Glossar: Begriffe zu Cybersicherheit, Resilienz und Regulierung
Von SBOM bis Zero Trust: Alle wichtigen Begriffe aus Cybersicherheit, Betriebsresilienz und EU-Regulierung – kompakt und ohne Juristendeutsch.
Kein Begriff gefunden – versuchen Sie eine andere Schreibweise.
A
Angriffsfläche
Attack SurfaceGesamtheit aller potenziellen Einstiegspunkte, über die ein Angreifer in ein System eindringen könnte – offene Ports, Schnittstellen, Benutzerkonten, veraltete Software. Der CRA fordert explizit eine minimale Angriffsfläche für alle Produkte mit digitalen Elementen.
Asset (Informationswert)
Alles, was für ein Unternehmen einen Wert hat und geschützt werden muss: Daten, Software, Hardware, Prozesse, Wissen, Reputation. Im ISO-27001-ISMS bildet die Asset-Inventarisierung die Grundlage der Risikobeurteilung.
B
BBK
Bundesamt für Bevölkerungsschutz und KatastrophenhilfeKRITISBundesbehörde für physische Resilienz kritischer Infrastrukturen. Zuständig für die Registrierung nach dem KRITIS-DachG (physische Aspekte). Nicht zu verwechseln mit dem BSI, das für Cybersicherheit zuständig ist.
BCM
Business Continuity ManagementSystematischer Ansatz, um die Fortführung kritischer Geschäftsprozesse auch bei Störungen sicherzustellen. Umfasst Notfallpläne, Wiederanlaufpläne und regelmäßige Übungen. Normiert in ISO 22301 und BSI-Standard 200-4.
BSI
Bundesamt für Sicherheit in der InformationstechnikBehördeNationale Cybersicherheitsbehörde Deutschlands. Gibt den IT-Grundschutz heraus, ist Anlaufstelle für NIS2-Registrierung und Cybervorfallsmeldungen, und nimmt unter dem KRITIS-DachG die Cyberanteile der kritischen Infrastruktur wahr.
C
CE-Kennzeichen
CRAEuropäisches Konformitätskennzeichen. Der CRA führt das CE-Kennzeichen für Produkte mit digitalen Elementen ein – es bestätigt die Einhaltung der CRA-Sicherheitsanforderungen. Ab Dezember 2027 Pflicht für alle vernetzten Produkte in der EU.
CER-Richtlinie
(EU) 2022/2557KRITISEU-Richtlinie über die Resilienz kritischer Einrichtungen. Nationale Grundlage: das KRITIS-Dachgesetz (in Deutschland in Kraft seit 17. März 2026). Betrifft physische Resilienz in 11 Sektoren.
CRA
Cyber Resilience Act · (EU) 2024/2847RegulierungEU-Verordnung für Cybersicherheit von Produkten mit digitalen Elementen. Gilt für Hersteller und Importeure. Vollständig anwendbar ab 11. Dezember 2027. Mehr zum CRA →
CVD
Coordinated Vulnerability DisclosureStrukturierter Prozess zur Meldung und Behebung von Sicherheitslücken – koordiniert zwischen Entdecker (Forscher), Hersteller und ggf. CERT/Behörden. Der CRA verpflichtet Hersteller, einen CVD-Prozess zu etablieren.
D
DORA
Digital Operational Resilience Act · (EU) 2022/2554RegulierungEU-Verordnung zur digitalen Betriebsresilienz für den Finanzsektor (Banken, Versicherungen, Wertpapierfirmen). Gilt seit Januar 2025. Regelt ICT-Risikomanagement, Vorfallsmeldung, Resilienztests und IKT-Drittparteienmanagement. Mehr zu DORA →
DRP
Disaster Recovery PlanWiederherstellungsplan für IT-Systeme nach einem Ausfall oder einer Katastrophe. Konkretisiert, wie und in welcher Reihenfolge Systeme nach einem Vorfall wieder in Betrieb genommen werden. Eng verzahnt mit RPO und RTO.
E
ENISA
European Union Agency for CybersecurityBehördeEU-Agentur für Cybersicherheit mit Sitz in Athen und Brüssel. Empfänger der Schwachstellenmeldungen nach dem CRA (24h/72h-Meldepflicht). Veröffentlicht jährlich den ENISA Threat Landscape Report.
EUCC
EU Cybersecurity Certification SchemeCRAEuropäisches Zertifizierungsschema für IKT-Produkte, entwickelt auf Basis der Common Criteria. Für kritische Produktklassen unter dem CRA verpflichtende Zertifizierungsgrundlage.
I
ICS
Industrial Control SystemOTOberbegriff für Steuerungs- und Regelungssysteme in der Industrie: SPS (Speicherprogrammierbare Steuerung), DCS (Distributed Control System) und SCADA-Systeme. ICS-Sicherheit ist ein Kernthema bei KRITIS-Betreibern.
ISMS
Informationssicherheits-ManagementsystemSystematischer Rahmen aus Richtlinien, Prozessen und Maßnahmen zur Steuerung der Informationssicherheit eines Unternehmens. Grundlage der ISO 27001-Zertifizierung. Folgt dem PDCA-Zyklus (Plan–Do–Check–Act).
ISO/IEC 27001:2022
NormInternationale Norm für Informationssicherheits-Managementsysteme. 93 Controls in Anhang A (Stand 2022). Grundlage für Zertifizierungen durch DAkkS-akkreditierte Stellen. Ausführlich erklärt →
K
KRITIS
Kritische InfrastrukturenRegulierungOrganisationen und Einrichtungen, deren Ausfall erhebliche Folgen für die Gesellschaft hätte. Das KRITIS-DachG definiert 11 Sektoren: Energie, Verkehr, Banken, Finanzmarkt, Gesundheit, Trinkwasser, Abwasser, Digitale Infrastruktur, IKT-Dienstleister, Raumfahrt, öffentliche Verwaltung.
KRITIS-DachG
KRITIS-Dachgesetz · In Kraft 17. März 2026RegulierungDeutsches Gesetz zur Resilienz kritischer Anlagen, umsetzt die CER-Richtlinie. Bußgelder bis 20 Mio. €. Registrierungspflicht startet erst mit der noch ausstehenden Rechtsverordnung zur Bestimmung kritischer Anlagen. Mehr zum KRITIS-DachG →
N
NIS2
Network and Information Security Directive 2RegulierungEU-Richtlinie zur Cybersicherheit wesentlicher und wichtiger Einrichtungen (18 Sektoren, ca. 29.500 Unternehmen in DE). In Deutschland umgesetzt durch das NIS2UmsuCG (in Kraft 6. Dezember 2025). NIS2-Check →
NIS2UmsuCG
NIS-2-Umsetzungs- und CybersicherheitsstärkungsgesetzDE-GesetzDeutsches Umsetzungsgesetz der NIS2-Richtlinie. Veröffentlicht im BGBl. 2024 I Nr. 307. In Kraft getreten 6. Dezember 2025. Bußgelder für wesentliche Einrichtungen bis 10 Mio. € / 2 % Umsatz.
O
OT
Operational TechnologyIndustrieHard- und Software zur direkten Steuerung und Überwachung physischer Prozesse – Maschinen, Anlagen, Infrastrukturen. Im Gegensatz zu IT (Informationsverarbeitung) steuert OT die physische Welt. OT-Systeme haben oft lange Lebenszyklen und waren historisch nicht für Netzwerkverbindung ausgelegt.
P
Patch Management
Systematischer Prozess zur Identifikation, Priorisierung und Einspielung von Software-Updates (Patches). Grundlegende Maßnahme gegen bekannte Schwachstellen. Der CRA verpflichtet Hersteller zu zeitnahen Sicherheits-Patches für mindestens 5 Jahre.
Penetrationstest (Pentest)
Autorisierter, simulierter Angriff auf ein System, Netzwerk oder eine Anwendung – mit dem Ziel, Schwachstellen vor echten Angreifern zu finden. Empfohlen im Rahmen von ISO 27001 und NIS2 als Teil des Risikomanagements.
R
Resilienz
Fähigkeit eines Systems oder einer Organisation, Störungen standzuhalten, sich anzupassen und schnell zu erholen. Im Industriekontext: Aufrechterhaltung kritischer Prozesse trotz Stromausfall, Cyberangriff oder anderen Krisenszenarien. Resilienz-Check →
RPO
Recovery Point ObjectiveMaximaler tolerierbarer Datenverlust bei einem Systemausfall – ausgedrückt als Zeitspanne. RPO = 4h bedeutet: Datenverlust von maximal 4 Stunden ist akzeptabel. Bestimmt die erforderliche Backup-Frequenz.
RTO
Recovery Time ObjectiveMaximale tolerable Ausfallzeit eines Systems oder Prozesses bis zur vollständigen Wiederherstellung. RTO = 2h bedeutet: Das System muss innerhalb von 2 Stunden nach einem Ausfall wieder funktionsfähig sein. Gegenstück zum RPO.
S
SAIDI
System Average Interruption Duration IndexEnergieKennzahl für die durchschnittliche Stromunterbrechungsdauer je Kunde pro Jahr (in Minuten). In Deutschland 2024: 11,7 Minuten (Bundesnetzagentur). Maßstab für die Zuverlässigkeit der Stromversorgung – international einer der niedrigsten Werte weltweit.
SBOM
Software Bill of MaterialsCRAMaschinenlesbare Liste aller Softwarekomponenten, Bibliotheken und Abhängigkeiten eines Produkts – vergleichbar einer Zutatenliste. Pflicht nach CRA. Standardformate: SPDX (ISO/IEC 5962) und CycloneDX.
SCADA
Supervisory Control and Data AcquisitionOTSteuerungs- und Überwachungssystem für verteilte Anlagen (Stromnetze, Wasserwerke, Pipelines). SCADA-Systeme sammeln Sensordaten und ermöglichen Fernsteuerung. Primäres Angriffsziel bei Angriffen auf KRITIS-Infrastrukturen.
Security by Design
CRAPrinzip, Sicherheitsanforderungen von Beginn der Produktentwicklung an einzubauen – nicht nachträglich. Kernpflicht des CRA: minimale Angriffsfläche, sichere Standardkonfiguration, keine hartkodierten Zugangsdaten.
SIEM
Security Information and Event ManagementPlattform zur zentralen Sammlung, Korrelation und Analyse von Sicherheitsereignissen aus verschiedenen IT/OT-Quellen in Echtzeit. Ermöglicht frühzeitige Angriffserkennung und ist Grundlage des NIS2-Monitoring-Anforderungen.
V
Z
Zero Trust
Sicherheitsmodell nach dem Prinzip "Vertraue niemandem, verifiziere alles" – auch intern. Kein Gerät oder Nutzer erhält automatisch Vertrauen, jede Anfrage wird authentifiziert und autorisiert. Gegenmodell zur klassischen Perimeter-Sicherheit mit vertrauenswürdigem Intranet.
Quellen & Methodik: Die Definitionen basieren auf den amtlichen Rechtstexten und Behördenveröffentlichungen zu den jeweiligen Begriffen – u. a. Verordnung (EU) 2024/2847 (CRA), NIS-2-Richtlinie (EU) 2022/2555 & NIS2UmsuCG (BGBl. 2024 I Nr. 307), KRITIS-Dachgesetz & CER-Richtlinie (EU) 2022/2557, DORA-Verordnung (EU) 2022/2554, ISO/IEC 27001:2022, BSI-Standards 200-x sowie BSI-, ENISA- und Bundesnetzagentur-Veröffentlichungen (SAIDI-Wert 2024: 11,7 Min./Jahr). Fachbegriffe sind allgemein verständlich zusammengefasst und ersetzen keine Rechts- oder Fachberatung. Zuletzt aktualisiert: Juli 2026.