Risikomanagementmaßnahmen
cybersecurity risk-management measures für die technischen und organisatorischen Vorkehrungen nach der Richtlinie; sie sind ein gesetzlicher Mindestkatalog, keine freie Auswahl. Angemessenheit bemisst sich am Risiko, nicht am Budget. Im Zweifel entscheidet, ob alle Punkte des Katalogs abgedeckt sind.
Die Richtlinie nennt einen Katalog, der abzuarbeiten ist: Risikoanalyse, Bewältigung von Vorfällen, Aufrechterhaltung des Betriebs, Sicherheit der Lieferkette, Sicherheit bei Beschaffung und Entwicklung, Bewertung der Wirksamkeit, Schulung, Kryptographie, Personalsicherheit und Zugriffskontrolle gehören dazu. Ein anerkanntes Managementsystem für Informationssicherheit deckt vieles ab, ersetzt aber nicht die Prüfung, ob jeder Punkt erfüllt ist.
Der Katalog ist abzuarbeiten, eine Auswahl nach Zweckmäßigkeit genügt nicht.
Ein anerkanntes Managementsystem deckt vieles ab, ersetzt die Einzelprüfung aber nicht.
Die Angemessenheit bemisst sich am Risiko und an der Größe, nicht am verfügbaren Budget.
Security measures ist unspezifisch und lässt den gesetzlichen Katalog verschwinden.
Baut ein Unternehmen sein Sicherheitskonzept auf, ist der gesetzliche Katalog der Maßstab. Steht nur security measures, wird aus einer Pflichtenliste eine Empfehlung. Für eine Projektskizze nachrangig; bei einer Prüfung fehlen einzelne Katalogpunkte.
Weil Risikomanagementmaßnahmen zusammengesetzt ist, kürzt eine Maschine zu security measures oder risk measures und lässt den gesetzlichen Katalog verschwinden. Aus einer abzuarbeitenden Liste wird eine Auswahl nach Zweckmäßigkeit. Wo die Katalogpunkte genannt sind, klärt es sich; in einem Konzept fehlen einzelne Pflichten.
Der Begriffsraum erklärt Sprache, nicht den Einzelfall. Er ersetzt keine Rechtsberatung. Bei rechtlich verbindlichen Dokumenten sollte die Übersetzung fachkundig geprüft werden.