Compliance-Begriffe,
kurz erklärt.

Formelle Bestätigung, dass eine Zertifizierungs- oder Prüfstelle fachlich kompetent und unabhängig arbeitet. Erst die Akkreditierung macht ein Zertifikat international anerkannt.

Liste konkreter Maßnahmen mit Verantwortlichen und Fristen, mit der eine Lücke, ein Risiko oder eine Abweichung geschlossen wird.

Lückenlose Aufzeichnung, wer wann was im System geändert hat. Auditoren nutzen es, um nachzuvollziehen, ob Prozesse tatsächlich gelebt werden.

Festlegung, welche Standorte, Prozesse, Systeme und Organisationseinheiten ein Managementsystem umfasst. Ein zu enger Scope schwächt die Aussagekraft des Zertifikats.

Strukturierte Abfrage, mit der der Umsetzungsstand von Anforderungen Kontrolle für Kontrolle erhoben wird. Ergebnis ist ein klares Bild, was erfüllt ist und was fehlt.

Alles, was für die Organisation Wert hat und geschützt werden muss: Informationen, Systeme, Anwendungen, Räume, aber auch Wissen von Personen. Das Asset-Inventar ist Grundlage jeder Risikobeurteilung.

Systematische, unabhängige Prüfung, ob Anforderungen erfüllt sind. Man unterscheidet interne Audits, Lieferantenaudits und Zertifizierungsaudits durch eine externe Stelle.

Zustand, in dem alle Anforderungen umgesetzt, Nachweise aktuell und internes Audit sowie Managementbewertung abgeschlossen sind. Dann kann das externe Audit ohne Überraschungen beginnen.

Zugang für externe Prüfer, der alles Prüfrelevante zeigt, aber keine Änderungen erlaubt. So bleibt die Prüfung unabhängig und nachvollziehbar.

Verarbeitet ein Dienstleister personenbezogene Daten im Auftrag eines Unternehmens, verlangt Art. 28 DSGVO einen Vertrag mit festgelegten Pflichten. Er regelt unter anderem Weisungen, Unterauftragnehmer und technische Schutzmaßnahmen.

Anmeldung mit mindestens zwei unabhängigen Faktoren, etwa Passwort und Einmalcode. NIS2 nennt sie ausdrücklich als Maßnahme, viele Kontrollkataloge setzen sie für Administratoren voraus.

Pflichtteil des BSI-C5-Katalogs, den jeder Cloud-Anbieter mit C5-Testat erfüllen muss. Ergänzt werden sie durch Zusatzkriterien für höheren Schutzbedarf.

Dokumentierte Regeln, wer auf welche Systeme und Daten in welchem Umfang zugreifen darf, einschließlich Vergabe, Prüfung und Entzug von Rechten. Prüfer verlangen fast immer einen Nachweis der regelmäßigen Rezertifizierung.

Deutsches Gesetz über das Bundesamt für Sicherheit in der Informationstechnik. Mit der Umsetzung von NIS2 regelt es, welche Einrichtungen welche Sicherheits-, Melde- und Registrierungspflichten haben.

Planung, wie kritische Geschäftsprozesse bei Ausfällen weiterlaufen oder schnell wiederhergestellt werden. Dazu gehören Notfallpläne, Wiederanlaufzeiten und regelmäßige Übungen.

Kriterienkatalog des BSI für sichere Cloud-Dienste. Ein Wirtschaftsprüfer prüft die Umsetzung und erteilt ein Testat vom Typ 1 (Angemessenheit) oder Typ 2 (Wirksamkeit über einen Zeitraum).

Prozessschritt im HACCP-Konzept, an dem eine Gefahr für die Lebensmittelsicherheit wirksam beherrscht werden muss, etwa beim Erhitzen oder Kühlen. Für jeden CCP gibt es Grenzwerte, Überwachung und Korrekturmaßnahmen.

Nationale Akkreditierungsstelle in Deutschland. Sie akkreditiert unter anderem Zertifizierungsstellen für ISO 27001 und ISO 9001.

Vorab-Bewertung einer Verarbeitung, die voraussichtlich ein hohes Risiko für Betroffene mit sich bringt. Sie beschreibt Zweck, Notwendigkeit, Risiken und Gegenmaßnahmen.

Person, die ein Unternehmen in Datenschutzfragen berät und die Einhaltung der DSGVO überwacht. Sie kann intern benannt oder extern beauftragt werden.

Regelmäßige Kopie von Daten und Systemen, um sie nach Verlust wiederherstellen zu können. Prüfer achten vor allem auf getestete Wiederherstellung, nicht nur auf das Sichern.

EU-Verordnung zur digitalen operationalen Resilienz im Finanzsektor, anwendbar seit Januar 2025. Sie regelt IKT-Risikomanagement, Vorfallmeldungen, Resilienztests und den Umgang mit IKT-Drittanbietern.

Verzeichnis aller vertraglichen Vereinbarungen eines Finanzunternehmens mit IKT-Drittanbietern. Es wird in einem vorgegebenen Format geführt und an die Aufsicht übermittelt.

EU-Verordnung zum Schutz personenbezogener Daten. Sie verlangt unter anderem Rechtsgrundlagen, Transparenz, Betroffenenrechte, technische und organisatorische Maßnahmen und Rechenschaft.

Selbst definierter Anforderungskatalog, etwa Konzernrichtlinien oder Kundenanforderungen, der wie eine Norm mit Kontrollen, Nachweisen und Assessments geführt wird.

Zentrales Dokument eines ISMS nach ISO 27001. Es listet alle Maßnahmen aus Anhang A, begründet ihre Auswahl oder ihren Ausschluss und nennt den Umsetzungsstand.

EU-Verordnung über künstliche Intelligenz. Sie ordnet KI-Systeme nach Risiko ein und knüpft daran gestufte Pflichten für Anbieter und Betreiber.

Ergebnis eines Audits zu einer Anforderung: Konformität, Nichtkonformität, Beobachtung oder Verbesserungspotenzial. Feststellungen werden im Auditbericht dokumentiert.

Sammelbegriff für Normen, Gesetze und Kriterienkataloge, an denen sich ein Unternehmen ausrichtet, etwa ISO 27001, NIS2 oder SOC 2.

Abgleich des Ist-Zustands mit den Anforderungen eines Frameworks. Sie zeigt, wo nachgebessert werden muss, und ist meist der erste Schritt eines Projekts.

Zusammenspiel von Unternehmenssteuerung (Governance), Risikomanagement (Risk) und Einhaltung von Gesetzen, Normen und eigenen Vorgaben (Compliance). GRC-Software, oft auch GRC-Tool genannt, bündelt diese Aufgaben an einem Ort: Anforderungen, Risiken, Maßnahmen, Nachweise und Audits. Sightadel ist eine GRC-Plattform für ISO 27001, ISO 9001, NIS2, DORA und weitere Frameworks.

Konzept zur Gefahrenanalyse in der Lebensmittelherstellung und -verarbeitung. Lebensmittelunternehmen in der EU müssen danach arbeiten.

KI-Systeme, die der EU AI Act wegen möglicher Auswirkungen auf Gesundheit, Sicherheit oder Grundrechte besonders streng regelt, etwa in Personalauswahl, Kreditvergabe oder kritischer Infrastruktur. Für sie gelten Risikomanagement, Datenqualität, Dokumentation und menschliche Aufsicht.

Internationaler Zusammenschluss der Akkreditierungsstellen. Über seine gegenseitige Anerkennung gelten Zertifikate akkreditierter Stellen auch in anderen Mitgliedsstaaten.

Unter DORA jeder Dienstleister, der einem Finanzunternehmen digitale oder Datendienste erbringt, etwa Cloud, Software oder Rechenzentrum. Für sie gelten besondere Anforderungen an Verträge, Überwachung und Ausstiegsstrategien.

Rahmen aus Strategien, Richtlinien und Werkzeugen, mit dem ein Finanzunternehmen Risiken aus Informations- und Kommunikationstechnik erkennt, schützt, überwacht und behebt. Kernkapitel von DORA.

Verantwortliche Person für Aufbau, Betrieb und Weiterentwicklung des ISMS. Sie berichtet an die Leitung und koordiniert Risiken, Maßnahmen und Vorfälle.

Selbstprüfung des Managementsystems durch unabhängige Personen aus dem Unternehmen oder beauftragte Externe. Für ISO-Zertifizierungen ist mindestens ein internes Audit pro Zyklus Pflicht.

Internationaler Prüfungsstandard für Prüfungen, die keine Finanzinformationen betreffen. Auf ihm beruhen etwa C5-Testate und Prüfungen interner Kontrollen bei Dienstleistern.

Gesamtheit aus Regeln, Prozessen, Rollen und Maßnahmen, mit denen ein Unternehmen Informationssicherheit plant, umsetzt, überwacht und verbessert. ISO 27001 legt die Anforderungen fest.

Internationale Norm für Qualitätsmanagementsysteme. Sie verlangt kundenorientierte, gesteuerte Prozesse und kontinuierliche Verbesserung.

Norm mit Anforderungen an Stellen, die Managementsysteme auditieren und zertifizieren. Sie verbietet unter anderem, dass eine Zertifizierungsstelle dieselbe Organisation berät.

Internationale Norm für Informationssicherheits-Managementsysteme. Sie ist zertifizierbar und gilt in Europa als wichtigster Nachweis für Informationssicherheit.

Internationale Norm für Managementsysteme rund um künstliche Intelligenz. Sie hilft, KI verantwortungsvoll zu entwickeln und einzusetzen, und ist zertifizierbar.

Grundprinzip aller Managementsystemnormen: planen, umsetzen, prüfen, verbessern. Ein Managementsystem gilt nie als fertig.

Einzelne Anforderung oder Schutzmaßnahme aus einem Framework, etwa Zugriffskontrolle oder Datensicherung. Kontrollen werden bewertet, umgesetzt und mit Nachweisen belegt.

Maßnahme, die die Ursache einer Nichtkonformität beseitigt, damit sie nicht wieder auftritt. Sie geht über die reine Behebung des Symptoms hinaus.

Einrichtungen, deren Ausfall erhebliche Folgen für das Gemeinwesen hätte, etwa in Energie, Wasser, Gesundheit oder Finanzwesen. Für ihre Betreiber gelten in Deutschland erhöhte Sicherheits- und Nachweispflichten.

Einsatz von Verschlüsselung und Signaturen zum Schutz von Daten in Übertragung und Speicherung. Frameworks verlangen ein Konzept für Verfahren und Schlüsselverwaltung.

Gemeinsame Haltung und Verhaltensweisen im Betrieb, die Lebensmittelsicherheit im Alltag tragen. EU-Lebensmittelhygienerecht verlangt, dass Unternehmen sie fördern und nachweisen.

Unter NIS2 und DORA haftet die Geschäftsleitung dafür, dass Risikomaßnahmen umgesetzt und überwacht werden. Sie muss sich dazu regelmäßig schulen lassen.

Risiko, das aus Dienstleistern und Zulieferern entsteht, etwa durch Ausfall oder Datenabfluss. Es wird über Bewertungen, Fragebögen und Verträge gesteuert.

Regelmäßige Bewertung des Managementsystems durch die oberste Leitung anhand von Kennzahlen, Auditergebnissen und Risiken. Sie endet mit Entscheidungen zu Ressourcen und Verbesserungen.

Erhebliche Sicherheitsvorfälle sind gestaffelt zu melden: eine Frühwarnung binnen 24 Stunden, eine Meldung mit Ersteinschätzung binnen 72 Stunden und ein Abschlussbericht spätestens einen Monat danach.

Beleg, dass eine Kontrolle umgesetzt ist, etwa ein Dokument, Screenshot, Protokoll oder Export. Gute Nachweise haben eine Version und ein Ablaufdatum.

Nicht erfüllte Anforderung. Im Zertifizierungsaudit unterscheidet man Haupt- und Nebenabweichungen; Hauptabweichungen müssen vor Erteilung des Zertifikats behoben sein.

EU-Richtlinie für ein hohes gemeinsames Cybersicherheitsniveau. Sie erweitert den Kreis betroffener Unternehmen deutlich und verlangt Risikomaßnahmen, Meldungen und Leitungsverantwortung.

Rahmenwerk des US-amerikanischen National Institute of Standards and Technology. In Version 2.0 gliedert es Cybersicherheit in sechs Funktionen: Govern, Identify, Protect, Detect, Respond und Recover.

Vorbereitung auf und Reaktion bei schweren Störungen, mit Alarmierung, Krisenstab und Wiederanlaufplänen. Teil des Business Continuity Managements.

Regelung zur IT-Sicherheit in der vertragsärztlichen und vertragszahnärztlichen Versorgung, früher § 75b. Eine Richtlinie legt fest, welche Anforderungen Praxen je nach Größe erfüllen müssen.

Gezielter, autorisierter Angriffsversuch auf Systeme, um Schwachstellen zu finden. Viele Frameworks erwarten regelmäßige Tests und die Behebung der Ergebnisse.

Managementsystem, das Prozesse auf gleichbleibende Qualität und Kundenzufriedenheit ausrichtet. Die bekannteste Grundlage ist ISO 9001.

Audit zum Ende der dreijährigen Gültigkeit eines Zertifikats. Es prüft das gesamte Managementsystem erneut und startet einen neuen Zyklus.

Verbindliche interne Vorgabe, etwa zur Passwortnutzung oder Datensicherung. Richtlinien werden von der Leitung freigegeben, bekanntgemacht und regelmäßig überprüft.

Bewusste Entscheidung der Verantwortlichen, ein Restrisiko zu tragen. Sie muss dokumentiert und begründet sein.

Entscheidung, wie mit einem bewerteten Risiko umgegangen wird: vermeiden, mindern, übertragen oder akzeptieren. Daraus folgt der Risikobehandlungsplan mit Maßnahmen.

Identifikation, Analyse und Bewertung von Risiken nach Eintrittswahrscheinlichkeit und Auswirkung. Sie bestimmt, welche Maßnahmen nötig sind.

Der EU AI Act unterscheidet verbotene Praktiken, Hochrisiko-Systeme, Systeme mit Transparenzpflichten und Systeme mit minimalem Risiko. Je höher die Klasse, desto strenger die Pflichten.

Einschätzung, wie hoch Vertraulichkeit, Integrität und Verfügbarkeit einer Information oder eines Systems zu schützen sind. Daraus leiten sich angemessene Maßnahmen ab.

Laufender Prozess, Schwachstellen in Systemen zu erkennen, zu bewerten und fristgerecht zu beheben. Ein Kernthema von NIS2, DORA und ISO 27001.

Kennzahl, die den Umsetzungsstand der Kontrollen über alle Frameworks zusammenfasst. Sie zeigt auf einen Blick, wo ein Unternehmen steht und wohin es sich entwickelt.

Schulungen und Maßnahmen, die Beschäftigten Sicherheitsrisiken bewusst machen. Fast jedes Framework verlangt sie regelmäßig und nachweisbar.

Ereignis, das Vertraulichkeit, Integrität oder Verfügbarkeit von Informationen beeinträchtigt oder beeinträchtigen könnte. Vorfälle werden erfasst, bewertet, behandelt und ausgewertet.

Prüfbericht nach US-Standard über die Kontrollen eines Dienstleisters, erstellt von einer Wirtschaftsprüfungsgesellschaft. Typ I betrachtet einen Stichtag, Typ II einen Zeitraum.

Erster Teil des Zertifizierungsaudits. Der Auditor prüft Dokumentation, Anwendungsbereich und Bereitschaft, bevor die eigentliche Umsetzung geprüft wird.

Zweiter Teil des Zertifizierungsaudits. Der Auditor prüft vor Ort oder remote, ob das Managementsystem im Alltag wirksam umgesetzt ist.

Prüfungsurteil eines Wirtschaftsprüfers über ein geprüftes System, etwa nach BSI C5. Anders als ein Zertifikat wird es nicht von einer Zertifizierungsstelle erteilt.

Prüf- und Austauschverfahren für Informationssicherheit in der Automobilindustrie. Grundlage ist ein branchenspezifischer Fragenkatalog.

Bedrohungsorientierter Penetrationstest unter DORA, der reale Angreifer nachahmt und Produktivsysteme einbezieht. Ausgewählte Finanzunternehmen müssen ihn regelmäßig durchführen.

Schutzmaßnahmen nach DSGVO, etwa Verschlüsselung, Zugriffskontrolle oder Schulungen. Sie müssen dem Risiko angemessen sein und werden meist in einer Übersicht dokumentiert.

Öffentliche oder geschützte Seite, auf der ein Unternehmen Kunden seine Sicherheits- und Compliance-Nachweise zeigt. Das beantwortet viele Fragebögen, bevor sie gestellt werden.

Kriterien, nach denen SOC-2-Berichte erstellt werden: Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz. Sicherheit ist immer Pflicht, die übrigen werden gewählt.

Jährliches Audit zwischen Erst- und Rezertifizierung. Es prüft Teile des Managementsystems und ob es weiter wirksam ist.

Übersicht aller Verarbeitungen personenbezogener Daten mit Zweck, Kategorien, Empfängern, Fristen und Schutzmaßnahmen. Die DSGVO verlangt es von fast allen Unternehmen.

Die drei klassischen Schutzziele der Informationssicherheit. Jede Maßnahme dient mindestens einem davon.

Vorfall, bei dem personenbezogene Daten verloren gehen, offengelegt oder verändert werden. Meist ist er binnen 72 Stunden der Aufsichtsbehörde zu melden.

Maßnahme, die eine mögliche Abweichung verhindert, bevor sie auftritt. In aktuellen ISO-Normen ist der Gedanke im risikobasierten Denken aufgegangen.

Vorbereiteter Entwurf für Richtlinien, Prozesse oder Antworten, der an das eigene Unternehmen angepasst wird. Sinnvoll ist eine Vorlage nur, wenn sie wirklich angepasst und nicht einfach übernommen wird.

Nachweis, dass eine Maßnahme nicht nur existiert, sondern ihr Ziel erreicht, etwa durch Kennzahlen, Stichproben oder Tests.

Bescheinigung einer akkreditierten Zertifizierungsstelle, dass ein Managementsystem die Anforderungen einer Norm erfüllt. Es gilt in der Regel drei Jahre, mit jährlichen Überwachungsaudits.

Akkreditierte Organisation, die Managementsysteme auditiert und Zertifikate erteilt. Sie muss unabhängig von Beratung bleiben.

Regeln und technische Mittel, die sicherstellen, dass nur Berechtigte auf Systeme und Daten zugreifen. Eine der am häufigsten geprüften Kontrollen.

Optionaler Teil des BSI-C5-Katalogs für Kunden mit erhöhtem Schutzbedarf. Sie werden zusätzlich zu den Basiskriterien geprüft.