NIS2-Glossar

Alle wichtigen Begriffe rund um NIS2 und das BSIG, kompakt erklärt — von KRITIS bis MTPD.

Dieses Glossar erklärt 46 zentrale NIS2- und BSIG-Begriffe verständlich und mit Verweis auf den jeweiligen Gesetzesparagrafen oder die einschlägige Norm (ISO 27001, ISO 22301, BSI IT-Grundschutz, DORA). Jeder Eintrag enthält eine Kurzdefinition für die schnelle Übersicht und eine ausführliche Erläuterung mit Kontext zur Umsetzung. Begriffe sind nach sechs Kategorien filterbar (Gesetze, Rollen, Sektoren, Technisch, Prozesse, Metriken).

Verfasst und fachlich geprüft vom NIS2Compass-Team · Stand: April 2026

Nach Kategorie filtern

Nach Buchstabe filtern

62 Begriffe

A

B

C

D

E

I

K

L

M

N

P

R

S

T

V

W

NIS2-Glossar

Alle wichtigen Begriffe rund um NIS2 und das BSIG, kompakt erklärt — von KRITIS bis MTPD.

Verfasst und fachlich geprüft vom NIS2Compass-Team · Stand: April 2026

Nach Kategorie filtern

Nach Buchstabe filtern

62 Begriffe

NIS2-Glossar

A

Anhang 1 BSIGAnhang 1 BSIG listet die Sektoren mit hoher Kritikalitaet, etwa Energie, Verkehr, Gesundheit und digitale Infrastruktur.

Anhang 2 BSIGAnhang 2 BSIG listet sonstige kritische Sektoren wie Post-/Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel und digitale Anbieter.

APTEin Advanced Persistent Threat (APT) ist ein hochentwickelter, langfristiger Cyberangriff, oft durch staatlich gesteuerte Akteure.

Asset-ManagementAsset-Management ist die Erfassung und Pflege aller IT-Assets eines Unternehmens. §30 Abs. 2 Nr. 1 BSIG verlangt es als Fundament der NIS2-Umsetzung.

Awareness-SchulungAwareness-Schulungen sensibilisieren Mitarbeitende fuer Cyberrisiken. §30 Abs. 2 Nr. 7 BSIG verlangt sie als Pflichtmassnahme.

B

§30 BSIG§30 BSIG ist die zentrale Vorschrift fuer Cybersicherheits-Mindestmassnahmen, die besonders wichtige und wichtige Einrichtungen unter NIS2 umsetzen muessen.

§32 BSIG§32 BSIG regelt die Meldepflichten bei erheblichen Sicherheitsvorfaellen mit dreistufiger Frist: 24 Stunden, 72 Stunden, ein Monat.

§38 BSIG§38 BSIG begruendet Pflichten der Geschaeftsleitung: Billigung der Massnahmen, Schulungspflicht und persoenliche Haftung bei Verstoessen.

§39 BSIG§39 BSIG verpflichtet Betreiber kritischer Anlagen alle drei Jahre zum Nachweis der Wirksamkeit ihrer Cybersicherheitsmassnahmen.

§65 BSIG§65 BSIG regelt die Bussgelder bei NIS2-Verstoessen. Besonders wichtige Einrichtungen koennen bis zu 10 Mio. EUR oder 2 % des Jahresumsatzes belangt werden.

BCMBusiness Continuity Management (BCM) ist der ganzheitliche Prozess zur Aufrechterhaltung kritischer Geschaeftsprozesse bei Stoerungen.

BCPEin Business Continuity Plan (BCP) ist das dokumentierte Vorgehen zur Aufrechterhaltung kritischer Prozesse waehrend einer Stoerung.

BIADie Business Impact Analysis bewertet die Auswirkungen von Stoerungen auf Geschaeftsprozesse. Sie ist die Grundlage fuer BCM-Kennzahlen wie RTO, RPO und MTPD.

BSIDas BSI ist die deutsche Cybersicherheitsbehoerde. Unter NIS2 ist es Aufsichtsbehoerde, Meldestelle und CSIRT zugleich.

BSI C5BSI C5 ist der Pruefkatalog des BSI fuer Cloud-Anbieter mit 121 Anforderungen und faktischer DE-Standard fuer Cloud-Lieferanten-Audits.

BSI IT-GrundschutzBSI IT-Grundschutz ist das methodische Rahmenwerk des BSI mit rund 100 Bausteinen und in Deutschland anerkannte NIS2-Umsetzungsmethode.

BSIGDas BSI-Gesetz (BSIG) regelt Aufgaben und Befugnisse des BSI. Seit der NIS2-Umsetzung enthaelt es zudem die Cybersicherheitspflichten fuer Unternehmen.

BWEEine besonders wichtige Einrichtung (BWE) ist eine grosse Organisation aus den hochkritischen NIS2-Sektoren mit besonders strenger Aufsicht.

C

Chain of CustodyDie Chain of Custody ist die luecken- und beweissichere Dokumentation der Erfassung, Speicherung und Weitergabe digitaler Beweise.

CISODer CISO ist die ranghoechste Fuehrungskraft fuer Informationssicherheit in einer Organisation und traegt die strategische Verantwortung.

Cold StorageCold Storage bezeichnet Backups, die physikalisch oder logisch vom Netzwerk getrennt aufbewahrt werden, etwa als Air-Gap-Kopie.

CRADer Cyber Resilience Act ist eine EU-Verordnung zu Cybersicherheits-Pflichten fuer Hersteller digitaler Produkte. Er ergaenzt NIS2 produktseitig.

CSIRTEin CSIRT ist ein spezialisiertes Team fuer die Bewaeltigung von Sicherheitsvorfaellen. Das BSI ist das nationale CSIRT in Deutschland.

CVSS-ScoreDer CVSS-Score bewertet Schwachstellen standardisiert auf einer Skala von 0,0 bis 10,0 und ist Grundlage fuer die Patch-Priorisierung.

D

DDoS-AngriffEin DDoS-Angriff ist ein verteilter Ueberlastungsangriff, der Dienste durch massenhafte Anfragen aus vielen Quellen lahmlegt.

DORADORA ist die EU-Verordnung fuer digitale Betriebsstabilitaet im Finanzsektor und verdraengt fuer Banken und Versicherungen teilweise NIS2.

DPODer Datenschutzbeauftragte (DPO) ist die Rolle nach Art. 37 DSGVO. Im NIS2-Kontext koordiniert er die Doppel-Meldepflicht mit dem ISB.

DSGVODie Datenschutz-Grundverordnung ist die EU-Verordnung zum Schutz personenbezogener Daten. Sie hat Schnittstellen zu NIS2, insbesondere bei Meldepflichten.

E

EDREndpoint Detection and Response (EDR) erkennt verdaechtiges Verhalten auf Endgeraeten und ermoeglicht eine schnelle Reaktion.

ENISADie ENISA ist die EU-Cybersicherheitsagentur. Sie veroeffentlicht Leitlinien zur Auslegung der NIS2-Richtlinie und unterstuetzt nationale Behoerden.

EU-DVO 2024/2690Die EU-Durchfuehrungsverordnung 2024/2690 konkretisiert NIS2 fuer Anbieter digitaler Dienste und definiert Schwellenwerte fuer erhebliche Vorfaelle.

I

Insider-BedrohungEine Insider-Bedrohung ist ein Sicherheitsrisiko durch eigene oder ehemalige Mitarbeitende sowie Externe mit legitimem Zugang.

IR-PlanEin Incident Response Plan (IR-Plan) beschreibt das strukturierte Vorgehen vor, waehrend und nach einem Sicherheitsvorfall.

ISBDer Informationssicherheitsbeauftragte (ISB) ist die zentrale Rolle fuer die Steuerung der Informationssicherheit in einer Organisation.

ISMSEin ISMS ist ein systematischer Rahmen zur Steuerung der Informationssicherheit, etwa nach ISO 27001 oder BSI IT-Grundschutz.

ISO 22301ISO 22301 ist der internationale Standard fuer Business-Continuity-Managementsysteme (BCMS) und ergaenzt NIS2 im Bereich BCM/BCP.

ISO 27001ISO 27001 ist der internationale Standard fuer Informationssicherheits-Managementsysteme und deckt rund 60-70 Prozent der NIS2-Anforderungen ab.

K

KonzentrationsrisikoKonzentrationsrisiko bezeichnet die Abhaengigkeit von einem einzigen Lieferanten oder Dienst, dessen Ausfall katastrophale Folgen haette.

KRITISKRITIS bezeichnet Anlagen, deren Ausfall die oeffentliche Versorgung gefaehrden wuerde. Unter NIS2 gelten zusaetzlich strengere Pflichten.

L

Least-PrivilegeDas Least-Privilege-Prinzip vergibt nur die Berechtigungen, die fuer eine Aufgabe zwingend erforderlich sind, und nicht mehr.

LieferkettensicherheitLieferkettensicherheit ist das Management von Cybersicherheitsrisiken aus Lieferanten-, Dienstleister- und Software-Beziehungen.

M

Major IncidentEin erheblicher Sicherheitsvorfall (Major Incident) ist ein meldepflichtiger Cyberangriff oder Ausfall mit relevanter Auswirkung auf Dienste.

MFAMulti-Faktor-Authentifizierung (MFA) verlangt mindestens zwei voneinander unabhaengige Nachweise fuer den Zugriff auf ein System.

MTPDDie Maximum Tolerable Period of Disruption (MTPD) ist die maximale Zeit, die eine Stoerung dauern darf, ohne das Unternehmen existenziell zu gefaehrden.

N

NetzwerksegmentierungNetzwerksegmentierung ist die logische und physische Trennung von Netzwerken zur Eindaemmung von Angriffen und Begrenzung von Lateral Movement.

NIS2-RichtlinieDie NIS2-Richtlinie (EU 2022/2555) ist die EU-Vorgabe zur Erhoehung der Cybersicherheit. In Deutschland wird sie durch das NIS2UmsuCG umgesetzt.

NIS2UmsuCGDas NIS2UmsuCG ist das deutsche Gesetz zur Umsetzung der NIS2-Richtlinie. Es trat am 6. Dezember 2025 in Kraft und novelliert das BSI-Gesetz.

P

Patch-ManagementPatch-Management ist der strukturierte Prozess zur zeitnahen Identifikation, Bewertung und Installation von Sicherheitsupdates.

R

3-2-1-RegelDie 3-2-1-Regel ist ein Backup-Standard: drei Kopien der Daten, auf zwei verschiedenen Medien, davon eine raeumlich getrennt aufbewahrt.

RBACRole-Based Access Control (RBAC) vergibt Berechtigungen ueber definierte Rollen statt direkt an einzelne Personen.

RisikomanagementRisikomanagement ist die systematische Erfassung, Bewertung und Steuerung von Informationssicherheitsrisiken. Es ist der Schirmbegriff von §30 BSIG.

Root Cause AnalysisDie Root Cause Analysis (RCA) ist eine strukturierte Methode zur Ermittlung der eigentlichen Ursache eines Sicherheitsvorfalls.

RPODie Recovery Point Objective (RPO) ist die maximal akzeptable Datenmenge, deren Verlust bei einer Stoerung toleriert wird.

RTODie Recovery Time Objective (RTO) ist die maximal akzeptable Zeit, bis ein Prozess oder System nach einer Stoerung wieder verfuegbar sein muss.

S

SBOMEine SBOM ist eine maschinenlesbare Liste aller Komponenten einer Software, einschliesslich Open-Source-Bibliotheken und ihrer Versionen.

SchwachstellenmanagementSchwachstellenmanagement ist der kontinuierliche Prozess aus Identifikation, Bewertung, Behandlung und Verifikation technischer Schwachstellen. §30 Abs. 2 Nr. 3 BSIG fordert es.

SIEMEin SIEM sammelt Logdaten aus IT-Systemen, korreliert sie und alarmiert bei verdaechtigen Mustern. Es ist die technische Basis fuer eine wirksame Vorfallserkennung.

SOCEin SOC ist die organisatorische Einheit, die Sicherheitsalarme rund um die Uhr ueberwacht und auf Vorfaelle reagiert. Es bildet zusammen mit dem SIEM die Erkennungsfaehigkeit eines Unternehmens.

T

TLD-Name-RegistryEine TLD-Name-Registry betreibt die Registrierung und Verwaltung einer Top-Level-Domain (z.B. .de) und faellt unter die NIS2-Pflichten.

TLPTThreat-Led Penetration Testing (TLPT) sind realitaetsnahe Red-Team-Tests auf Basis aktueller Bedrohungsszenarien.

V

VerschluesselungVerschluesselung schuetzt Daten durch kryptographische Verfahren vor unbefugter Einsicht. §30 Abs. 2 Nr. 8 BSIG fordert geeignete Konzepte und Verfahren.

W

WEEine wichtige Einrichtung (WE) ist eine mittelgrosse Organisation aus den NIS2-Sektoren mit reaktiver Aufsicht.

NIS2-Glossar