Glossarbegriff
TIA
Auch: Transfer Impact Assessment
Bewertung des Schutzniveaus im Empfängerland bei Datenübermittlungen in Drittländer nach Schrems II. Pflicht bei SCC, BCR und Art-49-Ausnahmen. Output: Entscheidung, ob Transfer ohne, mit oder gar nicht durchgeführt werden darf.
Methodik nach EDSA Empfehlung 01/2020: Recommendation 1 Mapping, 2 Identifizierung der Transfer-Tools, 3 Schutzniveau-Prüfung, 4 zusätzliche Maßnahmen, 5 Verfahrens-Schritte, 6 fortlaufende Prüfung.
Praxis-Output: ein TIA-Dokument je Drittlandstransfer-Pfad, das verbleibende Risiken bewertet und zusätzliche Maßnahmen (z.B. EU-Key-Hoheit, Pseudonymisierung) festlegt. Faktisch ein kleines Decision Memo.
In der Praxis
Stand 2026: DPF-zertifizierte US-Anbieter können ohne TIA empfangen, sofern in den vom DPF gedeckten Datenkategorien. Risikoorientierte Unternehmen führen TIA dennoch durch, weil DPF-Stabilität unsicher ist.
Verwandte Begriffe
Schrems II
EuGH-Urteil vom 16. Juli 2020, das den EU-US Privacy Shield für ungueltig erklärte und Standardvertragsklauseln (SCC) nur unter Zusatzgarantien zuliess. Folge: Datenübermittlungen in die USA brauchen Transfer Impact Assessment (TIA) plus zusätzliche Schutzmaßnahmen.
DSFA
Pflichtbewertung nach Art. 35 DSGVO bei voraussichtlich hohem Risiko für Rechte und Freiheiten betroffener Personen. Pflicht u.a. bei systematischer Beurteilung, umfangreicher Verarbeitung besonderer Kategorien und systematischer Überwachung öffentlicher Bereiche.
Sovereign cloud
A cloud deployment model that guarantees operational, legal and technical control of data and workloads within a specific jurisdiction (typically the EU). Sovereign cloud answers the concern that hyperscaler deployments remain exposed to foreign jurisdiction, primarily the US CLOUD Act.
TISAX
Prüfstandard und Austauschplattform des VDA für Informationssicherheit in der Automobilindustrie. ISA-Katalog (Information Security Assessment) ist das Prüfraster, ENX betreibt die Plattform.
TLPT (Threat-Led Penetration Testing)
Ein behördlich begleiteter, intelligenz-gesteuerter Penetrationstest, den DORA für signifikante Finanzunternehmen alle drei Jahre fordert. TLPT folgt dem TIBER-EU-Framework und ist deutlich intensiver als ein klassischer Pentest.
TPRM
Disziplin und Tool-Kategorie zur Steuerung von Risiken aus externen Anbietern (SaaS, Cloud, Outsourcing, Beratung). Pflicht-Disziplin unter DORA Art. 28-30 für Finanzunternehmen und unter NIS2 Art. 21 Buchstabe d für wesentliche/wichtige Einrichtungen.
AI Act Konformitätsbewertung
Verfahren zur Feststellung, dass ein Hochrisiko-KI-System die Anforderungen des EU AI Act erfüllt, bevor es in Verkehr gebracht oder in Betrieb genommen wird. Pflicht für alle Anhang-III-Hochrisiko-Systeme ab 2. Dezember 2027 (verschoben vom ursprünglichen 2. August 2026 durch den Digital Omnibus, Verordnung (EU) 2026/1744).
AI Act Risikoklassen
Vier-stufige Klassifikation nach EU AI Act: verboten (Art. 5), Hochrisiko (Anhang I/III), begrenztes Risiko (Art. 50 Transparenzpflichten), minimales Risiko (freiwillige Codes). Klassifizierung ist die erste Pflicht, sie muss dokumentiert und nachvollziehbar sein.