Glossarbegriff
IGA
Auch: Identity Governance and Administration
Software-Kategorie für Identitäts-Governance: Lifecycle-Management, Rollenmodell, Berechtigungs-Rezertifizierung, Segregation of Duties, Audit-Trail. Löst aus IAM die Governance-Schicht heraus, oft auch SoD-Engine.
Kern-Funktionen: Identity Lifecycle (Joiner-Mover-Leaver), Rollenmodellierung und -mining, Access Request mit Approval, Berechtigungs-Rezertifizierung (typischerweise quartalsweise), Segregation-of-Duties-Prüfung, Audit-Reports.
Marktführer: SailPoint, Saviynt, Omada, One Identity Manager, IBM Verify Governance, RSA Identity Governance. Cloud-native ist die Kategorie noch jung; viele Unternehmen kombinieren on-prem IGA mit Cloud IAM.
In der Praxis
Pruef-Fälle: Joiner-Mover-Leaver-Disziplin ist ein klassischer Pain-Point in BAIT/VAIT-Audits. IGA ist oft die einzige Lösung, die alle drei Phasen mit Beweisen abdeckt.
Verwandte Begriffe
IAM (Identity and Access Management)
The stack of systems that governs who has access to which systems under which conditions. IAM covers authentication, single sign-on, lifecycle management, access governance (IGA) and privileged access management (PAM), and is the most commonly breached control in enterprise environments.
PAM
Software-Kategorie zur Steuerung privilegierter Zugriffe: Vault, Session-Management, Just-in-Time-Berechtigungen, Session-Recording, Zero Standing Privilege. Pflicht-Stack unter NIS2 und DORA für Admin-Zugriffe.
Joiner-Mover-Leaver
Standard-Workflow im Identity-Lifecycle-Management: Onboarding (Joiner), Rollenwechsel inkl. Berechtigungs-Anpassung (Mover) und Offboarding mit Berechtigungs-Entzug (Leaver). Die Qualität des JML-Prozesses ist ein zentrales NIS2/DORA-Audit-Kriterium.
ICT Third-Party Risk
Sammelbegriff für Risiken aus dem Einsatz externer ICT-Lieferanten: Cloud-Provider, SaaS-Anbieter, MSPs, MSSPs. Unter DORA Art. 28 explizit reguliert; jeder kritische Lieferant muss in einem Register stehen und einer dokumentierten Eignungsprüfung folgen.
ICT-Konzentrationsrisiko
Risiko aus der Abhängigkeit von wenigen oder einzelnen ICT-Drittanbietern. DORA Art. 29 verlangt von Finanzunternehmen eine explizite Analyse und Steuerung. Die Aufsicht prüft besonders bei Cloud-Hyperscalern und Kernbankensystem-Anbietern.
ISO 27001
Internationaler Standard für Informationssicherheits-Management-Systeme. Aktuelle Fassung ISO/IEC 27001:2022. Zertifizierbar durch akkreditierte Stellen. Kernrahmen für ISMS-Aufbau, Risikobehandlung und kontinuierliche Verbesserung.
ISO 27002
Begleitstandard zu ISO 27001, der die 93 Kontrollen aus Anhang A inhaltlich ausarbeitet. Nicht zertifizierbar, aber Praxis-Handbuch für die Umsetzung.
AI Act Konformitätsbewertung
Verfahren zur Feststellung, dass ein Hochrisiko-KI-System die Anforderungen des EU AI Act erfüllt, bevor es in Verkehr gebracht oder in Betrieb genommen wird. Pflicht für alle Anhang-III-Hochrisiko-Systeme ab 2. Dezember 2027 (verschoben vom ursprünglichen 2. August 2026 durch den Digital Omnibus, Verordnung (EU) 2026/1744).