Key compliance terms,
explained in simple terms

Anhang III der KI-Verordnung listet die Anwendungsbereiche, in denen ein KI-System als hochriskant gilt. Er umfasst acht Bereiche von der Biometrie bis zur Rechtspflege und ist neben Anhang I einer der beiden Wege zur Hochrisiko-Einstufung.

Erste Maßnahme im Annex A von ISO/IEC 27001:2022. Sie verlangt, dass Informationssicherheitsrichtlinien festgelegt, von der Leitung genehmigt, veröffentlicht, bekannt gemacht und regelmäßig überprüft werden.

Vierte und größte Gruppe der Maßnahmen im Annex A von ISO/IEC 27001:2022 mit 34 technologischen Maßnahmen. Sie reicht von Zugriffskontrolle und Schadsoftwareschutz über Protokollierung bis zu sicherer Entwicklung.

Veränderung personenbezogener Daten derart, dass eine Zuordnung zu einer Person nicht mehr oder nur mit unverhältnismäßigem Aufwand möglich ist. Anonyme Daten sind keine personenbezogenen Daten mehr, die DSGVO ist auf sie nicht anwendbar.

Vorschrift der DSGVO, die das Verhältnis zwischen Verantwortlichem und Auftragsverarbeiter regelt. Sie verpflichtet zur sorgfältigen Auswahl, schreibt einen Vertrag mit festem Mindestinhalt vor und bestimmt, wann ein Dienstleister selbst zum Verantwortlichen wird.

Vorschrift der DSGVO, die Verantwortliche und Auftragsverarbeiter verpflichtet, ein Verzeichnis ihrer Verarbeitungstätigkeiten zu führen. Das Verzeichnis ist der Aufsichtsbehörde auf Anfrage vorzulegen und der wichtigste Nachweis der Rechenschaftspflicht.

Vorschrift der DSGVO, die Verantwortliche und Auftragsverarbeiter verpflichtet, ein dem Risiko angemessenes Schutzniveau für personenbezogene Daten herzustellen. Sie nennt Kriterien und Beispiele, aber keine verbindliche Maßnahmenliste.

Vorschrift der DSGVO, die den Verantwortlichen verpflichtet, eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden der Aufsichtsbehörde zu melden. Ausnahme: die Verletzung führt voraussichtlich nicht zu einem Risiko für die betroffenen Personen.

Vorschrift der DSGVO, die eine Datenschutz-Folgenabschätzung verlangt, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Sie ist vor Beginn der Verarbeitung durchzuführen.

Vorschrift der DSGVO, die abschließend regelt, wann die Verarbeitung personenbezogener Daten rechtmäßig ist. Ohne eine der sechs Rechtsgrundlagen aus Abs. 1 ist jede Verarbeitung unzulässig, unabhängig davon, wie gut sie technisch abgesichert ist.

Vertrag nach Art. 28 Abs. 3 DSGVO zwischen einem Verantwortlichen und einem Dienstleister, der personenbezogene Daten weisungsgebunden für ihn verarbeitet. Er legt Gegenstand, Dauer, Art und Zweck der Verarbeitung fest und verpflichtet den Auftragsverarbeiter unter anderem zu Vertraulichkeit und zu technischen und organisatorischen Maßnahmen.

BCM (Business Continuity Management) ist der Managementprozess, mit dem eine Organisation ihre zeitkritischen Geschäftsprozesse identifiziert und dafür sorgt, dass diese bei Störungen innerhalb festgelegter Zeiten fortgeführt oder wiederhergestellt werden können.

Die BSI-Standards der Reihe 200 sind die methodischen Vorgaben des Bundesamts für Sicherheit in der Informationstechnik zum IT-Grundschutz. Sie beschreiben, wie ein Informationssicherheits-Managementsystem aufgebaut, umgesetzt und um Risikoanalyse und Notfallmanagement ergänzt wird.

Eine besonders wichtige Einrichtung (bWE) ist eine nach dem NIS2-Umsetzungsgesetz regulierte Organisation aus einem Sektor der Anlage 1, die mindestens 250 Beschäftigte hat oder einen Jahresumsatz über 50 Mio. Euro und zugleich eine Bilanzsumme über 43 Mio. Euro erreicht.

CAPA (Corrective and Preventive Action) bezeichnet ein System aus Korrektur- und Vorbeugemaßnahmen. Korrekturmaßnahmen beseitigen die Ursache einer eingetretenen Abweichung, Vorbeugemaßnahmen die Ursache einer möglichen, noch nicht eingetretenen Abweichung.

Führungsrolle mit Gesamtverantwortung für die Informationssicherheit einer Organisation. Anders als der operativ koordinierende Informationssicherheitsbeauftragte ist der CISO strategisch angesiedelt und meist Teil der Leitungsebene.

Ein Code of Practice (Praxisleitfaden) ist ein von der EU-Kommission und dem KI-Büro moderiertes freiwilliges Regelwerk nach Artikel 56 der KI-Verordnung. Anbieter von KI-Modellen mit allgemeinem Verwendungszweck können damit nachweisen, dass sie ihre Pflichten erfüllen.

Person, die in einer Organisation die Einhaltung des Datenschutzrechts überwacht und berät. Die Bestellung ist nach Art. 37 DSGVO in bestimmten Fällen Pflicht, in Deutschland zusätzlich nach § 38 BDSG. Der Datenschutzbeauftragte ist weisungsfrei und darf wegen seiner Aufgabe nicht benachteiligt werden.

DORA (Digital Operational Resilience Act) ist die EU-Verordnung 2022/2554 über die digitale operationale Resilienz im Finanzsektor. Sie verpflichtet Finanzunternehmen, IKT-Risiken zu steuern, Vorfälle zu melden, ihre Widerstandsfähigkeit zu testen und Drittanbieter zu überwachen.

Übermittlung personenbezogener Daten an einen Empfänger außerhalb des Europäischen Wirtschaftsraums oder deren Zugänglichmachung von dort aus. Zulässig ist ein solcher Transfer nur, wenn eine der Grundlagen aus Kapitel V der DSGVO vorliegt.

Antrag einer betroffenen Person auf Auskunft über die zu ihr verarbeiteten personenbezogenen Daten nach Art. 15 DSGVO. Der Verantwortliche muss innerhalb eines Monats antworten, unentgeltlich und unabhängig davon, in welcher Form der Antrag gestellt wurde.

Strukturierte Risikobewertung nach Art. 35 DSGVO. Sie ist erforderlich, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen bedeutet, und wird vor Beginn der Verarbeitung durchgeführt und dokumentiert.

Gremium der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder in Deutschland. Die Konferenz veröffentlicht Beschlüsse, Orientierungshilfen und Kurzpapiere, die die Aufsichtspraxis prägen.

Die ENISA (European Union Agency for Cybersecurity) ist die Agentur der Europäischen Union für Cybersicherheit. Sie unterstützt Mitgliedstaaten, EU-Organe und Unternehmen bei der Umsetzung des europäischen Cybersicherheitsrechts und erarbeitet Leitlinien, Lagebilder und Zertifizierungsschemata.

Die FRIA (Fundamental Rights Impact Assessment) ist die Grundrechte-Folgenabschätzung nach Artikel 27 der KI-Verordnung. Bestimmte Betreiber von Hochrisiko-KI-Systemen müssen vor der ersten Verwendung bewerten, welche Auswirkungen der Einsatz auf die Grundrechte betroffener Personen haben kann.

GPAI (General Purpose AI) bezeichnet KI-Modelle mit allgemeinem Verwendungszweck: Modelle, die eine erhebliche allgemeine Verwendbarkeit aufweisen und ein breites Spektrum unterschiedlicher Aufgaben erfüllen können, unabhängig davon, wie sie später in Anwendungen eingebettet werden.

Ein Hochrisiko-KI-System ist ein KI-System, das nach Artikel 6 der KI-Verordnung als hochriskant eingestuft wird, weil es als Sicherheitsbauteil eines regulierten Produkts nach Anhang I dient oder in einen der in Anhang III genannten Anwendungsbereiche fällt.

IAM (Identity and Access Management) bezeichnet die Gesamtheit der Prozesse und Systeme, mit denen digitale Identitäten über ihren Lebenszyklus verwaltet und ihre Zugriffsrechte auf Anwendungen und Daten gesteuert werden.

Internationale Norm mit Umsetzungsleitfaden zu den Informationssicherheitsmaßnahmen. Sie erläutert die Maßnahmen, die ISO/IEC 27001 im Annex A nur benennt, und ist selbst nicht zertifizierbar.

Internationale Norm mit Leitlinien zum Management von Informationssicherheitsrisiken. Sie konkretisiert das Risikovorgehen, das ISO/IEC 27001 in Kapitel 6.1 verlangt, ohne selbst eine bestimmte Methode vorzuschreiben.

Internationale Norm mit zusätzlichen Informationssicherheitsmaßnahmen für Cloud-Dienste. Sie ergänzt ISO/IEC 27002 um Vorgaben, die sich an Cloud-Anbieter und an deren Kunden richten.

Internationale Norm mit Leitlinien zum Schutz personenbezogener Daten in öffentlichen Cloud-Diensten. Sie richtet sich an Cloud-Anbieter, die als Auftragsverarbeiter tätig sind, und ergänzt die Maßnahmen aus ISO/IEC 27002.

Internationale Norm, die ISO/IEC 27001 und 27002 um Anforderungen zum Schutz personenbezogener Daten erweitert. Aus einem Informationssicherheits-Managementsystem wird damit ein Managementsystem, das auch Datenschutz abdeckt.

Ein IT-Grundschutz-Baustein ist die kleinste inhaltliche Einheit des IT-Grundschutz-Kompendiums des BSI. Jeder Baustein beschreibt für ein bestimmtes Zielobjekt die typische Gefährdungslage und die daraus abgeleiteten Sicherheitsanforderungen.

KRITIS steht für Kritische Infrastrukturen: Einrichtungen und Anlagen, deren Ausfall zu erheblichen Versorgungsengpässen oder Gefährdungen der öffentlichen Sicherheit führen würde. In Deutschland ist der Begriff über das BSI-Gesetz und die BSI-Kritisverordnung rechtlich definiert.

Der KVP (Kontinuierlicher Verbesserungsprozess) ist die systematische, fortlaufende Verbesserung von Prozessen, Produkten und Managementsystemen in kleinen Schritten. Er ist in allen ISO-Managementsystemnormen als Anforderung verankert.

Least Privilege (Prinzip der minimalen Rechte) besagt, dass jede Person, jedes Konto und jeder Prozess nur genau die Berechtigungen erhalten soll, die zur Erfüllung der jeweiligen Aufgabe erforderlich sind, und nur so lange, wie sie benötigt werden.

Die Managementbewertung (Management Review) ist die regelmäßige Beurteilung eines Managementsystems durch die oberste Leitung. Sie prüft, ob das System weiterhin geeignet, angemessen und wirksam ist, und entscheidet über notwendige Änderungen.

MFA (Multi-Faktor-Authentifizierung) ist ein Anmeldeverfahren, bei dem die Identität einer Person über mindestens zwei unabhängige Faktoren aus verschiedenen Kategorien nachgewiesen wird: Wissen, Besitz und Inhärenz.

Eine Nichtkonformität (Nonconformity) ist die Nichterfüllung einer Anforderung. Im Kontext von Managementsystemen bezeichnet sie jede Abweichung von Normanforderungen, gesetzlichen Vorgaben oder eigenen Festlegungen der Organisation.

Die NIS2-Sektoren sind die Wirtschaftsbereiche, deren Einrichtungen in den Anwendungsbereich der NIS2-Richtlinie und des deutschen NIS2-Umsetzungsgesetzes fallen. Sie sind in Anlage 1 (Sektoren hoher Kritikalität) und Anlage 2 (sonstige kritische Sektoren) aufgeführt.

PAM (Privileged Access Management) bezeichnet die gesonderte Verwaltung, Absicherung und Überwachung privilegierter Konten, also solcher Zugänge, die weitreichende Rechte an Systemen, Anwendungen oder Daten besitzen.

Verarbeitung personenbezogener Daten so, dass sie ohne Hinzuziehung zusätzlicher Informationen keiner Person mehr zugeordnet werden können. Die Zuordnungsinformation wird getrennt aufbewahrt und geschützt. Pseudonymisierte Daten bleiben personenbezogen und unterliegen weiter der DSGVO.

RBAC (Role-Based Access Control) ist ein Berechtigungsmodell, bei dem Zugriffsrechte nicht einzelnen Personen, sondern Rollen zugewiesen werden. Personen erhalten Rechte ausschließlich dadurch, dass ihnen eine Rolle zugeordnet wird.

Dokument, das für jede der Maßnahmen aus Annex A von ISO/IEC 27001 festhält, ob sie anwendbar ist, wie sie umgesetzt wird und warum sie gegebenenfalls ausgeschlossen wurde. Die Norm verlangt es in Kapitel 6.1.3 d.

STRIDE ist ein Modell zur Kategorisierung von Bedrohungen in der Bedrohungsmodellierung. Das Akronym steht für sechs Bedrohungsarten: Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service und Elevation of Privilege.

Threat Intelligence (Bedrohungsaufklärung) bezeichnet die systematische Sammlung, Auswertung und Aufbereitung von Informationen über aktuelle Bedrohungen, Angreifergruppen und deren Vorgehensweisen, um daraus Entscheidungen für die eigene Sicherheitslage abzuleiten.

Threat Modeling (Bedrohungsmodellierung) ist ein strukturiertes Verfahren, mit dem bereits in der Entwurfsphase eines Systems ermittelt wird, welche Bedrohungen bestehen, welche Auswirkungen sie hätten und welche Gegenmaßnahmen erforderlich sind.

Einzelfallprüfung, ob die vereinbarten Garantien für einen Drittlandtransfer im Zielland tatsächlich eingehalten werden können. Sie wurde durch das Schrems-II-Urteil des EuGH zur Pflicht und ergänzt die Standardvertragsklauseln, ersetzt sie aber nicht.

Das TISAX Assessment Level (AL1, AL2, AL3) legt die Prüftiefe eines TISAX-Assessments fest. Es richtet sich nach dem Schutzbedarf der zu verarbeitenden Informationen und bestimmt, ob eine Selbsteinschätzung, eine Prüfung mit Nachweisen oder ein Vor-Ort-Audit erfolgt.

Sammelbegriff für die Schutzmaßnahmen, die ein Verantwortlicher nach Art. 32 DSGVO trifft, um personenbezogene Daten angemessen zu sichern. Technisch meint Systeme und Verfahren, organisatorisch Regeln, Rollen und Prozesse.

Dokumentation aller Verarbeitungen personenbezogener Daten einer Organisation, geführt nach Art. 30 DSGVO. Es hält je Verarbeitung Zweck, Datenarten, Betroffenenkategorien, Empfänger, Löschfristen und Schutzmaßnahmen fest und ist der zentrale Nachweis der Rechenschaftspflicht.

Eine wichtige Einrichtung (wE) ist eine nach dem NIS2-Umsetzungsgesetz regulierte Organisation aus einem Sektor der Anlage 1 oder Anlage 2, die mindestens 50 Beschäftigte hat oder einen Jahresumsatz und eine Bilanzsumme von jeweils mehr als 10 Mio. Euro erreicht und nicht als besonders wichtige Einrichtung gilt.