Glossarbegriff
Joiner-Mover-Leaver
Auch: JML, Lifecycle-Workflow
Standard-Workflow im Identity-Lifecycle-Management: Onboarding (Joiner), Rollenwechsel inkl. Berechtigungs-Anpassung (Mover) und Offboarding mit Berechtigungs-Entzug (Leaver). Die Qualität des JML-Prozesses ist ein zentrales NIS2/DORA-Audit-Kriterium.
JML ist die operative Realität hinter Identity Governance. Joiner: Erstprovisionierung, Default-Berechtigungen, Erst-Onboarding-Schulung. Mover: Anpassung bei Rollenwechsel, Entzug nicht mehr benötigter Berechtigungen. Leaver: Vollständiger Berechtigungs-Entzug, Konto-Deaktivierung, Asset-Rückgabe.
Schwacher JML-Prozess ist die häufigste Audit-Erkenntnis bei IAM-Reviews. Typische Symptome: dormant accounts, ungenutzte Berechtigungen Jahre nach Rollenwechsel, fehlende Offboarding-Tickets für Externe.
In der Praxis
DecisionOS-Memos zur IAM-Auswahl bewerten Lifecycle-Automation als gewichtetes Kernkriterium, weil schwache JML jeden anderen Identity-Vorteil entwertet.
Verwandte Begriffe
IAM (Identity and Access Management)
The stack of systems that governs who has access to which systems under which conditions. IAM covers authentication, single sign-on, lifecycle management, access governance (IGA) and privileged access management (PAM), and is the most commonly breached control in enterprise environments.
Decision memo
A short structured document that captures why a decision was made, the options considered, the criteria and trade-offs, the stakeholders involved and the accepted risks. A good decision memo is auditable months later.
Compliance mapping
The explicit link between a decision (vendor, architecture, control) and the specific regulatory articles, controls or standards it satisfies. Without compliance mapping, a memo cannot be defended under audit against a named clause.
AI Act Konformitätsbewertung
Verfahren zur Feststellung, dass ein Hochrisiko-KI-System die Anforderungen des EU AI Act erfüllt, bevor es in Verkehr gebracht oder in Betrieb genommen wird. Pflicht für alle Anhang-III-Hochrisiko-Systeme ab 2. Dezember 2027 (verschoben vom ursprünglichen 2. August 2026 durch den Digital Omnibus, Verordnung (EU) 2026/1744).
AI Act Risikoklassen
Vier-stufige Klassifikation nach EU AI Act: verboten (Art. 5), Hochrisiko (Anhang I/III), begrenztes Risiko (Art. 50 Transparenzpflichten), minimales Risiko (freiwillige Codes). Klassifizierung ist die erste Pflicht, sie muss dokumentiert und nachvollziehbar sein.
BaFin DORA-Aufsichtsmitteilung
Veröffentlichungen der BaFin zur Auslegung und Erwartung der DORA-Anwendung in Deutschland. Stand 2025/2026 ergehen die wichtigsten Hinweise als Aufsichtsmitteilungen, Merkblätter und Fachartikel im BaFin-Journal, nicht als klassisches Rundschreiben.
BAIT
Rundschreiben der BaFin, das die Anforderungen an die IT-Aufstellung von Kreditinstituten konkretisiert. Präzisiert MaRisk AT 7.2 für IT-Strategie, Informationssicherheit, Benutzerberechtigungen, Projektmanagement, Anwendungsentwicklung und IT-Outsourcing.
BCM
Disziplin zur Aufrechterhaltung kritischer Geschäftsprozesse bei Störungen. Standards: ISO 22301, BSI-Standard 200-4. Im Finanzsektor durch BAIT/VAIT und DORA Art. 11 verpflichtend.