Informationssicherheit und Recht
In den übrigen Sicherheitskategorien steht auf der anderen Seite ein Angreifer. Hier steht dort ein Gesetzgeber, eine Behörde oder ein Prüfer. Es geht nicht darum, wie etwas geschützt wird, sondern wer was verlangt, von wem, und was passiert, wenn es fehlt.
Beim Zugriffsrecht zeigt sich, dass Sicherheit nicht nur das Fernhalten Unbefugter meint. Der CLOUD Act regelt, unter welchen Umständen US-Behörden auf Daten zugreifen können, die ein amerikanischer Anbieter verwahrt — unabhängig davon, in welchem Land die Server stehen. Lawful Interception beschreibt die Kehrseite im eigenen Netz: eine Schnittstelle, die Netzbetreiber bereitstellen müssen, damit staatliche Stellen Verkehr mitlesen können. Beides sind keine Lücken, sondern vorgesehene Zugänge.
Der Geheimschutz macht aus einer Einstufung eine technische Anforderung. VS-Nur für den Dienstgebrauch ist die niedrigste deutsche Geheimhaltungsstufe und trotzdem folgenreich: Sie entscheidet darüber, welche Geräte, Netze und Dienste überhaupt eingesetzt werden dürfen.
Daneben wächst die Regulierung der Informationssicherheit: Pflichten für Betreiber kritischer Anlagen, Meldefristen bei Vorfällen, Nachweise gegenüber Aufsichtsbehörden und die Managementsysteme, mit denen Unternehmen das organisieren. Diese Begriffe sind jung im Vergleich zum Rest des Lexikons, und sie ändern sich schneller.
- BSI-Gesetz (BSIG) Das Gesetz über das BSI und über die IT-Sicherheit von Einrichtungen. Seit Dezember 2025 vollständig neu gefasst — mit neuer Paragraphenzählung.
- CLOUD Act US-Gesetz von 2018, das den Zugriff auf Daten amerikanischer Anbieter regelt. Wo die Server stehen, ist dabei nicht die entscheidende Frage.
- Informationssicherheits-Managementsystem (ISMS) Der organisatorische Rahmen, der Informationssicherheit steuerbar macht. Kein Produkt, sondern Regeln, Rollen und wiederkehrende Entscheidungen.
- IT-Grundschutz Die Methode des BSI für Informationssicherheit: ein Katalog erprobter Anforderungen statt einer Risikoanalyse von Grund auf.
- Kritische Infrastrukturen (KRITIS) Anlagen, deren Ausfall die Versorgung gefährdet. Seit 2025 von zwei Gesetzen erfasst: eines für die Cybersicherheit, eines für den physischen Schutz.
- Lawful Interception Lawful Interception bezeichnet das Abhören elektronischer Kommunikation durch staatliche Stellen, für dessen Implementierung die ETSI Vorschläge für Abhörschnittstellen bereitstellt.
- NIS2 Die europäische Richtlinie zur Netz- und Informationssicherheit. Sie verpflichtet Staaten, nicht Unternehmen — in Deutschland gilt das BSI-Gesetz.
- VS-Nur für den Dienstgebrauch (VS-NfD) VS-NfD ist der niedrigste deutsche Geheimhaltungsgrad; IT-Produkte dürfen solche Informationen nur verarbeiten, wenn das BSI sie dafür zugelassen hat.