Zweck: Das Glossar erklärt häufig verwendete Fachbegriffe in verständlicher Sprache und zeigt, in welchen Regelungsbereichen sie verwendet werden.
Aussagegrenze: Die Kurzdefinitionen dienen der Orientierung. Verbindlich bleiben die jeweils geltenden Rechtsvorschriften, Normtexte, VDA-ISA-Unterlagen, ENX-Regelungen, Verträge und organisationsbezogenen Festlegungen.
Pflegeprinzip: Der Begriff wird an dieser zentralen Stelle gepflegt. Fachseiten verlinken auf das Glossar oder erläutern nur die für ihren Prozess erforderliche Vertiefung. Dadurch soll doppelter und später widersprüchlicher Inhalt vermieden werden.
| Feld | Wert |
|---|---|
| Dokumenten-ID | ISMS-NAV-00-05 |
| Dokumentenart | Zentrales Fach- und Navigationsglossar |
| Wiki.js-Pfad | /ISMS/00-Start-und-Navigation/Compliance-Glossar |
| Verantwortlich | ISMS-Beauftragte/r mit Datenschutz-, NIS2- und TISAX-Koordination |
| Fachlich geprüft durch | Informationssicherheit, Datenschutz, NIS2-Koordination, TISAX-Koordination und Audit/QM |
| Freigabe durch | Geschäftsführung |
| Status | Entwurf – Definitionen und Verweise vor betrieblicher Nutzung prüfen |
| Version / Stand | 1.1 / 10.08.2026 |
| Nächste Prüfung | Spätestens zwölf Monate nach Freigabe sowie bei Rechts-, Norm-, ISA- oder Wiki-Änderungen |
| Schutzklasse | Öffentlich |
| Bezug | ISO/IEC 27001:2022, ISO/IEC 27000:2026, DSGVO, BDSG, NIS2/BSIG und VDA ISA 6.0.3/TISAX® |
Fachbegriffe suchen, verstehen und zwischen ISMS, DSGVO, NIS2 und TISAX® richtig abgrenzen. Eigene redaktionelle SVG-Grafik. Zum Vergrößern öffnen.
Das Glossar kann wie das Fotografie-Glossar über den A–Z-Direkteinstieg gelesen werden. Zusätzlich lassen sich Begriffe durchsuchen und nach Regelwerk filtern. Mehrere farbige Kennzeichnungen bedeuten, dass der Begriff in mehreren Bereichen vorkommt. Die Bedeutung kann sich je nach Kontext unterscheiden; entsprechende Abgrenzungen stehen direkt bei den Begriffen oder in Abschnitt 2.
– Begriffe werden angezeigt.
Festgestellter Unterschied zwischen einem geforderten oder festgelegten Sollzustand und dem nachgewiesenen Istzustand. Eine Abweichung benötigt Beschreibung, Ursache, Bewertung, Verantwortlichkeit und Behandlung; sie ist nicht schon durch das Anlegen eines Tickets behoben.
EU-Verordnung 2024/1689 mit einem risikobasierten Rechtsrahmen für künstliche Intelligenz. Welche Pflichten gelten, hängt unter anderem von Rolle, konkretem KI-System, Verwendungszweck, Risikoklasse und zeitlichem Anwendungsbeginn ab; eine reine Produktbezeichnung genügt nicht für die Einordnung.
Entscheidung der Europäischen Kommission, dass ein Drittland oder bestimmter Bereich ein angemessenes Datenschutzniveau bietet. Vor einer Übermittlung sind Geltungsbereich, Aktualität und die konkrete Verarbeitung zu prüfen.
Anhang A der ISO/IEC 27001:2022 mit 93 Referenzmaßnahmen. Die Organisation gleicht erforderliche Maßnahmen mit Annex A ab und dokumentiert ihre Entscheidungen in der Statement of Applicability; Annex A ist keine ungeprüft zu übernehmende Checkliste.
Zu erfüllende Erwartung aus Norm, Gesetz, Vertrag, Kundenforderung, interner Regel oder Risikobehandlung. Eine Anforderung ist vom umgesetzten Control und vom Nachweis seiner Durchführung oder Wirksamkeit zu unterscheiden.
Wert, Ressource oder anderes Schutzobjekt, das für die Organisation relevant ist. Dazu können Informationen, Prozesse, Dienste, Systeme, Anwendungen, Personen, Standorte und Lieferantenbeziehungen gehören. Das Asset-Inventar macht Owner, Kritikalität und Abhängigkeiten sichtbar.
Festgelegte Prüftiefe eines TISAX-Assessments. AL1 ist eine Selbsteinschätzung, AL2 umfasst grundsätzlich eine Plausibilitätsprüfung und AL3 eine umfassende Verifizierung. Das erforderliche Level folgt dem Bewertungsziel und der Anforderung des Partners, nicht einer freien Selbstauswahl.
Von der ENX Association zugelassene Prüforganisation, die ein TISAX-Assessment durchführt und das Ergebnis in den vorgesehenen Prozess einbringt. Sie ist vom bewerteten Teilnehmer und von dessen Beratung zu unterscheiden.
Der für ein TISAX-Assessment registrierte Prüfungsumfang mit Standorten und zugehörigen Aktivitäten. Der Scope muss die Leistungen für Partner sachgerecht abbilden; eine zu enge oder unklare Abgrenzung kann die Nutzbarkeit des Ergebnisses beeinträchtigen.
Vom Prüfdienstleister ermitteltes Ergebnis für den registrierten Scope und die vereinbarten Bewertungsziele. Es kann über das ENX-Portal gezielt mit berechtigten Partnern geteilt werden und ist keine ISO-Zertifizierung.
Systematischer, unabhängiger und dokumentierter Prozess, bei dem Nachweise gegen festgelegte Kriterien bewertet werden. Ein internes Audit, ein Zertifizierungsaudit und ein TISAX-Assessment unterscheiden sich in Zweck, Regeln und Ergebnis.
Stelle, die personenbezogene Daten im Auftrag eines Verantwortlichen verarbeitet. Entscheidend sind die tatsächlichen Zwecke, Mittel und Weisungen; die Überschrift eines Vertrags allein bestimmt die Rolle nicht.
Mögliche Ursache eines unerwünschten Ereignisses, die ein Asset oder einen Dienst schädigen kann, etwa Phishing, Feuer, Fehlbedienung oder Lieferantenausfall. Eine Bedrohung ist noch kein Risiko; dazu gehören auch betroffener Wert, Schwachstelle, Wahrscheinlichkeit und Auswirkung.
Ereignis, das die Sicherheit von Daten oder Diensten hätte beeinträchtigen können, dessen Eintritt aber verhindert wurde oder ausblieb. Beinahevorfälle sind wichtige Lernquellen und dürfen nicht allein deshalb verworfen werden, weil kein Schaden eingetreten ist.
Organisation oder Person, die ein KI-System in eigener Verantwortung verwendet, ausgenommen eine rein persönliche, nicht berufliche Nutzung. Betreiberpflichten sind von Pflichten des Anbieters, Importeurs oder Händlers zu unterscheiden; im Unternehmen müssen die tatsächlichen Rollen je Anwendung geklärt werden.
Dokumentierte Regeln dafür, wer aufgrund welcher Aufgabe auf welche Informationen, Systeme oder Funktionen zugreifen darf. Es umfasst Antrag, Genehmigung, Vergabe, Änderung, regelmäßige Überprüfung und Entzug.
Die in Artikel 9 DSGVO genannten besonders sensiblen Daten, etwa Gesundheitsdaten, biometrische Daten zur eindeutigen Identifizierung oder Angaben zu Religion und Gewerkschaft. Zusätzlich zur allgemeinen Rechtsgrundlage ist eine passende Ausnahme nach Artikel 9 Absatz 2 zu prüfen.
Gesetzlich bestimmte Kategorie betroffener Einrichtungen mit einem gegenüber wichtigen Einrichtungen differenzierten Aufsichts- und Sanktionsrahmen. Die Einstufung hängt von Sektor, Einrichtungsart, Größe, Sonderregeln und tatsächlicher Tätigkeit ab.
Identifizierte oder identifizierbare natürliche Person, auf die sich personenbezogene Daten beziehen. Unternehmen oder Behörden sind als solche keine betroffenen Personen; Angaben über handelnde Menschen können dennoch personenbezogen sein.
Rechte natürlicher Personen gegenüber Verantwortlichen, insbesondere auf Information, Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Voraussetzungen, Ausnahmen und Fristen werden für jedes Recht gesondert geprüft.
Im TISAX-Prozess gewähltes Schutzziel, das den anzuwendenden ISA-Inhalt und das erforderliche Assessment Level beeinflusst, etwa der Umgang mit Informationen mit hohem Schutzbedarf oder Prototypenschutz. Maßgeblich sind Partneranforderung und tatsächlicher Schutzbedarf.
Analyse der Auswirkungen eines Ausfalls über die Zeit. Sie priorisiert Prozesse und Dienste, identifiziert Abhängigkeiten und unterstützt die Festlegung von Wiederanlaufzielen wie RTO und RPO.
Digitaler Dienst, der skalierbare und elastische gemeinsam nutzbare Rechenressourcen bereitstellt. Für die Bewertung zählen nicht nur Speicherort und Vertrag, sondern auch Administration, Support, Unterauftragnehmer, Ausfallsicherheit, Rückgabe und Exit.
Regelung oder Handlung, die ein Risiko verändert oder eine Anforderung unterstützt. Ein Control kann organisatorisch, personell, physisch oder technisch sein. Seine bloße Beschreibung beweist weder Umsetzung noch Wirksamkeit.
Gesetzlich oder freiwillig benannte unabhängige Beratungs- und Überwachungsfunktion. Der DSB unterstützt und kontrolliert, übernimmt aber nicht die Ergebnisverantwortung des Verantwortlichen oder der Geschäftsleitung.
Verletzung der Sicherheit, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugang zu personenbezogenen Daten führt. Sie wird zusätzlich zum technischen Sicherheitsvorfall nach Artikel 33 und 34 DSGVO bewertet.
Grundsatz, nach dem personenbezogene Daten dem Zweck angemessen und auf das erforderliche Maß beschränkt sein müssen. Er betrifft Felder, Genauigkeit, Zugriff, Kopien, Protokolle, Exporte und Aufbewahrungsdauer.
Strukturierte Bewertung einer Verarbeitung, wenn voraussichtlich ein hohes Risiko für Rechte und Freiheiten besteht. Sie beschreibt Verarbeitung, Notwendigkeit, Risiken, Maßnahmen, Restrisiko, Beratung und gegebenenfalls die Prüfung einer vorherigen Konsultation.
Übermittlung oder sonstige Bereitstellung personenbezogener Daten an Empfänger außerhalb von EU und EWR. Neben der Rechtsgrundlage der Verarbeitung ist ein Instrument nach Kapitel V DSGVO und gegebenenfalls eine Transferprüfung erforderlich.
Information, die gelenkt erstellt, geprüft, freigegeben, verteilt, geändert, geschützt und archiviert wird. Eine veröffentlichte Wiki-Seite ist nicht allein durch ihre technische Existenz verbindlich.
Freiwillige, für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung. Sie muss nachweisbar und widerrufbar sein; in Abhängigkeitsverhältnissen ist die Freiwilligkeit besonders sorgfältig zu prüfen.
Organisation, die das TISAX-Programm steuert, Teilnehmer registriert, Prüfdienstleister zulässt und den Ergebnisaustausch über das ENX-Portal ermöglicht. ENX führt das Assessment nicht selbst als Prüfdienstleister durch.
Sicherheitsvorfall, der die gesetzlichen Erheblichkeitskriterien erfüllt und damit NIS2-/BSIG-Meldepflichten auslösen kann. Die Einstufung wird anhand des tatsächlichen Dienstes, der Störung, möglicher Schäden und der geltenden Kriterien dokumentiert.
Beobachtete Veränderung oder Auffälligkeit, die sicherheits- oder datenschutzrelevant sein kann. Erst die Bewertung zeigt, ob daraus ein Vorfall, eine Datenschutzverletzung, ein erheblicher NIS2-Vorfall oder lediglich ein dokumentiertes Signal wird.
Dokumentierte Entscheidung einer befugten Rolle, dass eine bestimmte Fassung für den festgelegten Zweck und Geltungsbereich verwendet werden darf. Freigabe ist nicht gleichbedeutend mit Umsetzung, Durchführung oder nachgewiesener Wirksamkeit.
Leitungsorgan oder gesetzlich bestimmte natürliche Person mit Führungs- und Vertretungsverantwortung. Aufgaben können vorbereitet oder unterstützt werden; gesetzliche Überwachungs-, Billigungs- und Verantwortungsanteile werden dadurch nicht automatisch übertragen.
Dokumentierte Grenze, innerhalb der Anforderungen, Prozesse, Standorte, Systeme und Verantwortlichkeiten betrachtet werden. ISO-Scope, TISAX Assessment Scope, DSGVO-Verantwortungsbereich und NIS2-relevante Dienste können sich überschneiden, sind aber nicht automatisch identisch.
Situation, in der zwei oder mehr Stellen Zwecke und wesentliche Mittel einer Verarbeitung gemeinsam festlegen. Die tatsächlichen Entscheidungsschritte sind abzugrenzen und die Zuständigkeiten nach Artikel 26 DSGVO transparent zu vereinbaren.
Plausibel formulierte, aber sachlich falsche, unbelegte oder erfundene Ausgabe eines generativen KI-Systems. Kritische Ergebnisse werden deshalb gegen geeignete Quellen, Regeln oder Testfälle geprüft; ein überzeugender Sprachstil ist kein Richtigkeitsnachweis.
Dienst im Zusammenhang mit Informations- und Kommunikationstechnologie. Für NIS2 sind Art des Dienstes und gesetzliche Definitionen wichtig, etwa bei Cloud-, Rechenzentrums-, Managed- oder Sicherheitsdiensten.
Ereignis oder Reihe von Ereignissen, die Informationssicherheit oder die Sicherheit von Netz- und Informationssystemen beeinträchtigen. Derselbe Sachverhalt kann zusätzlich eine Datenschutzverletzung und einen erheblichen NIS2-Vorfall darstellen; diese Entscheidungen werden getrennt dokumentiert.
Wissen oder Daten mit Bedeutung für die Organisation, unabhängig davon, ob sie digital, auf Papier, mündlich oder in anderen Formen vorliegen. Personenbezogene Daten sind eine Teilmenge von Informationen mit eigenem rechtlichen Schutzrahmen.
Schutz von Vertraulichkeit, Integrität und Verfügbarkeit von Informationen. Abhängig vom Kontext können weitere Eigenschaften wie Authentizität, Nachweisbarkeit, Zurechenbarkeit und Zuverlässigkeit relevant sein.
Eigenschaft, dass Informationen, Systeme und Verarbeitungsergebnisse richtig, vollständig und gegen unbefugte oder unbeabsichtigte Veränderung geschützt sind. Integrität betrifft auch Konfigurationen, Protokolle und Nachweise.
Von der Automobilindustrie verwendeter Anforderungskatalog und Fragebogen für Selbsteinschätzung und TISAX-Assessment. Maßgeblich ist die für das konkrete Assessment festgelegte Version; die Wiki-Seite ersetzt nicht die Originalarbeitsdatei.
Zusammenhängendes Managementsystem, mit dem eine Organisation Informationssicherheit risikobasiert plant, umsetzt, betreibt, bewertet und verbessert. Ein ISMS umfasst Führung, Rollen, Prozesse, Ressourcen, dokumentierte Informationen und Nachweise – nicht nur technische Kontrollen.
Person oder Organisation, die eine Entscheidung oder Tätigkeit beeinflussen kann, davon betroffen ist oder sich betroffen sieht. Anforderungen interessierter Parteien werden ermittelt, bewertet und nur soweit relevant in das ISMS übernommen.
Sofortige Beseitigung einer festgestellten Abweichung, etwa das Entfernen einer unberechtigten Berechtigung. Die Korrektur behandelt den sichtbaren Fehler, nicht zwingend seine Ursache.
Maßnahme zur Beseitigung der Ursache einer Nichtkonformität oder Abweichung, damit sie nicht erneut auftritt. Ihre Wirksamkeit wird nach der Umsetzung gesondert geprüft.
Bedeutung eines Assets, Prozesses oder Dienstes für Ziele, Pflichten und Betriebsfähigkeit. Sie wird anhand nachvollziehbarer Auswirkungen und Zeitverläufe bewertet und nicht allein aus technischer Komplexität abgeleitet.
Prüffrage des VDA ISA mit Ziel, Anforderungen und Reifegradbewertung. Im ISA-Prüfgebiet Informationssicherheit werden alle maßgeblichen Fragen bearbeitet; sie werden nicht wie ISO-Annex-A-Maßnahmen einzeln als „nicht anwendbar“ aus einer SoA entfernt.
Konkrete Nutzung eines KI-Systems in einem abgegrenzten Prozess mit Zweck, Nutzerrollen, Daten, Ein- und Ausgaben, Entscheidungen, Betroffenen, Abhängigkeiten und Kontrollen. Dasselbe Produkt kann mehrere Anwendungsfälle mit unterschiedlichen Risiken und Freigaben besitzen.
Führende Bestandsliste freigegebener, geplanter, erkannter und gesperrter KI-Anwendungen. Sie verbindet Anwendung, Zweck, Owner, Rollen, Datenarten, Anbieter, technische Komponenten, Risiko- und Rechtsprüfung, Freigabe, Review, Nachweise, Vorfälle und Exit.
Zusammenspiel aus Verantwortung, Regeln, Bestandsführung, Risikobewertung, Rechtseinordnung, Freigabe, Kompetenz, technischer Kontrolle, Überwachung, Vorfallbehandlung und Verbesserung für KI-Anwendungen. Sie ergänzt das bestehende Managementsystem und ersetzt es nicht.
Maschinengestütztes System, das aus Eingaben ableitet, wie es Ausgaben wie Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen erzeugt. Für die betriebliche Steuerung werden nicht nur Modell und Oberfläche, sondern auch Datenquellen, Prompts, Plugins, Schnittstellen und nachgelagerte Automatisierungen betrachtet.
Im ENX-Portal sichtbare Aussage zum Assessment-Ergebnis für einen bestimmten Scope und Bewertungsziele. Ein TISAX-Label ist kein ISO-Zertifikat und darf nicht als allgemeine Zertifizierung des gesamten Unternehmens dargestellt werden.
Dokumentierte vorübergehende Aussetzung einer vorgesehenen Löschung, etwa wegen Rechtsstreit, Untersuchung, Audit oder Aufsichtsverfahren. Grund, Umfang, Owner, Review und Aufhebung müssen nachvollziehbar sein.
Abhängige Folge von Lieferanten, Dienstleistern, Unterauftragnehmern, Produkten und Leistungen. Risiken entstehen nicht nur beim direkten Vertragspartner, sondern auch durch Konzentrationen, Fernzugriffe, Komponenten, Änderungen und fehlende Exitmöglichkeiten.
Regelwerk, das Datenarten, Zwecke, Aufbewahrungsgründe, Fristbeginn, Dauer, technische Löschung, Ausnahmen, Löschsperren und Nachweise verbindet. Eine bloße Fristentabelle ohne ausführbaren Prozess genügt nicht.
Formale Bewertung des Managementsystems durch die Leitung anhand festgelegter Eingaben. Ergebnis sind nachvollziehbare Entscheidungen zu Eignung, Angemessenheit, Wirksamkeit, Ressourcen, Änderungen und Verbesserungen – nicht nur ein Informationsbericht.
Anbieter, der IKT-Produkte, Netze, Infrastrukturen oder Anwendungen für Kunden installiert, verwaltet, betreibt oder wartet – vor Ort oder aus der Ferne. Die gesetzliche Einstufung hängt von der tatsächlichen Dienstleistung ab.
Gesetzliche Pflicht, bestimmte Sachverhalte innerhalb vorgegebener Fristen an eine zuständige Stelle zu melden. DSGVO- und NIS2-Meldewege haben unterschiedliche Kriterien, Fristen, Inhalte und Empfänger und werden deshalb parallel, aber getrennt bewertet.
Organisatorisch und technisch abgesicherte Möglichkeit geeigneter Personen, Zweck, Eingaben, Ausgaben und Auswirkungen eines KI-Systems zu verstehen, zu überwachen, Ergebnisse zu verwerfen, die Nutzung zu stoppen und bei Bedarf einzugreifen. Ein nomineller „Mensch in der Schleife“ ohne Zeit, Kompetenz, Befugnis oder Alternativprozess genügt nicht.
Gezielte oder unbeabsichtigte Beeinflussung eines Modells beziehungsweise seiner Trainings-, Feinabstimmungs- oder Wissensdaten, sodass unerwünschte, falsche oder manipulierte Ergebnisse entstehen. Herkunft, Integrität, Änderungen, Tests und Monitoring der Daten- und Modellkette sind deshalb relevant.
Prüfbare Information, die eine Aussage stützt, etwa Protokoll, Testbericht, freigegebene Entscheidung oder nachvollziehbare Stichprobe. Ein Dokumententwurf, geplanter Termin oder leeres Register ist noch kein Durchführungs- oder Wirksamkeitsnachweis.
Gesetzlich definierter Sammelbegriff für elektronische Kommunikationsnetze sowie Geräte, Programme und digitale Daten, die für Betrieb, Nutzung, Schutz und Wartung zusammenwirken. Der konkrete Umfang wird dienst- und prozessbezogen bestimmt.
EU-Richtlinie zur Cybersicherheit mit Anforderungen an Risikomanagement, Leitung, Registrierung, Meldungen, Aufsicht und Zusammenarbeit. In Deutschland ist für konkrete Pflichten das geltende nationale Umsetzungsrecht, insbesondere das BSIG, maßgeblich.
Nichterfüllung einer Anforderung. Sie wird mit objektivem Nachweis, betroffener Anforderung und nachvollziehbarem Umfang beschrieben; Beobachtung, Verbesserungshinweis und Nichtkonformität sind nicht automatisch dasselbe.
Steuerungslogik aus Planen, Umsetzen, Überprüfen und Verbessern. Der Zyklus verdeutlicht, dass Regeln und Maßnahmen nicht mit ihrer Einführung enden, sondern durch Überwachung, Bewertung und Korrektur fortgeführt werden.
Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Auch Kennungen, Standortdaten, Online-IDs und Kombinationen scheinbar neutraler Angaben können einen Personenbezug herstellen.
Im TISAX-System registrierte Organisation. Sowohl ein bewerteter Lieferant als auch ein anfordernder Partner kann Teilnehmer sein und Assessment-Ergebnisse nach den vorgesehenen Regeln austauschen.
Von ENX vergebene Kennung eines TISAX-Teilnehmers. Sie identifiziert den Teilnehmer im Portal, ersetzt aber weder Scope ID noch fachliche Angaben zu Standorten und Bewertungszielen.
Schutz noch nicht öffentlich bekannter Fahrzeuge, Bauteile, Informationen und Abläufe. Im TISAX-Kontext hängen Anforderungen und Assessment Level von den gewählten Bewertungszielen und der tatsächlichen Prototypenhandhabung ab.
Verarbeitung, bei der Daten ohne getrennt aufbewahrte Zusatzinformationen nicht mehr einer bestimmten Person zugeordnet werden können. Pseudonymisierte Daten bleiben personenbezogene Daten, solange eine Re-Identifizierung möglich ist.
Manipulationsversuch, bei dem direkte Eingaben oder Inhalte aus angebundenen Quellen ein KI-System zu unerwünschten Anweisungen, Datenoffenlegung, Werkzeugnutzung oder Regelumgehung bewegen. Schutz benötigt unter anderem Trennung von Anweisungen und Daten, minimale Rechte, Inhalts- und Ausgabekontrollen sowie sichere Tool-Anbindungen.
Rechtliche Erlaubnis für einen bestimmten Verarbeitungszweck. Sie wird zweckbezogen geprüft; bei besonderen Kategorien oder Beschäftigtendaten können zusätzliche Voraussetzungen aus DSGVO und BDSG erforderlich sein.
Bewertung, wie vollständig, gesteuert, umgesetzt und wirksam ein Prozess oder eine Anforderung im VDA ISA verwirklicht ist. Eine hohe Selbsteinschätzung braucht konsistente Nachweise und muss der tatsächlichen Praxis entsprechen.
Dienst, dessen Erbringung für die Betroffenheits-, Risiko- und Vorfallbewertung einer NIS2-Einrichtung maßgeblich ist. Er wird mit Prozessen, Systemen, Standorten, Lieferanten und Auswirkungen verbunden.
Übermittlung gesetzlich geforderter Einrichtungs- und Kontaktdaten an die zuständige Stelle. Registrierung ist von der Vorfallmeldung zu unterscheiden und muss bei relevanten Änderungen aktualisiert werden.
Risiko, das nach berücksichtigten und nachweislich umgesetzten Maßnahmen verbleibt. Geplante oder ungeprüfte Maßnahmen dürfen das Restrisiko nicht so behandeln, als seien sie bereits wirksam.
Wirkung von Unsicherheit auf Ziele oder geschützte Interessen. Im ISMS stehen Informationen und Geschäftsziele im Mittelpunkt, im Datenschutz Rechte und Freiheiten natürlicher Personen und bei NIS2 Sicherheit sowie Kontinuität relevanter Dienste.
Dokumentierte Entscheidung einer befugten Rolle, ein bewertetes Restrisiko innerhalb festgelegter Grenzen und gegebenenfalls befristet zu tragen. Schweigen, fehlende Maßnahme oder überfälliger Termin ist keine wirksame Risikoakzeptanz.
Auswahl und Umsetzung eines Vorgehens zum Vermeiden, Verändern, Teilen oder Akzeptieren eines Risikos. Behandlung enthält Owner, Ressourcen, Termin, Status, erwartete Wirkung und Wirksamkeitsprüfung.
Zielwert für den maximal tolerierbaren Datenverlust, ausgedrückt als zurückliegender Zeitraum. Der Wert wird fachlich begründet und durch Sicherungs-, Replikations- und Wiederherstellungsprozesse nachgewiesen.
Zielwert für die Zeit, innerhalb der ein Prozess, Dienst oder System nach einer Störung wieder in einem definierten Mindestzustand verfügbar sein soll. RTO ist nicht automatisch die tatsächlich erreichte Wiederanlaufzeit.
Verfahren, bei dem ein generatives KI-System zur Anfrage passende Inhalte aus angebundenen Wissensquellen abruft und für die Ausgabe verwendet. Berechtigungen, Quellqualität, Aktualität, Mandantentrennung, Protokollierung und Schutz gegen manipulierte Inhalte müssen über die gesamte Kette gelten.
Eindeutige Kennung eines registrierten TISAX Assessment Scopes. Sie verweist auf den konkreten Prüfungsumfang und ist von Participant ID, Standortbezeichnungen und Assessment-Ergebnis zu unterscheiden.
Von der Europäischen Kommission bereitgestellte Vertragsklauseln, die unter bestimmten Voraussetzungen als geeignete Garantie für Drittlandtransfers dienen können. Modulauswahl, Anlagen, Transferkontext und zusätzliche Maßnahmen müssen konkret geprüft werden.
Fortschrittlicher Entwicklungsstand geeigneter Verfahren, Einrichtungen oder Betriebsweisen, der praktisch erprobt und verfügbar ist. Seine Angemessenheit wird im konkreten Risiko-, Verarbeitungs- und Dienstekontext regelmäßig neu bewertet.
Erforderliches Schutzniveau eines Informationswertes, Prozesses, Systems oder Dienstes. Bewertet werden mögliche Auswirkungen auf Vertraulichkeit, Integrität, Verfügbarkeit und weitere relevante Ziele.
Eigenschaft oder Lücke, die durch eine Bedrohung ausgenutzt werden kann, etwa Fehlkonfiguration, unklare Zuständigkeit oder fehlende Redundanz. Eine Schwachstelle ist nicht automatisch ein eingetretener Vorfall.
Gelenktes Dokument, das die erforderlichen Informationssicherheitsmaßnahmen, ihre Begründung, den Umsetzungsstatus und die Entscheidungen zu Annex A nachvollziehbar darstellt. Die SoA ist kein TISAX-Fragenkatalog und überträgt keine ISO-Ausschlüsse auf ISA-Kontrollfragen.
Nutzung einer KI-Anwendung, eines Modells, Plugins oder KI-Dienstes außerhalb des genehmigten Bestands und der vorgesehenen Kontrollen. Schatten-KI kann auch entstehen, wenn Anbieter bestehender Software neue KI-Funktionen aktivieren, ohne dass Zweck, Datenfluss, Vertrag, Risiko und Freigabe erneut geprüft wurden.
Vom Betreiber oder Anbieter vorgegebene Anweisung, die Verhalten und Grenzen eines generativen KI-Systems beeinflusst. Ein Systemprompt kann eine Kontrolle unterstützen, ersetzt aber keine Berechtigungen, Mandantentrennung, sichere Tool-Anbindung, Datenklassifizierung oder unabhängige Ausgabekontrolle.
Schutzmaßnahmen, die unter Berücksichtigung von Risiko, Stand der Technik, Kosten, Art, Umfang, Umständen und Zwecken der Verarbeitung ein angemessenes Sicherheitsniveau unterstützen. TOM müssen konkret umgesetzt und auf Wirksamkeit geprüft werden.
Von der ENX Association betriebenes Verfahren zum Austausch von Assessment-Ergebnissen zur Informationssicherheit in der Automobilindustrie. TISAX ist keine ISO-Zertifizierung; Scope, Bewertungsziele, Assessment Level und Ergebnisfreigabe bestimmen die Aussage.
Dokumentierte Prüfung eines konkreten Drittlandtransfers, insbesondere des Transferinstruments, der Rechtslage und Praxis im Empfängerland, möglicher Zugriffe sowie erforderlicher zusätzlicher Maßnahmen und Überwachung.
Stelle, die allein oder gemeinsam über Zwecke und wesentliche Mittel der Verarbeitung personenbezogener Daten entscheidet. Sie bleibt für Rechtmäßigkeit und Nachweisführung verantwortlich, auch wenn Auftragsverarbeiter eingebunden sind.
Eigenschaft, dass Informationen, Systeme und Dienste von berechtigten Nutzenden bei Bedarf zugänglich und nutzbar sind. Anforderungen werden über Kritikalität, Zeitziele, Kapazität, Redundanz, Wiederherstellung und Tests konkretisiert.
Eigenschaft, dass Informationen unbefugten Personen, Stellen oder Prozessen nicht zugänglich gemacht oder offengelegt werden. Schutz umfasst Identitäten, Berechtigungen, Übertragung, Speicherung, Gespräche und physische Unterlagen.
Jeder Vorgang im Zusammenhang mit personenbezogenen Daten, etwa Erheben, Ordnen, Speichern, Ändern, Auslesen, Verwenden, Übermitteln, Einschränken oder Löschen. Auch automatisierte und nichtautomatisierte Vorgänge können erfasst sein.
Fachlich zusammenhängender Verarbeitungskontext mit bestimmten Zwecken, Personengruppen, Daten, Empfängern, Systemen und Fristen. Sie wird im Verzeichnis nach Artikel 30 DSGVO dokumentiert und ist nicht zwingend mit einem einzelnen IT-System identisch.
Information Security Assessment der deutschen Automobilindustrie. Der Katalog bildet die fachliche Grundlage der Selbsteinschätzung und der TISAX-Prüfung; Version und Bewertungsziele müssen für das konkrete Assessment bestätigt werden.
Gesetzlich bestimmte Kategorie betroffener Einrichtungen. Die Einordnung richtet sich nach Sektor, Einrichtungsart, Größe, Sonderregeln und tatsächlicher Tätigkeit; sie ist nicht bloß eine frei gewählte Kritikalitätsstufe.
Grad, in dem geplante Tätigkeiten ausgeführt und beabsichtigte Ergebnisse erreicht wurden. „Umgesetzt“ beschreibt das Vorhandensein einer Maßnahme; „wirksam“ verlangt einen geeigneten Test oder anderen belastbaren Nachweis gegen ein festgelegtes Kriterium.
Bestätigung durch eine dafür zuständige unabhängige Stelle, dass festgelegte Anforderungen erfüllt sind. Eine ISO/IEC-27001-Zertifizierung bezieht sich auf den zertifizierten Scope; TISAX verwendet einen anderen Assessment- und Ergebnisaustauschprozess.
Angestrebtes Ergebnis mit Verantwortlichkeit, Mess- oder Bewertungskriterium, Termin und erforderlichen Ressourcen. Eine allgemeine Absichtserklärung wird erst durch überprüfbare Kriterien zu einem steuerbaren Ziel.
Technische und organisatorische Steuerung, die Zugriff nur entsprechend bestätigter Identität, Aufgabe und Berechtigung ermöglicht. Dazu gehören Authentisierung, Autorisierung, Protokollierung, regelmäßige Reviews und zeitnaher Entzug.
| Begriffe | Entscheidender Unterschied |
|---|---|
| Anforderung – Maßnahme – Nachweis | Die Anforderung beschreibt das erwartete Soll, die Maßnahme verändert das Risiko oder erfüllt das Soll, der Nachweis stützt die Aussage über Durchführung oder Ergebnis. |
| Bedrohung – Schwachstelle – Risiko | Die Bedrohung kann Schaden auslösen, die Schwachstelle kann ausgenutzt werden, das Risiko bewertet die mögliche Wirkung im konkreten Kontext. |
| Ereignis – Sicherheitsvorfall – Datenschutzverletzung – erheblicher NIS2-Vorfall | Ein Ereignis ist zunächst ein Signal. Die drei weiteren Begriffe beruhen auf unterschiedlichen fachlichen und rechtlichen Kriterien und werden getrennt entschieden. |
| Freigegeben – umgesetzt – durchgeführt – wirksam | Eine Freigabe erlaubt die Nutzung einer Fassung. Umsetzung oder Durchführung beschreiben Aktivitäten; Wirksamkeit verlangt das nachgewiesene Erreichen des beabsichtigten Ergebnisses. |
| ISO-Zertifikat – TISAX-Label | Beide haben eigenen Scope, Regeln und Aussagegrenzen. TISAX ist kein ISO-Zertifizierungsverfahren. |
| ISO-SoA – VDA-ISA-Kontrollfragen | Die SoA dokumentiert ISO-Maßnahmenentscheidungen. Im maßgeblichen ISA-Prüfgebiet Informationssicherheit werden alle Kontrollfragen bearbeitet und nicht einzeln SoA-artig ausgeschlossen. |
| ISO-Scope – TISAX Assessment Scope – NIS2-relevante Dienste | Die Abgrenzungen können sich überschneiden, folgen jedoch unterschiedlichen Zwecken und müssen miteinander abgeglichen werden. |
| Verantwortlicher – Auftragsverarbeiter – gemeinsam Verantwortliche | Maßgeblich ist, wer Zwecke und wesentliche Mittel tatsächlich bestimmt und ob Weisungsbindung oder gemeinsame Entscheidung vorliegt. |
| Thema | Weiterführende Seite |
|---|---|
| Regelwerkübergreifende Suche | Compliance-Navigator |
| ISO- und TISAX-Zuordnung | ISO-TISAX-Mapping |
| Risikobegriffe und Bewertung | Methodik der Risikobewertung |
| ISO-Maßnahmenentscheidungen | Statement of Applicability |
| Datenschutzbegriffe und Rechtsgrundlagen | Rechtsgrundlagenkataster |
| Verarbeitungstätigkeiten | Verzeichnis von Verarbeitungstätigkeiten |
| NIS2-Einstufung | Betroffenheits- und Einstufungsprüfung |
| NIS2-Begriffe für Vorfälle und Fristen | Melderegister und Fristenkontrolle |
| TISAX-Prozess | TISAX Assessment Level 1, 2 und 3 |
| ISA-Anforderungen | TISAX-Anforderungsstufen und Schutzbedarf |
| KI-Governance, KI-Anwendungsregister und sichere Nutzung | Einsatz von KI im Unternehmen |
Versionshinweis: ISO/IEC 27000:2026 wurde im Juli 2026 als neue Ausgabe veröffentlicht und legt den Schwerpunkt auf Überblick, Konzepte und Beziehungen der ISMS-Normenfamilie. Für verbindliche Normdefinitionen und organisationsbezogene Umsetzung sind lizenzierte Originaltexte und die jeweils anzuwendenden Ausgaben zu verwenden.
Lokaler Funktionsstand 10.08.2026: Initialanzeige mit 108 Begriffen, Suche nach „Prompt Injection“ und „Halluzination“, Sichtbarkeit des neuen Buchstabenbereichs H sowie Zurücksetzen wurden in Google Chrome/Chromium 151.0.7922.77 automatisiert erfolgreich geprüft. Nach dem Austausch in Wiki.js ist die Live-Einbindung erneut zu prüfen. Wiederholbarer Test: Technische-Bausteine/test_ki_navigation_and_registers.mjs.
| Version | Datum | Änderung | Verantwortlich | Freigabe |
|---|---|---|---|---|
| 1.1 | 10.08.2026 | KI-Begriffe zu AI Act, Rollen, Anwendungen, Governance, Halluzination, Aufsicht, Poisoning, Prompt Injection, RAG, Schatten-KI und Systemprompt ergänzt; KI-Seite und offizielle Quellen verknüpft | ISMS-Beauftragte/r / KI-Governance | Ausstehend |
| 1.0 | 09.08.2026 | Zentrales A–Z-Glossar mit Regelwerksfiltern, Suche, Abgrenzungen, Vertiefungslinks und offiziellen Quellen erstellt | ISMS-Beauftragte/r / Musterrolle | Ausstehend |