Compliance-Lexikon
Compliance-Lexikon
Die wichtigsten Begriffe der Informationssicherheit und Compliance, verständlich erklärt: von ISMS über MFA und TOM bis Risikoanalyse. Mit direktem Bezug zu ISO 27001, NIS2 und DSGVO.
A
ISMS & FrameworksAnnex AAnnex A der ISO 27001:2022 ist der Katalog von 93 Sicherheitscontrols in vier Themengruppen (organisatorisch, personell, physisch, technologisch), aus denen sich Organisationen risikobasiert bedienen.RisikomanagementAsset (Wert)Ein Asset (deutsch: Wert) ist alles, was für eine Organisation schützenswert ist: Informationen, Hardware, Software, Dienste, aber auch Personen und Reputation.DatenschutzAuftragsverarbeitungsvertrag (AVV)Ein AVV ist der nach Art. 28 DSGVO vorgeschriebene Vertrag zwischen Verantwortlichem und Dienstleister, der die Verarbeitung personenbezogener Daten im Auftrag regelt.
B
Technik & SecurityBackup (Datensicherung)Ein Backup ist eine Sicherungskopie von Daten und Systemen, die im Fall von Ausfall, Fehler oder Angriff (z.B. Ransomware) die Wiederherstellung ermöglicht.RisikomanagementBedrohungEine Bedrohung ist ein mögliches Ereignis oder eine Handlung, die Informationen oder Systeme schädigen kann, etwa ein Cyberangriff, menschliches Versagen oder ein Naturereignis.Recht & NormenBesonders wichtige Einrichtung (NIS2)Eine besonders wichtige Einrichtung ist die höhere von zwei NIS2-Kategorien und umfasst große Unternehmen in Sektoren mit hoher Kritikalität sowie bestimmte Betreiber, die einer strengeren Aufsicht unterliegen.RisikomanagementBrutto- und NettorisikoDas Bruttorisiko ist das Risiko ohne Schutzmaßnahmen, das Nettorisiko das verbleibende Restrisiko, nachdem die umgesetzten Controls wirken.Recht & NormenBSI IT-GrundschutzDer BSI IT-Grundschutz ist eine vom Bundesamt für Sicherheit in der Informationstechnik entwickelte Methodik, die mit konkreten Bausteinen und Standardanforderungen den Aufbau eines ISMS in der Praxis unterstützt.Technik & SecurityBusiness Continuity Management (BCM)BCM (Notfall- und Kontinuitätsmanagement) sorgt dafür, dass kritische Geschäftsprozesse auch bei Störungen, Ausfällen oder Krisen aufrechterhalten oder schnell wiederhergestellt werden.ISMS & FrameworksBusiness Impact Analyse (BIA)Die Business Impact Analyse (BIA) ermittelt, welche Geschäftsprozesse besonders kritisch sind und welche Schäden ein Ausfall über die Zeit verursacht, und liefert damit die Grundlage für Notfall- und Wiederanlaufplanung.
C
ISMS & FrameworksControl (Maßnahme)Ein Control (deutsch: Maßnahme oder Kontrolle) ist eine konkrete Sicherheitsvorkehrung, die ein Risiko vermindert, etwa eine Zugriffsbeschränkung, Verschlüsselung oder ein Schulungsprozess.Recht & NormenCyber EssentialsCyber Essentials ist ein von der britischen Regierung getragenes Zertifizierungsprogramm, das mit fünf technischen Basiskontrollen einen grundlegenden Schutz gegen die häufigsten Cyberangriffe nachweist.Recht & NormenCyber Resilience Act (CRA)Der Cyber Resilience Act (CRA) ist eine EU-Verordnung, die verbindliche Cybersicherheitsanforderungen an Produkte mit digitalen Elementen stellt, von der sicheren Entwicklung über das Schwachstellenmanagement bis zur CE-Kennzeichnung.RisikomanagementCyber-VersicherungEine Cyber-Versicherung deckt finanzielle Schäden aus Cyber-Vorfällen ab, etwa Betriebsunterbrechung, Wiederherstellungskosten, Haftung und Krisenmanagement, und ist eine Form der Risikoübertragung.
D
DatenschutzDatenpanne (Datenschutzverletzung)Eine Datenpanne ist eine Verletzung des Schutzes personenbezogener Daten, die zu deren Vernichtung, Verlust, Veränderung oder unbefugter Offenlegung führt, etwa durch einen Hackerangriff oder Fehlversand.DatenschutzDatenschutz-Folgenabschätzung (DSFA)Eine DSFA ist die nach Art. 35 DSGVO vorgeschriebene vorherige Risikobewertung für Verarbeitungen, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten betroffener Personen mit sich bringen.Recht & NormenDORADORA ist die EU-Verordnung zur digitalen operationalen Resilienz des Finanzsektors, die einheitliche Anforderungen an IKT-Risikomanagement, Vorfallmeldung, Tests und die Steuerung von IT-Drittdienstleistern festlegt.Recht & NormenDSGVODie DSGVO ist die EU-Verordnung zum Schutz personenbezogener Daten, die Grundsätze, Rechtsgrundlagen und Pflichten für die Verarbeitung festlegt und bei Verstößen hohe Bußgelder vorsieht.
E
Technik & SecurityEDREDR ist eine Endpunkt-Sicherheitslösung, die verdächtiges Verhalten auf Geräten in Echtzeit erkennt, untersucht und darauf reagiert, und damit über klassischen, signaturbasierten Virenschutz hinausgeht.Recht & NormenEU AI Act (KI-Verordnung)Der EU AI Act ist die weltweit erste umfassende Regulierung künstlicher Intelligenz. Er stuft KI-Systeme nach ihrem Risiko ein und knüpft daran abgestufte Pflichten, von Transparenz bis hin zu strengen Anforderungen für Hochrisiko-Systeme.
G
ISMS & FrameworksGap-AnalyseEine Gap-Analyse vergleicht den Ist-Zustand der Informationssicherheit mit den Anforderungen eines Standards und deckt die Lücken (Gaps) auf, die noch zu schließen sind.ISMS & FrameworksGeltungsbereich (Scope)Der Geltungsbereich (Scope) legt fest, welche Teile einer Organisation, welche Standorte, Prozesse und Systeme das ISMS abdeckt.Recht & NormenGeschäftsführerhaftung (IT-Sicherheit)Die Geschäftsführerhaftung im Bereich IT-Sicherheit bezeichnet die persönliche Verantwortung der Unternehmensleitung, Cybersicherheitsmaßnahmen umzusetzen und zu überwachen, die NIS2 ausdrücklich einführt.Recht & NormenGrundschutz++Grundschutz++ (GS++) ist die Neuentwicklung des Grundschutzes durch das BSI: eine entlang des PDCA-Zyklus aufgebaute Methodik für ein ISMS, beschrieben im BSI-Standard 300-1, die den bisherigen IT-Grundschutz ablösen soll.
I
ISMS & FrameworksIncident ResponseIncident Response ist der strukturierte Prozess, mit dem eine Organisation Sicherheitsvorfälle erkennt, eindämmt, beseitigt und aus ihnen lernt, um Schaden und Ausfallzeit zu begrenzen.ISMS & FrameworksInformationssicherheitsbeauftragter (ISB)Der Informationssicherheitsbeauftragte (ISB) ist die Rolle, die das ISMS koordiniert, die Leitung berät und die Umsetzung der Sicherheitsmaßnahmen überwacht.ISMS & FrameworksInternes AuditEin internes Audit ist die regelmäßige, unabhängige Überprüfung, ob das ISMS die Anforderungen erfüllt und wirksam umgesetzt ist.ISMS & FrameworksISMSEin ISMS ist ein systematischer Rahmen aus Richtlinien, Prozessen und Maßnahmen, mit dem eine Organisation ihre Informationssicherheit steuert, überwacht und kontinuierlich verbessert.Recht & NormenISO 27001ISO/IEC 27001 ist der international führende Standard für Informationssicherheits-Managementsysteme (ISMS) und definiert die Anforderungen, nach denen sich Organisationen zertifizieren lassen können.Recht & NormenISO 27002ISO/IEC 27002 ist der Leitfaden, der die Controls aus Annex A der ISO 27001 ausführlich erläutert und konkrete Umsetzungshinweise gibt. Anders als die ISO 27001 ist sie selbst nicht zertifizierbar.
K
Recht & NormenKonformitätsbewertung / CE-KennzeichnungDie Konformitätsbewertung ist das Verfahren, mit dem ein Hersteller nachweist, dass ein Produkt die gesetzlichen Anforderungen erfüllt. Als sichtbares Ergebnis wird die CE-Kennzeichnung angebracht, unter dem CRA auch für die IT-Sicherheit.ISMS & FrameworksKontinuierliche Verbesserung (KVP)Kontinuierliche Verbesserung (KVP) ist das Prinzip, ein Managementsystem fortlaufend an neue Erkenntnisse, Risiken und Rahmenbedingungen anzupassen, statt es als einmal fertiggestellt zu betrachten.Technik & SecurityKoordinierte Schwachstellen-Offenlegung (CVD)Die koordinierte Schwachstellen-Offenlegung (CVD) ist ein geregelter Prozess, über den Sicherheitsforscher gefundene Schwachstellen vertraulich an den Hersteller melden, damit dieser sie vor einer Veröffentlichung beheben kann.Recht & NormenKRITISKRITIS bezeichnet kritische Infrastrukturen, deren Ausfall die öffentliche Versorgung und Sicherheit erheblich beeinträchtigen würde, und die in Deutschland besonderen IT-Sicherheitspflichten unterliegen.
L
Technik & SecurityLeast PrivilegeLeast Privilege (Prinzip der minimalen Rechte) bedeutet, dass jeder Nutzer und jedes System nur genau die Berechtigungen erhält, die für die jeweilige Aufgabe nötig sind, nicht mehr.RisikomanagementLieferkettensicherheit (Supply Chain Security)Lieferkettensicherheit umfasst alle Maßnahmen, mit denen eine Organisation die Sicherheitsrisiken aus Lieferanten, Dienstleistern und Vorprodukten steuert, von der Auswahl über vertragliche Vorgaben bis zur laufenden Überwachung.Technik & SecurityLogging & MonitoringLogging ist das Aufzeichnen sicherheitsrelevanter Ereignisse, Monitoring deren aktive Auswertung auf Anomalien, zusammen bilden sie die Grundlage, um Angriffe zu erkennen und nachzuvollziehen.
M
ISMS & FrameworksManagement-ReviewDas Management-Review ist die regelmäßige, dokumentierte Bewertung des ISMS durch die oberste Leitung, um seine Eignung, Angemessenheit und Wirksamkeit sicherzustellen.DatenschutzMeldepflichtEine Meldepflicht verpflichtet Organisationen, bestimmte Sicherheitsvorfälle oder Datenpannen innerhalb festgelegter Fristen an Behörden und gegebenenfalls Betroffene zu melden.Technik & SecurityMobile Device Management (MDM)Mobile Device Management (MDM) ist die zentrale Verwaltung mobiler Endgeräte, mit der Sicherheitsrichtlinien, Verschlüsselung, App-Vorgaben und im Verlustfall die Fernlöschung durchgesetzt werden.Technik & SecurityMulti-Faktor-Authentifizierung (MFA)MFA verlangt beim Login mindestens zwei unabhängige Nachweise aus den Kategorien Wissen (Passwort), Besitz (Token, App) und Inhärenz (Biometrie) und schützt so auch dann, wenn ein Passwort gestohlen wird.
N
ISMS & FrameworksNachweis (Evidence)Ein Nachweis (Evidence) ist ein dokumentierter Beleg dafür, dass eine Maßnahme tatsächlich umgesetzt ist und wirkt, etwa ein Protokoll, ein Screenshot, ein Zertifikat oder ein Bericht.Technik & SecurityNetzwerksegmentierungNetzwerksegmentierung teilt ein Netzwerk in getrennte Zonen mit kontrollierten Übergängen, sodass sich ein Angreifer nach einem Einbruch nicht ungehindert seitwärts ausbreiten kann.Recht & NormenNIS2NIS2 ist die EU-Richtlinie zur Cybersicherheit, die für Unternehmen in 18 kritischen Sektoren verbindliche Risikomanagement- und Meldepflichten einführt und in Deutschland über das BSIG umgesetzt wird.ISMS & FrameworksNotfallhandbuch / NotfallplanEin Notfallplan (im Notfallhandbuch dokumentiert) beschreibt konkret, wer bei einer Störung oder einem Sicherheitsvorfall was zu tun hat, um kritische Prozesse aufrechtzuerhalten oder schnell wiederherzustellen.
P
Technik & SecurityPatch-ManagementPatch-Management ist der Prozess, Sicherheitsupdates für Betriebssysteme und Software systematisch zu erkennen, zu bewerten und zeitnah einzuspielen, um bekannte Schwachstellen zu schließen.ISMS & FrameworksPDCA-ZyklusDer PDCA-Zyklus (Plan-Do-Check-Act) ist das Grundprinzip kontinuierlicher Verbesserung im ISMS: planen, umsetzen, überprüfen und auf Basis der Ergebnisse nachsteuern.Technik & SecurityPenetrationstestEin Penetrationstest (Pentest) ist ein autorisierter, simulierter Angriff auf Systeme oder Anwendungen, um ausnutzbare Schwachstellen aufzudecken, bevor echte Angreifer sie finden.DatenschutzPersonenbezogene DatenPersonenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, etwa Name, Adresse, E-Mail, IP-Adresse oder Standortdaten.Technik & SecurityPhishingPhishing ist ein Angriff, bei dem Täter über gefälschte E-Mails, Webseiten oder Nachrichten Zugangsdaten oder andere sensible Informationen erschleichen oder zum Ausführen von Schadsoftware verleiten.DatenschutzPrivacy by Design / by DefaultPrivacy by Design und by Default sind zwei Grundsätze aus Art. 25 DSGVO: Datenschutz muss von Anfang an in Systeme und Prozesse eingebaut sein (by Design), und datenschutzfreundliche Voreinstellungen müssen der Standard sein (by Default).Recht & NormenProdukte mit digitalen ElementenProdukte mit digitalen Elementen sind Software- und Hardwareprodukte, deren bestimmungsgemäße Verwendung eine direkte oder indirekte Daten- oder Netzwerkverbindung einschließt. Sie bilden den Anwendungsbereich des Cyber Resilience Act.DatenschutzPseudonymisierungPseudonymisierung ist die Verarbeitung personenbezogener Daten so, dass sie ohne zusätzliche, gesondert aufbewahrte Informationen keiner bestimmten Person mehr zugeordnet werden können.
R
Technik & SecurityRansomwareRansomware ist Schadsoftware, die Daten oder Systeme verschlüsselt und für die Freigabe ein Lösegeld fordert, oft kombiniert mit der Drohung, gestohlene Daten zu veröffentlichen.ISMS & FrameworksReifegradmodellEin Reifegradmodell bewertet, wie ausgereift und systematisch Prozesse der Informationssicherheit umgesetzt sind, meist auf einer Skala von unstrukturiert bis optimiert, und macht Fortschritt messbar.ISMS & FrameworksRichtlinie (Policy)Eine Richtlinie (Policy) ist ein von der Leitung freigegebenes Dokument, das verbindliche Vorgaben und Verhaltensregeln für einen Bereich der Informationssicherheit festlegt.RisikomanagementRisikoEin Risiko in der Informationssicherheit ist die Kombination aus der Eintrittswahrscheinlichkeit eines Ereignisses und dem Schaden, den es für Vertraulichkeit, Integrität oder Verfügbarkeit von Informationen verursachen würde.RisikomanagementRisikoakzeptanzRisikoakzeptanz bedeutet, ein verbleibendes Restrisiko bewusst und dokumentiert hinzunehmen, weil es unterhalb der festgelegten Akzeptanzschwelle liegt oder eine weitere Behandlung unverhältnismäßig wäre.RisikomanagementRisikoanalyseDie Risikoanalyse ist der Prozess, in dem Risiken systematisch identifiziert, hinsichtlich Eintrittswahrscheinlichkeit und Schadenshöhe bewertet und für die weitere Behandlung priorisiert werden.RisikomanagementRisikoappetitDer Risikoappetit beschreibt, wie viel Risiko eine Organisation bewusst einzugehen bereit ist, um ihre Ziele zu erreichen, und bildet den Rahmen für Akzeptanzkriterien und Behandlungsentscheidungen.RisikomanagementRisikobehandlungDie Risikobehandlung legt fest, wie mit einem bewerteten Risiko umgegangen wird: vermindern, vermeiden, übertragen (z.B. versichern) oder bewusst akzeptieren.Technik & SecurityRTO & RPODie RTO ist die maximal tolerierbare Zeit bis zur Wiederherstellung eines Systems, die RPO der maximal tolerierbare Datenverlust, gemessen am Zeitraum seit der letzten Sicherung.
S
Technik & SecuritySBOM (Software Bill of Materials)Eine SBOM (Software Bill of Materials) ist ein strukturiertes Verzeichnis aller Software-Bestandteile eines Produkts, einschließlich Fremd- und Open-Source-Komponenten. Sie ist Grundlage, um Schwachstellen schnell zuzuordnen.RisikomanagementSchutzbedarfsfeststellungDie Schutzbedarfsfeststellung ermittelt, wie schützenswert eine Information oder ein System ist, gemessen an den möglichen Schäden bei Verlust von Vertraulichkeit, Integrität oder Verfügbarkeit.RisikomanagementSchwachstelleEine Schwachstelle ist eine Lücke oder Schwäche in Systemen, Prozessen oder Organisation, die von einer Bedrohung ausgenutzt werden kann, etwa eine ungepatchte Software oder ein fehlendes Berechtigungskonzept.Technik & SecuritySchwachstellenmanagementSchwachstellenmanagement ist der fortlaufende Prozess, technische Schwachstellen zu erkennen, hinsichtlich ihres Risikos zu bewerten und risikobasiert zu beheben, etwa durch Patches oder Mitigationen.Technik & SecuritySecurity AwarenessSecurity Awareness bezeichnet das Sicherheitsbewusstsein der Beschäftigten und die Maßnahmen, mit denen es durch Schulungen und Sensibilisierung gezielt aufgebaut und gepflegt wird.Technik & SecuritySIEMEin SIEM sammelt und korreliert sicherheitsrelevante Logdaten aus verschiedenen Systemen zentral, um Angriffe und Anomalien zu erkennen und zu alarmieren.ISMS & FrameworksSoA (Anwendbarkeitserklärung)Die Anwendbarkeitserklärung (SoA) dokumentiert für jedes Annex-A-Control der ISO 27001, ob es anwendbar ist, wie es umgesetzt wird und warum nicht anwendbare Controls ausgeschlossen wurden.Recht & NormenSOC 2SOC 2 ist ein vor allem im US-Raum verbreiteter Prüfstandard, mit dem Dienstleister durch einen unabhängigen Wirtschaftsprüfer nachweisen, dass ihre Kontrollen zu Sicherheit, Verfügbarkeit, Integrität, Vertraulichkeit und Datenschutz wirksam sind.Technik & SecuritySocial EngineeringSocial Engineering ist die Manipulation von Menschen, um sie zur Preisgabe vertraulicher Informationen oder zu sicherheitskritischen Handlungen zu bewegen, statt technische Schwachstellen anzugreifen.Recht & NormenStand der Technik„Stand der Technik“ ist ein unbestimmter Rechtsbegriff, der das Niveau technischer Maßnahmen beschreibt, das sich in der Praxis als wirksam bewährt hat und marktverfügbar ist, ohne dass es der neueste Forschungsstand sein muss.
T
DatenschutzTechnische und organisatorische Maßnahmen (TOM)TOM sind die technischen und organisatorischen Maßnahmen, mit denen ein Verantwortlicher nach DSGVO ein dem Risiko angemessenes Schutzniveau für personenbezogene Daten sicherstellt.Recht & NormenTISAXTISAX ist der Prüf- und Austauschstandard für Informationssicherheit in der Automobilindustrie, der auf einem branchenspezifischen Katalog (VDA ISA) basiert und gegenseitig anerkannte Assessments ermöglicht.
V
Technik & SecurityVerschlüsselungVerschlüsselung wandelt Daten mit einem kryptografischen Verfahren so um, dass sie nur mit dem passenden Schlüssel lesbar sind, und schützt damit Vertraulichkeit bei Speicherung und Übertragung.DatenschutzVerzeichnis von Verarbeitungstätigkeiten (VVT)Das VVT ist das nach Art. 30 DSGVO verpflichtende Verzeichnis, das alle Verarbeitungen personenbezogener Daten mit Zweck, Rechtsgrundlage, Kategorien und Schutzmaßnahmen dokumentiert.Technik & SecurityVulnerability Scan (Schwachstellenscan)Ein Vulnerability Scan ist die automatisierte Prüfung von Systemen und Netzwerken auf bekannte Schwachstellen. Anders als ein Penetrationstest deckt er breit auf, versucht aber nicht, die Lücken aktiv auszunutzen.
Von der Theorie zur Umsetzung.
CompliantDesk bringt alle Frameworks in einer Plattform zusammen, mit gemeinsamem Kern-Modell statt doppelter Dokumentation.