Glossar

A

Aktiv ausgenutzte Schwachstelle

Begriff des CRA: eine Schwachstelle, für deren Ausnutzung durch einen böswilligen Akteur verlässliche Nachweise vorliegen. Löst die Meldepflicht nach Art. 14 CRA aus. Mehr dazu: CRA

Assessment-Level

Prüftiefe bei TISAX: AL1 reine Selbstbewertung ohne Label, AL2 Plausibilitätsprüfung mit Nachweisen und Interviews, meist aus der Ferne, AL3 umfassende Prüfung vor Ort. Welches Level nötig ist, folgt aus dem Label. Mehr dazu: TISAX

AV/AVV (Auftragsverarbeitung / Auftragsverarbeitungsvertrag)

Verarbeitet ein Dienstleister personenbezogene Daten in Ihrem Auftrag, ist ein Vertrag nach Art. 28 DSGVO nötig. Er regelt u. a. Weisungsbindung, Unterauftragnehmer und TOM. Mehr dazu: DSGVO

B

BBK (Bundesamt für Bevölkerungsschutz und Katastrophenhilfe)

Zentrale Anlaufstelle und zuständige Behörde nach dem KRITIS-Dachgesetz für die physische Resilienz kritischer Anlagen. Betreiber registrieren ihre kritischen Anlagen über eine gemeinsame Registrierungsmöglichkeit von BBK und BSI. Mehr dazu: KRITIS-Dachgesetz

BCM (Business Continuity Management)

Planen und Üben, wie kritische Geschäftsprozesse bei Störungen weiterlaufen oder schnell wiederhergestellt werden, z. B. nach ISO 22301 oder BSI-Standard 200-4. NIS2 verlangt Aufrechterhaltung des Betriebs und Krisenmanagement. Mehr dazu: Notfallmanagement (BCM)

Betroffenenrechte (Rechte der betroffenen Person)

Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch und Schutz vor ausschließlich automatisierten Entscheidungen (Art. 15 bis 22 DSGVO). Antwort in der Regel innerhalb eines Monats (Art. 12 Abs. 3 DSGVO). Mehr dazu: DSGVO

BIA (Business-Impact-Analyse)

Analyse, wie schwer der Schaden wird, wenn ein Geschäftsprozess über eine bestimmte Zeit ausfällt. Daraus folgen die maximal tolerierbare Ausfallzeit, die Kritikalität und die Wiederanlaufziele. Mehr dazu: Notfallmanagement (BCM)

BSI (Bundesamt für Sicherheit in der Informationstechnik)

Die Cybersicherheitsbehörde des Bundes. Nimmt Meldungen nach § 32 BSIG entgegen, beaufsichtigt NIS2-Einrichtungen und gibt den IT-Grundschutz heraus. Mehr dazu: NIS2

BSIG (Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSI-Gesetz))

Regelt die Aufgaben des BSI und die Pflichten besonders wichtiger und wichtiger Einrichtungen, u. a. Registrierung (§ 33), Risikomanagement (§ 30) und Meldepflichten (§ 32). Mehr dazu: NIS2

C

CE (CE-Kennzeichnung)

Kennzeichnung, mit der der Hersteller erklärt, dass ein Produkt die geltenden EU-Harmonisierungsvorschriften erfüllt, z. B. Maschinenverordnung, RED und CRA. Voraussetzung ist eine Konformitätsbewertung. Mehr dazu: CRA

Conduit (Kommunikationskanal nach IEC 62443)

Zusammenfassung der Kommunikationswege zwischen Zonen, z. B. eine Firewall-Verbindung mit festgelegten Protokollen. Auch für Conduits wird ein SL-T festgelegt. Mehr dazu: IEC 62443

CPE (Common Platform Enumeration)

Standardisierter Name für Hardware, Betriebssystem oder Anwendung samt Version, z. B. cpe:2.3:h:hersteller:produkt:version. Dient dem Abgleich mit Schwachstellendatenbanken wie der NVD. Mehr dazu: Vulnerability-Management

CRA (Cyber Resilience Act, Verordnung (EU) 2024/2847)

EU-Verordnung mit Cybersicherheitsanforderungen an Produkte mit digitalen Elementen über den ganzen Lebenszyklus, einschließlich Schwachstellenbehandlung. Die Meldepflichten der Hersteller (Art. 14) gelten ab 11. September 2026, die übrigen Pflichten ab 11. Dezember 2027. Mehr dazu: CRA

CSAF (Common Security Advisory Framework)

Maschinenlesbares Format (OASIS-Standard, JSON) für Sicherheitshinweise von Herstellern, mit betroffenen Produkten und Versionen, Maßnahmen und einem Profil für VEX. Hersteller veröffentlichen es über eine provider-metadata.json, meist signiert. Vom BSI empfohlen. Mehr dazu: Vulnerability-Management

CSIRT (Computer Security Incident Response Team)

Stelle, die Sicherheitsvorfälle entgegennimmt und koordiniert. Nach dem CRA gehen Meldungen über die Meldeplattform der ENISA an das als Koordinator benannte CSIRT des Mitgliedstaats Ihrer Hauptniederlassung. Mehr dazu: NIS2

CVD (Coordinated Vulnerability Disclosure (koordinierte Offenlegung von Schwachstellen))

Verfahren, in dem Meldende und Hersteller den Umgang mit einer Schwachstelle und den Zeitpunkt der Veröffentlichung abstimmen. Der CRA verlangt von Herstellern eine solche Strategie (Anhang I Teil II Nr. 5). Mehr dazu: CRA

CVE (Common Vulnerabilities and Exposures)

Weltweit eindeutige Kennung einer öffentlich bekannten Schwachstelle, z. B. CVE-2024-3400. Vergeben im CVE-Programm von dazu berechtigten Stellen (CNA). Mehr dazu: Vulnerability-Management

CVSS (Common Vulnerability Scoring System)

Bewertet den Schweregrad einer Schwachstelle von 0,0 bis 10,0 (keine bis kritisch), herausgegeben von FIRST, verbreitet in Version 3.1 und 4.0. Sagt nichts darüber, ob die Schwachstelle tatsächlich ausgenutzt wird. Mehr dazu: Vulnerability-Management

CWE (Common Weakness Enumeration)

Katalog typischer Schwachstellenarten in Software und Hardware (MITRE), z. B. CWE-787 „Schreiben außerhalb der Speichergrenzen“ oder CWE-79 „Cross-Site Scripting“. Ordnet eine CVE ihrer Ursache zu. Mehr dazu: Vulnerability-Management

CycloneDX (OWASP CycloneDX (ECMA-424))

Offenes Format für SBOMs (JSON oder XML) von OWASP, als ECMA-424 standardisiert. Beschreibt Komponenten mit Lieferant, purl, Lizenz, Prüfsummen und Abhängigkeiten und kann auch VEX-Aussagen enthalten. Mehr dazu: Asset-Management

D

Datenpanne (Verletzung des Schutzes personenbezogener Daten)

Sicherheitsverletzung, die zu Vernichtung, Verlust, Veränderung, unbefugter Offenlegung von oder unbefugtem Zugang zu personenbezogenen Daten führt (Art. 4 Nr. 12 DSGVO). Meldung an die Aufsichtsbehörde möglichst binnen 72 Stunden, bei hohem Risiko auch Benachrichtigung der Betroffenen (Art. 34). Mehr dazu: DSGVO

Defense in Depth (gestaffelte Verteidigung)

Sicherheitskonzept mit mehreren unabhängigen Schutzschichten, von denen jede auch dann schützt, wenn eine andere überwunden ist (IEC 62443-4-1 SD-2). Mehr dazu: IEC 62443

DMZ (Demilitarisierte Zone)

Eigenes Netzsegment zwischen zwei Netzen, z. B. Büro-IT und OT, über das Daten nur kontrolliert ausgetauscht werden. Direkte Verbindungen zwischen den Netzen entfallen. Mehr dazu: IEC 62443

DSB (Datenschutzbeauftragte bzw. Datenschutzbeauftragter)

Berät und überwacht den Verantwortlichen in Datenschutzfragen, ist dabei weisungsfrei und Anlaufstelle für die Aufsichtsbehörde (Art. 37 bis 39 DSGVO). Ob eine Benennung Pflicht ist, hängt von der Tätigkeit und vom nationalen Recht ab (in Deutschland § 38 BDSG). Mehr dazu: DSGVO

DSFA (Datenschutz-Folgenabschätzung)

Vorab durchzuführende Bewertung von Verarbeitungen mit voraussichtlich hohem Risiko für die Betroffenen: Beschreibung, Notwendigkeit, Risiken und Abhilfemaßnahmen (Art. 35 Abs. 7 DSGVO). Bleibt ein hohes Risiko, ist vorher die Aufsichtsbehörde zu konsultieren (Art. 36). Mehr dazu: DSGVO

DSGVO (Datenschutz-Grundverordnung, Verordnung (EU) 2016/679)

EU-Verordnung zum Schutz personenbezogener Daten. Für die Informationssicherheit besonders wichtig: Art. 32 (Sicherheit der Verarbeitung) und Art. 33 (Meldung von Datenschutzverletzungen binnen 72 Stunden). Mehr dazu: DSGVO

E

EN 18031 (Harmonisierte Normen EN 18031-1, -2 und -3)

Europäische Normen mit Cybersicherheitsanforderungen an Funkanlagen nach RED: Teil 1 Schutz des Netzes, Teil 2 Schutz personenbezogener Daten, Teil 3 Schutz vor Betrug. Mehr dazu: Funkanlagenrichtlinie

ENISA (Agentur der Europäischen Union für Cybersicherheit)

EU-Agentur für Cybersicherheit. Betreibt u. a. die einheitliche Meldeplattform für Meldungen nach dem CRA und die europäische Schwachstellendatenbank (EUVD). Mehr dazu: CRA

EoL (End of Life / End of Support)

Zeitpunkt, ab dem der Hersteller ein Produkt nicht mehr unterstützt, insbesondere keine Sicherheitsupdates mehr liefert (Ende der Herstellerunterstützung). Manche Hersteller bieten danach noch kostenpflichtige erweiterte Sicherheitsupdates (ESU). Solche Assets brauchen Ersatz oder dokumentierte ausgleichende Maßnahmen. Mehr dazu: Asset-Management

EPSS (Exploit Prediction Scoring System)

Von FIRST täglich berechnete Wahrscheinlichkeit (0 bis 1), dass eine Schwachstelle in den nächsten 30 Tagen ausgenutzt wird. Ergänzt CVSS bei der Priorisierung. Mehr dazu: Vulnerability-Management

Erheblicher Sicherheitsvorfall

Sicherheitsvorfall, der schwere Betriebsstörungen oder finanzielle Verluste verursacht oder andere erheblich schädigt oder schädigen kann. Löst die Meldepflicht nach § 32 BSIG aus. Mehr dazu: NIS2

EU-Konformitätserklärung (DoC, Declaration of Conformity)

Erklärung des Herstellers, dass sein Produkt die grundlegenden Anforderungen der anwendbaren EU-Rechtsakte erfüllt. Mit ihr übernimmt er die Verantwortung; sie ist Voraussetzung für die CE-Kennzeichnung. Mehr dazu: CRA

EUVD (European Vulnerability Database (europäische Schwachstellendatenbank))

Von der ENISA nach Art. 12 Abs. 2 NIS2 betriebene Datenbank öffentlich bekannter Schwachstellen in IKT-Produkten und -Diensten. Mehr dazu: Vulnerability-Management

F

Frühwarnung (im BSIG: frühe Erstmeldung)

Erste Meldestufe: spätestens 24 Stunden nach Kenntnis eines erheblichen Sicherheitsvorfalls (Art. 23 NIS2) bzw. einer aktiv ausgenutzten Schwachstelle oder eines schwerwiegenden Vorfalls (Art. 14 CRA). Das BSIG nennt sie „frühe Erstmeldung“ (§ 32 BSIG). Mehr dazu: NIS2

G

Gap-Analyse

Selbstbewertung, wie weit eine Maßnahme heute umgesetzt ist, verglichen mit dem Zielniveau. Die Differenz ist die Lücke. Mehr dazu: Compliance-Management

H

HinSchG (Hinweisgeberschutzgesetz)

Deutsches Gesetz zum Schutz von Personen, die Verstöße melden; setzt die Richtlinie (EU) 2019/1937 um. Beschäftigungsgeber ab 50 Beschäftigten müssen eine interne Meldestelle einrichten. Mehr dazu: HinSchG

Hochrisiko-KI-System

KI-System, das als Sicherheitsbauteil eines Produkts nach Anhang I mit Drittprüfung eingesetzt wird (Art. 6 Abs. 1) oder in einem Bereich nach Anhang III, etwa Personalauswahl oder Kreditwürdigkeit (Art. 6 Abs. 2). KI ausschließlich zur Qualitätskontrolle gilt nicht als Sicherheitsbauteil. Mehr dazu: KI-Verordnung

I

IACS (Industrial Automation and Control System)

Industrielles Automatisierungs- und Steuerungssystem: Personal, Hardware, Software und Regeln, die den sicheren Betrieb eines industriellen Prozesses ermöglichen. Zentraler Begriff der IEC 62443. Mehr dazu: IEC 62443

IEC 62443 (Normenreihe ISA/IEC 62443)

Normenreihe zur Security industrieller Automatisierungs- und Steuerungssysteme (IACS), mit Teilen für Betreiber (2-x), Systeme (3-x) und Komponentenhersteller (4-x). Kernbegriffe sind Zonen, Conduits und Security Level. Mehr dazu: IEC 62443

ISB (Informationssicherheitsbeauftragte bzw. Informationssicherheitsbeauftragter)

Person, die das ISMS koordiniert, die Leitung berät und ihr über den Stand der Informationssicherheit berichtet. Häufig auch CISO genannt. Mehr dazu: ISO 27001

ISMS (Informationssicherheits-Managementsystem)

Regeln, Prozesse und Zuständigkeiten, mit denen eine Organisation Informationssicherheit planmäßig steuert, überprüft und verbessert, z. B. nach ISO 27001 oder IT-Grundschutz. Mehr dazu: ISO 27001

ISO 27001 (ISO/IEC 27001)

Internationale Norm mit Anforderungen an ein ISMS. Zertifizierbar; Anhang A der Fassung 2022 enthält 93 Maßnahmen. Mehr dazu: ISO 27001

ISO 27002 (ISO/IEC 27002)

Leitfaden zu den Maßnahmen aus Anhang A der ISO 27001 mit Zweck und Umsetzungshinweisen. Nicht zertifizierbar. Mehr dazu: ISO 27001

IT-Grundschutz (BSI IT-Grundschutz (BSI-GS))

Methodik des BSI aus den BSI-Standards 200-1 bis 200-4 und dem IT-Grundschutz-Kompendium, mit der sich ein ISMS aufbauen und nach ISO 27001 auf Basis von IT-Grundschutz zertifizieren lässt. Mehr dazu: IT-Grundschutz

K

KEV (Known Exploited Vulnerabilities Catalog)

Liste der US-Behörde CISA mit Schwachstellen, die nachweislich ausgenutzt werden. Guter Anhaltspunkt, was zuerst behoben werden sollte. Mehr dazu: Vulnerability-Management

KI-Kompetenz

Fähigkeiten, Kenntnisse und Verständnis für den sachkundigen Einsatz von KI-Systemen (Art. 3 Nr. 56). Anbieter und Betreiber ergreifen seit 2. Februar 2025 Maßnahmen, um die KI-Kompetenz ihres Personals zu unterstützen; seit der Verordnung (EU) 2026/1744 ohne Garantie eines bestimmten Niveaus. Mehr dazu: KI-Verordnung

KI-Modell mit allgemeinem Verwendungszweck (GPAI-Modell, General-Purpose AI Model)

KI-Modell mit erheblicher allgemeiner Verwendbarkeit, das viele unterschiedliche Aufgaben erfüllen und in nachgelagerte Systeme integriert werden kann, etwa ein großes Sprachmodell. Pflichten der Modellanbieter: Kapitel V (Art. 53, 55). Mehr dazu: KI-Verordnung

KI-System

Maschinengestütztes System, das mit unterschiedlichem Grad an Autonomie arbeitet und aus Eingaben ableitet, wie es Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen erzeugt. Software mit rein festen, von Menschen definierten Regeln ist in der Regel kein KI-System. Mehr dazu: KI-Verordnung

KI-VO (KI-Verordnung, Verordnung (EU) 2024/1689)

EU-Verordnung mit harmonisierten Vorschriften für künstliche Intelligenz: Verbote bestimmter Praktiken, Anforderungen an Hochrisiko-KI-Systeme, Transparenzpflichten und KI-Kompetenz. Geändert durch die Verordnung (EU) 2026/1744; die Pflichten für Hochrisiko-KI-Systeme gelten nach Anhang III ab 2. Dezember 2027, nach Anhang I ab 2. August 2028. Mehr dazu: KI-Verordnung

Konformitätsbewertung

Verfahren, mit dem geprüft wird, ob ein Produkt die grundlegenden Anforderungen erfüllt, z. B. die Cybersicherheitsanforderungen des CRA. Je nach Produkt durch den Hersteller selbst oder unter Beteiligung einer notifizierten Stelle. Mehr dazu: CRA

KRITIS (Kritische Infrastrukturen)

Anlagen, deren Ausfall zu erheblichen Versorgungsengpässen oder Gefahren für die öffentliche Sicherheit führen würde, z. B. in Energie, Wasser oder Gesundheit. Betreiber kritischer Anlagen haben nach BSIG und KRITIS-Dachgesetz zusätzliche Pflichten. Mehr dazu: KRITIS-Dachgesetz

M

MaschinenVO (Maschinenverordnung, Verordnung (EU) 2023/1230)

Löst ab 20. Januar 2027 die Maschinenrichtlinie 2006/42/EG ab. Enthält erstmals Anforderungen zum Schutz gegen Korrumpierung, also zur Cybersicherheit von Steuerungen und Software (Anhang III). Mehr dazu: Maschinenverordnung

MITRE ATT&CK (Wissensbasis der MITRE Corporation zu Angriffstaktiken und -techniken)

Öffentliche Wissensbasis realer Angriffe: Was wollen Angreifer erreichen (Taktik), wie gehen sie vor (Technik), was hilft dagegen (Mitigation)? Zwei Matrizen: Enterprise für IT, ICS für Steuerungen und Anlagen. IDs wie T1133 (Externe Fernzugänge) oder T0883 (Internet-erreichbares Gerät, ICS) beschreiben Szenarien einheitlich.

MTPD (Maximum Tolerable Period of Disruption (maximal tolerierbare Ausfallzeit))

Längste Zeit, die ein Prozess ausfallen darf, bevor der Schaden für das Unternehmen nicht mehr tragbar ist. Die Wiederanlaufzeit (RTO) muss kürzer sein. Mehr dazu: Notfallmanagement (BCM)

N

NIS2 (Richtlinie (EU) 2022/2555)

EU-Richtlinie für ein hohes gemeinsames Cybersicherheitsniveau. Sie verpflichtet wesentliche und wichtige Einrichtungen zu Risikomanagement und zur Meldung erheblicher Sicherheitsvorfälle; in Deutschland umgesetzt im BSIG. Mehr dazu: NIS2

NIS2UmsuCG (NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz)

Deutsches Gesetz zur Umsetzung der NIS2-Richtlinie. Kern ist die Neufassung des BSI-Gesetzes (BSIG) mit Pflichten für besonders wichtige und wichtige Einrichtungen. Mehr dazu: NIS2

Notifizierte Stelle (auch benannte Stelle, Notified Body)

Unabhängige Konformitätsbewertungsstelle, die ein Mitgliedstaat der EU-Kommission gemeldet hat. Sie ist z. B. für wichtige Produkte der Klasse II und kritische Produkte nach dem CRA oder für bestimmte Maschinen aus Anhang I MaschinenVO einzubeziehen. Mehr dazu: CRA

NVD (National Vulnerability Database)

Schwachstellendatenbank des US-amerikanischen NIST. Ergänzt CVEs um CVSS-Bewertungen, Schwachstellenarten (CWE) und betroffene Produkte als CPE mit Versionsbereichen. Mehr dazu: Vulnerability-Management

O

OT (Operational Technology)

Hard- und Software, die physische Prozesse überwacht und steuert, z. B. SPS, HMI und SCADA in Fertigung, Energie oder Wasser. Verfügbarkeit und Sicherheit von Menschen und Anlagen haben hier meist Vorrang. Mehr dazu: Asset-Management

P

Pseudonymisierung (Pseudonymisierung personenbezogener Daten)

Verarbeitung, nach der Daten ohne gesondert aufbewahrte Zusatzinformationen keiner Person mehr zugeordnet werden können (Art. 4 Nr. 5 DSGVO). Pseudonymisierte Daten bleiben personenbezogen, senken aber das Risiko. Mehr dazu: DSGVO

PSIRT (Product Security Incident Response Team)

Team eines Herstellers, das Schwachstellenmeldungen zu den eigenen Produkten annimmt, bewertet, behebt und Sicherheitshinweise veröffentlicht. Hilft bei der Schwachstellenbehandlung nach Anhang I Teil II CRA. Mehr dazu: CRA

Purdue-Modell (Purdue Enterprise Reference Architecture)

Schichtenmodell für Industrienetze: Ebene 0 Feldgeräte, 1 Steuerung (SPS), 2 Überwachung (HMI, SCADA), 3 Betriebsleitebene (MES), 3.5 Industrie-DMZ, 4 und 5 Unternehmens-IT und Internet. Hilft bei der Einteilung in Zonen. Mehr dazu: IEC 62443

R

RED (Radio Equipment Directive, Funkanlagenrichtlinie 2014/53/EU)

EU-Richtlinie für Funkanlagen. Seit 1. August 2025 gelten über die Delegierte Verordnung (EU) 2022/30 Cybersicherheitsanforderungen (Art. 3 Abs. 3 d, e, f) für vernetzte Funkgeräte, konkretisiert durch EN 18031. Mehr dazu: Funkanlagenrichtlinie

RTO/RPO (Recovery Time Objective / Recovery Point Objective)

RTO (Wiederanlaufzeit): Ziel, bis wann ein Prozess oder Dienst nach einem Ausfall wieder läuft; sie muss kürzer sein als die maximal tolerierbare Ausfallzeit (MTPD). RPO: maximal tolerierter Datenverlust, gemessen als Zeitraum seit der letzten Sicherung. Mehr dazu: Notfallmanagement (BCM)

S

SBOM (Software Bill of Materials (Software-Stückliste))

Maschinenlesbare Liste der Softwarekomponenten eines Produkts und ihrer Abhängigkeiten, z. B. im Format CycloneDX oder SPDX. Der CRA verlangt sie von Herstellern (Anhang I Teil II). Mehr dazu: Asset-Management

SCADA (Supervisory Control and Data Acquisition)

System zur Überwachung und Steuerung verteilter Anlagen mit Visualisierung, Alarmen und Datenerfassung. Purdue-Ebene 2. Mehr dazu: Asset-Management

SDL (Secure Development Lifecycle (sicherer Entwicklungsprozess))

Dokumentierter Entwicklungsprozess, der Sicherheit von den Anforderungen über Design, Implementierung und Tests bis zu Updates und Außerbetriebnahme verankert. Für Hersteller industrieller Komponenten beschreibt IEC 62443-4-1 die Anforderungen in acht Practices. Mehr dazu: IEC 62443 Hersteller

SL-T (Security Level Target)

IEC 62443: angestrebtes Schutzniveau einer Zone oder eines Conduits (SL 1 bis SL 4), abgeleitet aus der Risikobeurteilung. Mehr dazu: IEC 62443

SoA (Statement of Applicability (Erklärung zur Anwendbarkeit))

Pflichtdokument nach ISO 27001. Es nennt für jede Maßnahme aus Anhang A, ob sie angewendet wird, mit Begründung und Umsetzungsstand. Mehr dazu: ISO 27001

SPDX (Software Package Data Exchange (ISO/IEC 5962))

Offenes Format der Linux Foundation für SBOMs und Lizenzangaben, als ISO/IEC 5962 genormt. Die SPDX-Lizenzkennungen (z. B. MIT, Apache-2.0) nutzen auch andere Formate. Mehr dazu: Asset-Management

SPS/PLC (Speicherprogrammierbare Steuerung / Programmable Logic Controller)

Industriesteuerung, die Sensoren einliest und Aktoren nach einem Programm ansteuert, z. B. Siemens S7. Purdue-Ebene 1. Mehr dazu: Asset-Management

T

TISAX (Trusted Information Security Assessment Exchange)

Verfahren der Automobilindustrie, mit dem Unternehmen ihre Informationssicherheit von einem zugelassenen Audit-Anbieter prüfen lassen und das Ergebnis über die ENX-Plattform mit Partnern teilen. Ergebnis ist ein Label, kein Zertifikat. TISAX® ist eine eingetragene Marke der ENX Association. Mehr dazu: TISAX

TOM (Technische und organisatorische Maßnahmen)

Maßnahmen zur Sicherheit der Verarbeitung personenbezogener Daten nach Art. 32 DSGVO, z. B. Verschlüsselung, Zugriffskontrolle und Datensicherung. Mehr dazu: DSGVO

V

VDA ISA (Information Security Assessment des VDA)

Fragenkatalog des Verbands der Automobilindustrie, gegen den ein TISAX-Assessment prüft, mit den Modulen Informationssicherheit, Prototypenschutz und Datenschutz. Mehr dazu: TISAX

VEX (Vulnerability Exploitability eXchange)

Maschinenlesbare Aussage, ob eine bekannte Schwachstelle ein Produkt tatsächlich betrifft (z. B. „nicht betroffen“, „betroffen“, „behoben“). Ergänzt die SBOM, wird im CRA aber nicht ausdrücklich verlangt. Mehr dazu: Vulnerability-Management

VVT (Verzeichnis von Verarbeitungstätigkeiten)

Pflichtverzeichnis nach Art. 30 DSGVO mit Zwecken, Betroffenen, Datenkategorien, Empfängern, Drittlandübermittlungen, Löschfristen und TOM je Verarbeitungstätigkeit. Die Aufsichtsbehörde kann es jederzeit anfordern. Mehr dazu: DSGVO

W

Wirtschaftsakteur

Oberbegriff für Hersteller, Bevollmächtigte, Einführer und Händler. Jede Rolle hat eigene Pflichten; wer ein Produkt unter eigenem Namen vertreibt oder wesentlich ändert, wird selbst zum Hersteller. Mehr dazu: CRA

Z

Zone (Sicherheitszone nach IEC 62443)

Gruppe von Assets mit gleichen Sicherheitsanforderungen, z. B. eine Fertigungszelle. Für jede Zone wird ein SL-T festgelegt. Mehr dazu: IEC 62443

Die Erklärungen sind vereinfacht und ersetzen keine Rechtsberatung. Maßgeblich sind die jeweiligen Gesetze und Normen.