Glossarbegriff
Supply Chain Risk
Auch: Lieferketten-Risiko, Software Supply Chain Risk
Risiken aus der Software- und Hardware-Lieferkette: kompromittierte Open-Source-Pakete, Build-Pipeline-Angriffe, Updates mit Backdoors, Sub-Lieferanten ohne Audit-Trail. Pflicht-Adressierung in NIS2 Art. 21 Buchstabe d und DORA Art. 28 (Sub-Outsourcing).
Bekannte Vorfälle: SolarWinds (2020 Update-Kompromittierung), Log4Shell (2021 CVE-2021-44228), 3CX (2023 Doppel-Supply-Chain), XZ Utils (2024 Backdoor in Open-Source-Lib).
Standards und Frameworks: NIST SSDF (Secure Software Development Framework), SLSA (Supply-chain Levels for Software Artifacts), OWASP SCVS, Cyber Resilience Act für Hardware. SBOM und VEX sind technische Pflichtbausteine.
In der Praxis
Pruef-Fälle: NIS2 verlangt Lieferketten-Sorgfalt explizit. DORA Art. 28 verlangt vor jedem ICT-Drittanbieter-Vertrag Eignungsprüfung inklusive Sub-Lieferanten. EU Cyber Resilience Act ab 2027 verpflichtet Hersteller zu Sicherheits-Anforderungen über den Produktlebenszyklus.
Verwandte Begriffe
SBOM
Maschinenlesbares Inventar aller Komponenten einer Software inkl. Versionen, Lizenzen und Abhängigkeiten. Formate: SPDX, CycloneDX, SWID. Pflicht in regulierten Bereichen, in den USA durch Executive Order 14028 vorgegeben.
CVE
Globaler Identifier für öffentlich bekannte Sicherheits-Schwachstellen in Software und Hardware. Format CVE-JJJJ-NNNN, betrieben vom MITRE-Corp im Auftrag der CISA. Mehr als 200.000 CVEs Stand 2025.
TPRM
Disziplin und Tool-Kategorie zur Steuerung von Risiken aus externen Anbietern (SaaS, Cloud, Outsourcing, Beratung). Pflicht-Disziplin unter DORA Art. 28-30 für Finanzunternehmen und unter NIS2 Art. 21 Buchstabe d für wesentliche/wichtige Einrichtungen.
SASE
Gartner-Architekturkategorie, die Netzwerk- (SD-WAN) und Security-Funktionen (SWG, CASB, ZTNA, FWaaS, RBI) in einer Cloud-Plattform zusammenfasst. Pendant aus SSE (Security Service Edge) ohne SD-WAN-Anteil.
Schrems II
EuGH-Urteil vom 16. Juli 2020, das den EU-US Privacy Shield für ungueltig erklärte und Standardvertragsklauseln (SCC) nur unter Zusatzgarantien zuliess. Folge: Datenübermittlungen in die USA brauchen Transfer Impact Assessment (TIA) plus zusätzliche Schutzmaßnahmen.
SOC 2 Type 2
Prüfbericht eines US-Wirtschaftsprüfers nach AICPA-Standard SSAE 18, der die Wirksamkeit der Kontrollen eines Dienstleisters über einen Zeitraum (typischerweise 6-12 Monate) bestätigt. Bezieht sich auf Trust Service Criteria.
Sovereign Cloud
Cloud-Angebot, in dem nicht nur Daten, sondern auch Operations, Personal, Schlüssel und Jurisdiktion innerhalb einer definierten Souveränitäts-Zone (typisch EU oder Mitgliedstaat) liegen. Die Tiefe der Sovereignty variiert pro Anbieter.
SSE
Subset von SASE ohne SD-WAN-Anteil. Bündelt SWG, CASB, ZTNA und (zunehmend) DLP/RBI in einer Cloud-Plattform. Gartner Magic Quadrant existiert eigenständig.