Messwerte, die Zustand und Wirksamkeit der Informationssicherheit so abbilden, dass sich daraus eine Entscheidung ableiten lässt. ISO/IEC 27001 macht Messung und Bewertung in Abschnitt 9.1 zur Pflicht; welche Kennzahlen dafür taugen, legt die Organisation fest. Ein KPI misst Zielerreichung, ein KRI zeigt steigende Risiken früh an.
ISMSSoftware Bill of Materials (SBOM)
Eine SBOM (Software Bill of Materials, Software-Stückliste) ist eine maschinenlesbare Aufstellung aller Komponenten einer Software mit Hersteller, Version und Abhängigkeiten. Der Cyber Resilience Act, Verordnung (EU) 2024/2847, verpflichtet Hersteller ab dem 11. Dezember 2027, für ihre Produkte eine SBOM zu erstellen, die zumindest die obersten Abhängigkeiten zeigt.
Cyber Resilience ActZ
Zero Trust
Zero Trust ist ein Architekturprinzip, nach dem kein Zugriff allein deshalb als vertrauenswürdig gilt, weil er aus dem eigenen Netz stammt. Nach NIST SP 800-207 werden Identität, Gerät und Kontext vor jeder Sitzung zu einer Ressource geprüft. Zero Trust ist kein Produkt, kein Rechtsbegriff und kein Zertifizierungsgegenstand; prüfbar sind allein die Kontrollen, die daraus folgen.
ISMSZertifizierungsstelle
Eine Zertifizierungsstelle ist eine unabhängige Organisation, die prüft, ob ein Managementsystem die Anforderungen einer Norm erfüllt, und darüber ein Zertifikat ausstellt. Für ein akkreditiertes ISO/IEC-27001-Zertifikat braucht sie eine eigene Akkreditierung; sie auditiert in zwei Stufen und überwacht das Zertifikat über dessen Laufzeit.
ISO 27001Zugriffskontrolle
Zugriffskontrolle ist die Sicherheitsmaßnahme, die festlegt und durchsetzt, welche angemeldete Identität welche Daten lesen, ändern oder löschen darf. § 30 Abs. 2 Satz 2 Nr. 9 BSIG verlangt Konzepte dafür, ISO/IEC 27001:2022 führt sie in Anhang A 5.15 bis 5.18. Sie setzt nach der Anmeldung an, anders als die Zugangskontrolle.
ISO 27002