Glossarbegriff
ISO 27002
Auch: ISO/IEC 27002:2022
Begleitstandard zu ISO 27001, der die 93 Kontrollen aus Anhang A inhaltlich ausarbeitet. Nicht zertifizierbar, aber Praxis-Handbuch für die Umsetzung.
ISO 27002:2022 ordnet 93 Kontrollen in vier Themen: 37 Organisatorische, 8 Personenbezogene, 14 Physische, 34 Technologische. Jede Kontrolle hat Zweck, Anleitung und ergänzende Hinweise.
Im Vergleich zur Vorgänger-Version 27002:2013 deutlich konsolidiert (von 114 auf 93 Kontrollen) und um neue Themen ergänzt: Threat Intelligence, Information Security for Use of Cloud Services, ICT Readiness for Business Continuity, Physical Security Monitoring, Configuration Management, Data Leakage Prevention, Web Filtering, Secure Coding.
In der Praxis
Anwendung: ISO 27002 dient als Steinbruch für ISMS-Aufbau, Audit-Vorbereitung und Vendor-Prüfungen. Viele B2B-Audits verlangen Selbstauskunft entlang der 27002-Kontrollen.
Verwandte Begriffe
ISO 27001
Internationaler Standard für Informationssicherheits-Management-Systeme. Aktuelle Fassung ISO/IEC 27001:2022. Zertifizierbar durch akkreditierte Stellen. Kernrahmen für ISMS-Aufbau, Risikobehandlung und kontinuierliche Verbesserung.
SOC 2 Type 2
Prüfbericht eines US-Wirtschaftsprüfers nach AICPA-Standard SSAE 18, der die Wirksamkeit der Kontrollen eines Dienstleisters über einen Zeitraum (typischerweise 6-12 Monate) bestätigt. Bezieht sich auf Trust Service Criteria.
ICT Third-Party Risk
Sammelbegriff für Risiken aus dem Einsatz externer ICT-Lieferanten: Cloud-Provider, SaaS-Anbieter, MSPs, MSSPs. Unter DORA Art. 28 explizit reguliert; jeder kritische Lieferant muss in einem Register stehen und einer dokumentierten Eignungsprüfung folgen.
ICT-Konzentrationsrisiko
Risiko aus der Abhängigkeit von wenigen oder einzelnen ICT-Drittanbietern. DORA Art. 29 verlangt von Finanzunternehmen eine explizite Analyse und Steuerung. Die Aufsicht prüft besonders bei Cloud-Hyperscalern und Kernbankensystem-Anbietern.
IGA
Software-Kategorie für Identitäts-Governance: Lifecycle-Management, Rollenmodell, Berechtigungs-Rezertifizierung, Segregation of Duties, Audit-Trail. Löst aus IAM die Governance-Schicht heraus, oft auch SoD-Engine.
AI Act Konformitätsbewertung
Verfahren zur Feststellung, dass ein Hochrisiko-KI-System die Anforderungen des EU AI Act erfüllt, bevor es in Verkehr gebracht oder in Betrieb genommen wird. Pflicht für alle Anhang-III-Hochrisiko-Systeme ab 2. Dezember 2027 (verschoben vom ursprünglichen 2. August 2026 durch den Digital Omnibus, Verordnung (EU) 2026/1744).
AI Act Risikoklassen
Vier-stufige Klassifikation nach EU AI Act: verboten (Art. 5), Hochrisiko (Anhang I/III), begrenztes Risiko (Art. 50 Transparenzpflichten), minimales Risiko (freiwillige Codes). Klassifizierung ist die erste Pflicht, sie muss dokumentiert und nachvollziehbar sein.
BaFin DORA-Aufsichtsmitteilung
Veröffentlichungen der BaFin zur Auslegung und Erwartung der DORA-Anwendung in Deutschland. Stand 2025/2026 ergehen die wichtigsten Hinweise als Aufsichtsmitteilungen, Merkblätter und Fachartikel im BaFin-Journal, nicht als klassisches Rundschreiben.