30+ Begriffe · NIS2 · KRITIS · CRA · ISO 27001 · Resilienz
Glossar – Fachbegriffe erklärt
Von SBOM bis Zero Trust: Alle wichtigen Begriffe aus Cybersicherheit, Betriebsresilienz und EU-Regulierung – kompakt und ohne Juristendeutsch.
Kein Begriff gefunden – versuchen Sie eine andere Schreibweise.
A
AngriffsflächeAttack Surface
Gesamtheit aller potenziellen Einstiegspunkte, über die ein Angreifer in ein System eindringen könnte – offene Ports, Schnittstellen, Benutzerkonten, veraltete Software. Der CRA fordert explizit eine minimale Angriffsfläche für alle Produkte mit digitalen Elementen.
Asset (Informationswert)
Alles, was für ein Unternehmen einen Wert hat und geschützt werden muss: Daten, Software, Hardware, Prozesse, Wissen, Reputation. Im ISO-27001-ISMS bildet die Asset-Inventarisierung die Grundlage der Risikobeurteilung.
B
BBKBundesamt für Bevölkerungsschutz und KatastrophenhilfeKRITIS
Bundesbehörde für physische Resilienz kritischer Infrastrukturen. Zuständig für die Registrierung nach dem KRITIS-DachG (physische Aspekte). Nicht zu verwechseln mit dem BSI, das für Cybersicherheit zuständig ist.
BCMBusiness Continuity Management
Systematischer Ansatz, um die Fortführung kritischer Geschäftsprozesse auch bei Störungen sicherzustellen. Umfasst Notfallpläne, Wiederanlaufpläne und regelmäßige Übungen. Normiert in ISO 22301 und BSI-Standard 200-4.
BSIBundesamt für Sicherheit in der InformationstechnikBehörde
Nationale Cybersicherheitsbehörde Deutschlands. Gibt den IT-Grundschutz heraus, ist Anlaufstelle für NIS2-Registrierung und Cybervorfallsmeldungen, und nimmt unter dem KRITIS-DachG die Cyberanteile der kritischen Infrastruktur wahr.
C
CE-KennzeichenCRA
Europäisches Konformitätskennzeichen. Der CRA führt das CE-Kennzeichen für Produkte mit digitalen Elementen ein – es bestätigt die Einhaltung der CRA-Sicherheitsanforderungen. Ab Dezember 2027 Pflicht für alle vernetzten Produkte in der EU.
CER-Richtlinie(EU) 2022/2557KRITIS
EU-Richtlinie über die Resilienz kritischer Einrichtungen. Nationale Grundlage: das KRITIS-Dachgesetz (in Deutschland in Kraft seit 17. März 2026). Betrifft physische Resilienz in 11 Sektoren.
CRACyber Resilience Act · (EU) 2024/2847Regulierung
EU-Verordnung für Cybersicherheit von Produkten mit digitalen Elementen. Gilt für Hersteller und Importeure. Vollständig anwendbar ab 11. Dezember 2027. Mehr zum CRA →
CVDCoordinated Vulnerability Disclosure
Strukturierter Prozess zur Meldung und Behebung von Sicherheitslücken – koordiniert zwischen Entdecker (Forscher), Hersteller und ggf. CERT/Behörden. Der CRA verpflichtet Hersteller, einen CVD-Prozess zu etablieren.
D
DORADigital Operational Resilience Act · (EU) 2022/2554Regulierung
EU-Verordnung zur digitalen Betriebsresilienz für den Finanzsektor (Banken, Versicherungen, Wertpapierfirmen). Gilt seit Januar 2025. Regelt ICT-Risikomanagement, Vorfallsmeldung, Resilienztests und IKT-Drittparteienmanagement. Mehr zu DORA →
DRPDisaster Recovery Plan
Wiederherstellungsplan für IT-Systeme nach einem Ausfall oder einer Katastrophe. Konkretisiert, wie und in welcher Reihenfolge Systeme nach einem Vorfall wieder in Betrieb genommen werden. Eng verzahnt mit RPO und RTO.
E
ENISAEuropean Union Agency for CybersecurityBehörde
EU-Agentur für Cybersicherheit mit Sitz in Athen und Brüssel. Empfänger der Schwachstellenmeldungen nach dem CRA (24h/72h-Meldepflicht). Veröffentlicht jährlich den ENISA Threat Landscape Report.
EUCCEU Cybersecurity Certification SchemeCRA
Europäisches Zertifizierungsschema für IKT-Produkte, entwickelt auf Basis der Common Criteria. Für kritische Produktklassen unter dem CRA verpflichtende Zertifizierungsgrundlage.
I
ICSIndustrial Control SystemOT
Oberbegriff für Steuerungs- und Regelungssysteme in der Industrie: SPS (Speicherprogrammierbare Steuerung), DCS (Distributed Control System) und SCADA-Systeme. ICS-Sicherheit ist ein Kernthema bei KRITIS-Betreibern.
ISMSInformationssicherheits-Managementsystem
Systematischer Rahmen aus Richtlinien, Prozessen und Maßnahmen zur Steuerung der Informationssicherheit eines Unternehmens. Grundlage der ISO 27001-Zertifizierung. Folgt dem PDCA-Zyklus (Plan–Do–Check–Act).
ISO/IEC 27001:2022Norm
Internationale Norm für Informationssicherheits-Managementsysteme. 93 Controls in Anhang A (Stand 2022). Grundlage für Zertifizierungen durch DAkkS-akkreditierte Stellen. Ausführlich erklärt →
K
KRITISKritische InfrastrukturenRegulierung
Organisationen und Einrichtungen, deren Ausfall erhebliche Folgen für die Gesellschaft hätte. Das KRITIS-DachG definiert 11 Sektoren: Energie, Verkehr, Banken, Finanzmarkt, Gesundheit, Trinkwasser, Abwasser, Digitale Infrastruktur, IKT-Dienstleister, Raumfahrt, öffentliche Verwaltung.
KRITIS-DachGKRITIS-Dachgesetz · In Kraft 17. März 2026Regulierung
Deutsches Gesetz zur Resilienz kritischer Anlagen, umsetzt die CER-Richtlinie. Bußgelder bis 20 Mio. €. Registrierungspflicht ab 17. Juli 2026. Mehr zum KRITIS-DachG →
N
NIS2Network and Information Security Directive 2Regulierung
EU-Richtlinie zur Cybersicherheit wesentlicher und wichtiger Einrichtungen (18 Sektoren, ca. 29.500 Unternehmen in DE). In Deutschland umgesetzt durch das NIS2UmsuCG (in Kraft 6. Dezember 2025). NIS2-Check →
NIS2UmsuCGNIS-2-Umsetzungs- und CybersicherheitsstärkungsgesetzDE-Gesetz
Deutsches Umsetzungsgesetz der NIS2-Richtlinie. Veröffentlicht im BGBl. 2024 I Nr. 307. In Kraft getreten 6. Dezember 2025. Bußgelder für wesentliche Einrichtungen bis 10 Mio. € / 2 % Umsatz.
O
OTOperational TechnologyIndustrie
Hard- und Software zur direkten Steuerung und Überwachung physischer Prozesse – Maschinen, Anlagen, Infrastrukturen. Im Gegensatz zu IT (Informationsverarbeitung) steuert OT die physische Welt. OT-Systeme haben oft lange Lebenszyklen und waren historisch nicht für Netzwerkverbindung ausgelegt.
P
Patch Management
Systematischer Prozess zur Identifikation, Priorisierung und Einspielung von Software-Updates (Patches). Grundlegende Maßnahme gegen bekannte Schwachstellen. Der CRA verpflichtet Hersteller zu zeitnahen Sicherheits-Patches für mindestens 5 Jahre.
Penetrationstest (Pentest)
Autorisierter, simulierter Angriff auf ein System, Netzwerk oder eine Anwendung – mit dem Ziel, Schwachstellen vor echten Angreifern zu finden. Empfohlen im Rahmen von ISO 27001 und NIS2 als Teil des Risikomanagements.
R
Resilienz
Fähigkeit eines Systems oder einer Organisation, Störungen standzuhalten, sich anzupassen und schnell zu erholen. Im Industriekontext: Aufrechterhaltung kritischer Prozesse trotz Stromausfall, Cyberangriff oder anderen Krisenszenarien. Resilienz-Check →
RPORecovery Point Objective
Maximaler tolerierbarer Datenverlust bei einem Systemausfall – ausgedrückt als Zeitspanne. RPO = 4h bedeutet: Datenverlust von maximal 4 Stunden ist akzeptabel. Bestimmt die erforderliche Backup-Frequenz.
RTORecovery Time Objective
Maximale tolerable Ausfallzeit eines Systems oder Prozesses bis zur vollständigen Wiederherstellung. RTO = 2h bedeutet: Das System muss innerhalb von 2 Stunden nach einem Ausfall wieder funktionsfähig sein. Gegenstück zum RPO.
S
SAIDISystem Average Interruption Duration IndexEnergie
Kennzahl für die durchschnittliche Stromunterbrechungsdauer je Kunde pro Jahr (in Minuten). In Deutschland 2024: 11,7 Minuten (Bundesnetzagentur). Maßstab für die Zuverlässigkeit der Stromversorgung – international einer der niedrigsten Werte weltweit.
SBOMSoftware Bill of MaterialsCRA
Maschinenlesbare Liste aller Softwarekomponenten, Bibliotheken und Abhängigkeiten eines Produkts – vergleichbar einer Zutatenliste. Pflicht nach CRA. Standardformate: SPDX (ISO/IEC 5962) und CycloneDX.
SCADASupervisory Control and Data AcquisitionOT
Steuerungs- und Überwachungssystem für verteilte Anlagen (Stromnetze, Wasserwerke, Pipelines). SCADA-Systeme sammeln Sensordaten und ermöglichen Fernsteuerung. Primäres Angriffsziel bei Angriffen auf KRITIS-Infrastrukturen.
Security by DesignCRA
Prinzip, Sicherheitsanforderungen von Beginn der Produktentwicklung an einzubauen – nicht nachträglich. Kernpflicht des CRA: minimale Angriffsfläche, sichere Standardkonfiguration, keine hartkodierten Zugangsdaten.
SIEMSecurity Information and Event Management
Plattform zur zentralen Sammlung, Korrelation und Analyse von Sicherheitsereignissen aus verschiedenen IT/OT-Quellen in Echtzeit. Ermöglicht frühzeitige Angriffserkennung und ist Grundlage des NIS2-Monitoring-Anforderungen.
V
Z
Zero Trust
Sicherheitsmodell nach dem Prinzip "Vertraue niemandem, verifiziere alles" – auch intern. Kein Gerät oder Nutzer erhält automatisch Vertrauen, jede Anfrage wird authentifiziert und autorisiert. Gegenmodell zur klassischen Perimeter-Sicherheit mit vertrauenswürdigem Intranet.
Quellen & Methodik: Die Definitionen basieren auf den amtlichen Rechtstexten und Behördenveröffentlichungen zu den jeweiligen Begriffen – u. a. Verordnung (EU) 2024/2847 (CRA), NIS-2-Richtlinie (EU) 2022/2555 & NIS2UmsuCG (BGBl. 2024 I Nr. 307), KRITIS-Dachgesetz & CER-Richtlinie (EU) 2022/2557, DORA-Verordnung (EU) 2022/2554, ISO/IEC 27001:2022, BSI-Standards 200-x sowie BSI-, ENISA- und Bundesnetzagentur-Veröffentlichungen (SAIDI-Wert 2024: 11,7 Min./Jahr). Fachbegriffe sind allgemein verständlich zusammengefasst und ersetzen keine Rechts- oder Fachberatung. Zuletzt aktualisiert: Juli 2026.