Glossar

Ein branchenspezifischer Sicherheitsstandard, kurz B3S, ist ein von einem Branchenverband erarbeiteter und vom BSI auf Eignung geprüfter Maßstab dafür, was in einer bestimmten Branche als Stand der Technik gilt.

Besonders wichtige Einrichtungen sind Unternehmen in hochkritischen Sektoren mit mindestens 250 Mitarbeitern oder mehr als 50 Millionen Euro Jahresumsatz sowie Betreiber kritischer Anlagen unabhängig von ihrer Größe.

Betreiber kritischer Anlagen sind Unternehmen, die Infrastrukturen betreiben, deren Ausfall oder Beeinträchtigung erhebliche Auswirkungen auf die öffentliche Sicherheit, die Versorgung der Bevölkerung oder die wirtschaftliche Leistungsfähigkeit Deutschlands hätte.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist die zentrale und zuständige Aufsichtsbehörde für die Umsetzung des NIS2UmsuCG in Deutschland.

Das BSI-Meldewesen umfasst alle Prozesse, Systeme und rechtlichen Strukturen, über die betroffene Einrichtungen Sicherheitsvorfälle, signifikante Bedrohungen und entdeckte Schwachstellen an das Bundesamt für Sicherheit in der Informationstechnik melden.

Die BSI-Registrierung bezeichnet die gesetzlich vorgeschriebene Pflicht betroffener Einrichtungen, sich beim Bundesamt für Sicherheit in der Informationstechnik in das Register nach § 33 BSIG einzutragen.

Business Continuity Management (BCM) ist der ganzheitliche Managementansatz zur Sicherstellung, dass kritische Geschäftsprozesse auch bei schwerwiegenden Störungen oder Cyberangriffen aufrechterhalten werden können.

Die Bußgeldhaftung nach NIS2UmsuCG sieht empfindliche Geldbußen für Verstöße gegen Meldepflichten, Sicherheitsanforderungen und Registrierungspflichten vor.

Die CIS Controls (Center for Internet Security Controls) sind eine von CIS herausgegebene, priorisierte Sammlung von 18 Sicherheitsmaßnahmen, die auf Basis realer Angriffsdaten entwickelt wurden und die wirkungsstärksten Schutzmaßnahmen gegen die häufigsten Cyberangriffe identifizieren.

Der Chief Information Security Officer (CISO) ist die leitende Führungskraft, die für die Entwicklung und Umsetzung der Informationssicherheitsstrategie einer Organisation verantwortlich ist.

Cloud Security umfasst alle technischen und organisatorischen Maßnahmen zum umfassenden Schutz von Daten, Anwendungen, Identitäten und Infrastrukturen in Cloud-Umgebungen — sei es bei Public-Cloud-Diensten (AWS, Azure, Google Cloud), Private Clouds oder hybriden Multi-Cloud-Architekturen.

Ein Computer Security Incident Response Team (CSIRT) ist eine spezialisierte Organisationseinheit oder ein Dienstleister, der für die strukturierte Reaktion auf IT-Sicherheitsvorfälle zuständig ist — von der Erstanalyse über die Eindämmung bis zur forensischen Aufarbeitung und Wiederherstellung betroffener Systeme.

Die Datenschutz-Folgenabschätzung (DSFA) ist ein strukturiertes Verfahren zur frühzeitigen Identifikation und Bewertung von Datenschutzrisiken vor der Einführung neuer Technologien oder Verarbeitungsprozesse, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen erzeugen.

DORA (Digital Operational Resilience Act, EU-Verordnung 2022/2554) ist die EU-Verordnung zur digitalen operationalen Resilienz im Finanzsektor, die seit Januar 2025 vollständig anwendbar ist.

Endpoint Detection and Response (EDR) ist eine Endpoint-Sicherheitstechnologie, die über klassischen Virenschutz hinausgeht: Sie überwacht kontinuierlich das Verhalten von Prozessen, Dateizugriffen und Netzwerkverbindungen auf Endgeräten und erkennt verdächtige Aktivitäten durch verhaltensbasierte Analysen und Machine-Learning-Algorithmen.

Ein erheblicher Sicherheitsvorfall im Sinne des NIS2UmsuCG ist ein Sicherheitsvorfall, der entweder erhebliche Betriebsstörungen bei der Erbringung von Diensten verursacht hat oder andere Einrichtungen oder Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt.

Die Erstmeldung ist die erste, innerhalb von 24 Stunden nach Feststellung eines erheblichen Sicherheitsvorfalls an das BSI zu übermittelnde Frühwarnung.

Incident Response bezeichnet den strukturierten und vorab geplanten Prozess zur Erkennung, Eindämmung, Beseitigung und Nachbereitung von Sicherheitsvorfällen in IT-Systemen und Netzwerken.

Der Informationssicherheitsbeauftragte (ISB) ist die interne Ansprechperson für alle operativen Fragen der Informationssicherheit und die zentrale Koordinationskraft des Informationssicherheits-Managementsystems.

Ein Informationssicherheits-Managementsystem (ISMS) ist ein systematischer Ansatz zur Verwaltung sensibler Unternehmensinformationen und zur Aufrechterhaltung ihrer Vertraulichkeit, Integrität und Verfügbarkeit.

ISO 19011:2018 ist der internationale Leitfaden zur Auditierung von Managementsystemen und beschreibt, wie Audits geplant, durchgeführt, berichtet und nachverfolgt werden und welche Kompetenzen Auditorinnen und Auditoren dafür benötigen.

ISO/IEC 27001 ist der internationale Standard für Informationssicherheits-Managementsysteme, der Anforderungen an die Einrichtung, Implementierung, Aufrechterhaltung und kontinuierliche Verbesserung eines ISMS systematisch definiert.

IT-Grundschutz ist das vom Bundesamt für Sicherheit in der Informationstechnik entwickelte und gepflegte Rahmenwerk zur systematischen Absicherung von IT-Systemen und Geschäftsprozessen in deutschen Behörden und Unternehmen.

Eine Konformitätsprüfung ist die systematische und dokumentierte Überprüfung, ob eine Organisation alle gesetzlichen Anforderungen des NIS2UmsuCG vollständig einhält.

Die Konzernklausel des NIS2UmsuCG regelt, wie Unternehmensgruppen bei der Bestimmung der Schwellenwerte für die NIS2-Betroffenheit zu behandeln sind.

Das KRITIS-DachG (KRITIS-Dachgesetz) ist das deutsche Gesetz zur Umsetzung der EU-CER-Richtlinie (Critical Entities Resilience), das physische Sicherheitsanforderungen für Betreiber kritischer Anlagen einführt und das NIS2UmsuCG um eine unverzichtbare physische Dimension ergänzt.

Kryptographie ist die Wissenschaft und bewährte Praxis der Verschlüsselung von Informationen zum Schutz ihrer Vertraulichkeit, Integrität und Authentizität vor unbefugtem Zugriff oder Manipulation.

Die Leitungsorganhaftung nach NIS2UmsuCG verpflichtet Geschäftsführer, Vorstände und andere Leitungsorgane zur persönlichen Verantwortung für die Umsetzung der Cybersicherheitsmaßnahmen ihrer Organisation.

Lieferkettensicherheit bezeichnet die systematische Absicherung der gesamten Lieferkette einer Organisation gegen Cyberrisiken, die von externen Partnern, Zulieferern, Softwareherstellern und Cloud-Dienstleistern ausgehen können.

Die Meldepflicht nach NIS2UmsuCG verpflichtet betroffene Einrichtungen, erhebliche Sicherheitsvorfälle innerhalb strenger gesetzlicher Fristen an das BSI zu melden.

Multi-Faktor-Authentifizierung (MFA) ist ein Authentifizierungsverfahren, das mindestens zwei voneinander unabhängige Nachweisfaktoren erfordert — typischerweise eine Kombination aus Wissensfaktor (Passwort), Besitzfaktor (Hardware-Token, Smartphone-App) und Inhärenzfaktor (Biometrie wie Fingerabdruck).

Die Nachweispflicht verpflichtet betroffene Einrichtungen, die Umsetzung aller geforderten Sicherheitsmaßnahmen gegenüber dem BSI jederzeit dokumentieren und belegen zu können.

Netzwerksegmentierung bezeichnet die strukturierte Aufteilung eines IT-Netzwerks in logisch oder physisch isolierte Segmente (Zonen), zwischen denen Kommunikation nur durch explizite, kontrollierte Regeln erlaubt wird.

Die NIS-2-Richtlinie (EU) 2022/2555 ist die grundlegend überarbeitete EU-Richtlinie zur Netz- und Informationssicherheit, die im Dezember 2022 in Kraft trat und bis Oktober 2024 in nationales Recht der Mitgliedstaaten umzusetzen war.

Das NIS2UmsuCG (NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz) ist das deutsche Bundesgesetz, das die NIS-2-Richtlinie in nationales Recht umsetzt und gleichzeitig das Bundesamt für Sicherheit in der Informationstechnik als zentrale Cybersicherheitsbehörde Deutschlands erheblich stärkt.

Patch-Management ist der systematische Prozess zur Identifikation, Bewertung, Priorisierung und zeitnahen Anwendung von Sicherheits-Updates (Patches) für Betriebssysteme, Anwendungen, Bibliotheken, Container-Images und Firmware.

Ein Penetrationstest ist ein autorisierter, systematisch geplanter simulierter Cyberangriff auf IT-Systeme, Netzwerke oder Anwendungen, um Sicherheitslücken zu identifizieren, bevor reale Angreifer diese ausnutzen können.

Die Risikoanalyse ist der systematische Prozess zur Identifikation, Bewertung und Priorisierung von Bedrohungen und Schwachstellen in der IT-Infrastruktur einer Organisation.

Die Schulungspflicht nach NIS2UmsuCG verpflichtet betroffene Einrichtungen sicherzustellen, dass sowohl die Leitungsorgane als auch alle relevanten Mitarbeiter regelmäßig in Cybersicherheitsthemen geschult und für aktuelle Bedrohungslagen sensibilisiert werden.

Schwachstellenmanagement bezeichnet den kontinuierlichen operativen Prozess zur Identifikation, Klassifizierung, Priorisierung und vollständigen Behebung von Sicherheitslücken in IT-Systemen und eingesetzter Software.

Security Awareness bezeichnet Maßnahmen zur systematischen Sensibilisierung und regelmäßigen Schulung von Mitarbeitenden in Fragen der Informationssicherheit, mit dem zentralen Ziel, menschliche Fehler als häufigste Einzelursache von Sicherheitsvorfällen nachhaltig zu reduzieren.

Das NIS2UmsuCG definiert 18 regulierte Sektoren, unterteilt in hochkritische Sektoren (Anhang I) und sonstige kritische Sektoren (Anhang II).

Ein Sicherheitsvorfall im Sinne des NIS2UmsuCG ist ein Ereignis, das die Verfügbarkeit, Vertraulichkeit oder Integrität von Netz- und Informationssystemen oder der durch sie bereitgestellten Dienste tatsächlich negativ beeinträchtigt.

Ein Security Information and Event Management System (SIEM) ist eine zentrale Sicherheitsplattform, die Log-Daten aus heterogenen IT-Quellen — darunter Firewalls, Endpunktsysteme, Server und Anwendungen — in Echtzeit aggregiert, korreliert und auf Anomalien oder Angriffsmuster analysiert.

Ein Security Operations Center (SOC) ist eine spezialisierte Organisationseinheit, die rund um die Uhr für die Überwachung, Erkennung, Analyse und Reaktion auf Cybersicherheitsbedrohungen zuständig ist.

Eine wichtige Einrichtung im Sinne des NIS2UmsuCG ist ein Unternehmen, das in einem der regulierten Sektoren tätig ist und zwischen 50 und 249 Mitarbeiter oder zwischen 10 und 50 Millionen Euro Jahresumsatz aufweist.

Zero Trust ist ein Sicherheitsarchitekturkonzept, das auf dem Grundsatz „never trust, always verify" basiert und keinen impliziten Vertrauensvorschuss für Nutzer, Geräte oder Netzwerksegmente innerhalb oder außerhalb des Unternehmensperimeters gewährt.

Zertifizierungen im NIS2-Kontext sind formale Nachweise durch akkreditierte und unabhängige Prüfstellen, dass eine Organisation, ein IT-Produkt oder ein Dienst definierte Sicherheitsstandards nachweislich erfüllt.

Zugriffskontrollen sind technische und organisatorische Maßnahmen, die sicherstellen, dass nur autorisierte Personen, Prozesse und Systeme auf geschützte Ressourcen, Daten und Systeme zugreifen können.