Informationssicherheit und Recht

In den übrigen Sicherheitskategorien steht auf der anderen Seite ein Angreifer. Hier steht dort ein Gesetzgeber, eine Behörde oder ein Prüfer. Es geht nicht darum, wie etwas geschützt wird, sondern wer was verlangt, von wem, und was passiert, wenn es fehlt.

Beim Zugriffsrecht zeigt sich, dass Sicherheit nicht nur das Fernhalten Unbefugter meint. Der CLOUD Act regelt, unter welchen Umständen US-Behörden auf Daten zugreifen können, die ein amerikanischer Anbieter verwahrt — unabhängig davon, in welchem Land die Server stehen. Lawful Interception beschreibt die Kehrseite im eigenen Netz: eine Schnittstelle, die Netzbetreiber bereitstellen müssen, damit staatliche Stellen Verkehr mitlesen können. Beides sind keine Lücken, sondern vorgesehene Zugänge.

Der Geheimschutz macht aus einer Einstufung eine technische Anforderung. VS-Nur für den Dienstgebrauch ist die niedrigste deutsche Geheimhaltungsstufe und trotzdem folgenreich: Sie entscheidet darüber, welche Geräte, Netze und Dienste überhaupt eingesetzt werden dürfen.

Daneben wächst die Regulierung der Informationssicherheit: Pflichten für Betreiber kritischer Anlagen, Meldefristen bei Vorfällen, Nachweise gegenüber Aufsichtsbehörden und die Managementsysteme, mit denen Unternehmen das organisieren. Diese Begriffe sind jung im Vergleich zum Rest des Lexikons, und sie ändern sich schneller.

Ausweicharbeitsplatz Ein vorbereiteter Arbeitsplatz an einem zweiten Ort, an dem Mitarbeiter weiterarbeiten, wenn ihr eigenes Gebäude ausfällt.
BSI-Gesetz (BSIG) Das Gesetz über das BSI und über die IT-Sicherheit von Einrichtungen. Seit Dezember 2025 vollständig neu gefasst — mit neuer Paragraphenzählung.
Business Continuity Management (BCM) Die Vorsorge für den Fall, dass es doch passiert. Nicht Ausfälle verhindern, sondern den Betrieb trotz Ausfall aufrechterhalten und geordnet zurückkehren.
CLOUD Act US-Gesetz von 2018, das den Zugriff auf Daten amerikanischer Anbieter regelt. Wo die Server stehen, ist dabei nicht die entscheidende Frage.
Cyber Resilience Act (CRA) Die EU-Verordnung über Produktsicherheit in der IT. Sie verpflichtet Hersteller statt Betreiber und gilt unmittelbar, ohne Umsetzungsgesetz.
Digital Operational Resilience Act (DORA) EU-Verordnung zur IT-Sicherheit im Finanzsektor. Seit 17. Januar 2025 gilt sie für Banken, Versicherer, Zahlungsdienste und deren IT-Dienstleister.
Disaster Recovery (DR) Die Wiederherstellung von IT-Systemen und Daten nach einem schweren Ausfall, geplant über die Ziele RTO und RPO und erprobt in Tests.
Informationssicherheits-Managementsystem (ISMS) Der organisatorische Rahmen, der Informationssicherheit steuerbar macht. Kein Produkt, sondern Regeln, Rollen und wiederkehrende Entscheidungen.
ISAE 3402 Internationaler Prüfungsstandard für Berichte über interne Kontrollen bei Dienstleistern, die für die Finanzberichterstattung ihrer Kunden wichtig sind.
ISO/IEC 27001 Internationale Norm für Informationssicherheits-Managementsysteme (ISMS). Sie ist zertifizierbar und gilt aktuell in der Ausgabe 2022.
IT-Grundschutz Die Methode des BSI für Informationssicherheit: ein Katalog erprobter Anforderungen statt einer Risikoanalyse von Grund auf.
Kritische Infrastrukturen (KRITIS) Anlagen, deren Ausfall die Versorgung gefährdet. Seit 2025 von zwei Gesetzen erfasst: eines für die Cybersicherheit, eines für den physischen Schutz.
Lawful Interception Lawful Interception bezeichnet das Abhören elektronischer Kommunikation durch staatliche Stellen, für dessen Implementierung die ETSI Vorschläge für Abhörschnittstellen bereitstellt.
NIS2 Die europäische Richtlinie zur Netz- und Informationssicherheit. Sie verpflichtet Staaten, nicht Unternehmen — in Deutschland gilt das BSI-Gesetz.
Rechenzentrumsregister (RZReg) Das Register, an das Rechenzentren ab 300 kW nach dem Energieeffizienzgesetz jährlich Leistung, Verbrauch, Abwärme und Effizienzkennzahlen melden.
Rechenzentrumsstrategie Die erste Strategie der Bundesregierung für Rechenzentren, beschlossen am 18. März 2026. Ziel: Kapazität bis 2030 verdoppeln, für KI vervierfachen.
Schutzbedarfsfeststellung Der Schritt, der über den gesamten Aufwand entscheidet: Wie schlimm wäre es, wenn dieses Objekt ausfällt, verfälscht wird oder in falsche Hände gerät?
Sicherheitsüberprüfung (SÜ) Staatliche Prüfung einer Person vor dem Zugang zu Verschlusssachen ab VS-VERTRAULICH oder einer sicherheitsempfindlichen Tätigkeit, in drei Stufen Ü1 bis Ü3.
Sovereign Cloud Eine Sovereign Cloud ist ein Cloud-Dienst, bei dem Daten, Betrieb und Rechtsrahmen unter europäischer Kontrolle bleiben sollen. Der Begriff ist nicht geschützt.
System and Organization Controls 2 (SOC 2) US-Prüfungsrahmen für Dienstleister: Ein Prüfer bewertet Kontrollen zu Sicherheit, Verfügbarkeit, Vertraulichkeit, Verarbeitung und Datenschutz.
VS-Nur für den Dienstgebrauch (VS-NfD) VS-NfD ist der niedrigste deutsche Geheimhaltungsgrad; IT-Produkte dürfen solche Informationen nur verarbeiten, wenn das BSI sie dafür zugelassen hat.