Glossarbegriff
ISO 27001
Auch: ISO/IEC 27001, Information Security Management System (ISMS)
Internationaler Standard für Informationssicherheits-Management-Systeme. Aktuelle Fassung ISO/IEC 27001:2022. Zertifizierbar durch akkreditierte Stellen. Kernrahmen für ISMS-Aufbau, Risikobehandlung und kontinuierliche Verbesserung.
ISO 27001 definiert Anforderungen an Aufbau, Umsetzung, Aufrechterhaltung und kontinuierliche Verbesserung eines ISMS. Anhang A listet 93 Kontrollen in vier Themen: Organisatorische, Personenbezogene, Physische und Technologische Kontrollen.
Zertifizierung erfolgt durch akkreditierte Zertifizierungsstellen, Geltungsdauer 3 Jahre mit Überwachungs-Audits jährlich. Re-Zertifizierung im dritten Jahr.
In der Praxis
Verhältnis zu NIS2/DORA: ISO 27001 ist eine starke Grundlage und deckt viele Mindestmaßnahmen ab. Aber: NIS2 und DORA verlangen zusätzlich explizit Lieferkettensicherheit, konkrete Meldefristen, persönliche Geschäftsleitungs-Verantwortung und sektor-spezifische Pflichten. ISO 27001 ist Hilfe, kein Ersatz.
Verwandte Begriffe
SOC 2 Type 2
Prüfbericht eines US-Wirtschaftsprüfers nach AICPA-Standard SSAE 18, der die Wirksamkeit der Kontrollen eines Dienstleisters über einen Zeitraum (typischerweise 6-12 Monate) bestätigt. Bezieht sich auf Trust Service Criteria.
NIS2
EU-Richtlinie 2022/2555 zur Netz- und Informationssicherheit. Löst NIS1 ab, erweitert den Anwendungsbereich auf rund 30.000 deutsche Unternehmen in 18 Sektoren, führt persönliche Haftung der Geschäftsleitung ein und verlangt zehn Mindestmaßnahmen nach Art. 21.
ISO 27002
Begleitstandard zu ISO 27001, der die 93 Kontrollen aus Anhang A inhaltlich ausarbeitet. Nicht zertifizierbar, aber Praxis-Handbuch für die Umsetzung.
ICT Third-Party Risk
Sammelbegriff für Risiken aus dem Einsatz externer ICT-Lieferanten: Cloud-Provider, SaaS-Anbieter, MSPs, MSSPs. Unter DORA Art. 28 explizit reguliert; jeder kritische Lieferant muss in einem Register stehen und einer dokumentierten Eignungsprüfung folgen.
ICT-Konzentrationsrisiko
Risiko aus der Abhängigkeit von wenigen oder einzelnen ICT-Drittanbietern. DORA Art. 29 verlangt von Finanzunternehmen eine explizite Analyse und Steuerung. Die Aufsicht prüft besonders bei Cloud-Hyperscalern und Kernbankensystem-Anbietern.
IGA
Software-Kategorie für Identitäts-Governance: Lifecycle-Management, Rollenmodell, Berechtigungs-Rezertifizierung, Segregation of Duties, Audit-Trail. Löst aus IAM die Governance-Schicht heraus, oft auch SoD-Engine.
AI Act Konformitätsbewertung
Verfahren zur Feststellung, dass ein Hochrisiko-KI-System die Anforderungen des EU AI Act erfüllt, bevor es in Verkehr gebracht oder in Betrieb genommen wird. Pflicht für alle Anhang-III-Hochrisiko-Systeme ab 2. Dezember 2027 (verschoben vom ursprünglichen 2. August 2026 durch den Digital Omnibus, Verordnung (EU) 2026/1744).
AI Act Risikoklassen
Vier-stufige Klassifikation nach EU AI Act: verboten (Art. 5), Hochrisiko (Anhang I/III), begrenztes Risiko (Art. 50 Transparenzpflichten), minimales Risiko (freiwillige Codes). Klassifizierung ist die erste Pflicht, sie muss dokumentiert und nachvollziehbar sein.