Backup-Anforderungen nach NIS2 und ISO 27001: Was ein Backup erfüllen muss

Was NIS2 verlangt

Die NIS2-Richtlinie der EU und ihre Umsetzung in nationales Recht verpflichten betroffene Unternehmen zu einem Katalog von Risikomanagementmaßnahmen. Darunter stehen ausdrücklich die Aufrechterhaltung des Betriebs, etwa Backup-Management und Wiederherstellung nach einem Notfall, sowie das Krisenmanagement. Die Geschäftsleitung muss die Maßnahmen billigen, überwachen und haftet bei Verstößen persönlich.

Der Text verlangt keine bestimmte Software und keine bestimmte Speicherfrist. Er verlangt, dass es ein Backup gibt, dass es dem Stand der Technik entspricht, dass die Wiederherstellung funktioniert und dass das Unternehmen das nachweisen kann. Das ist mehr, als es klingt: „nachweisen“ heißt, dass es Dokumente, Protokolle und benannte Verantwortliche gibt.

Dazu kommen Meldepflichten: Ein erheblicher Sicherheitsvorfall muss innerhalb kurzer Fristen an die zuständige Behörde gemeldet werden. Wer dann sagen kann, wann der letzte saubere Sicherungspunkt war und wie lange die Wiederherstellung dauert, ist in einer anderen Position als jemand, der das erst herausfinden muss.

Was ISO 27001 verlangt

ISO 27001 beschreibt ein Managementsystem für Informationssicherheit. Die Maßnahmen im Anhang der Norm enthalten eine eigene Anforderung an die Sicherung von Informationen: Kopien von Informationen, Software und Systemen sind nach einer festgelegten Richtlinie zu erstellen, zu testen und aufzubewahren. Weitere Maßnahmen betreffen die Planung der Betriebskontinuität, den Schutz vor Schadsoftware und die Protokollierung.

Ein Auditor prüft bei der Sicherung typischerweise vier Dinge: Gibt es eine Backup-Richtlinie, die Umfang, Häufigkeit und Aufbewahrung festlegt? Wird sie umgesetzt, also gibt es Protokolle erfolgreicher Sicherungen? Wird die Wiederherstellung getestet, und gibt es Protokolle davon? Sind die Sicherungen gegen unbefugten Zugriff und Veränderung geschützt?

Auch hier: keine Vorschrift zur Technik. Ein Bandlaufwerk im Tresor kann die Anforderungen erfüllen, wenn Richtlinie, Test und Nachweis stimmen. In der Praxis erfüllt ein betreutes Cloud-Backup sie mit deutlich weniger Aufwand, weil die Protokolle als Nebenprodukt des Betriebs entstehen.

Die Anforderungen in Eigenschaften übersetzt

Aus beiden Rahmenwerken lässt sich eine Liste von Eigenschaften ableiten, die ein Backup haben sollte, damit es vor einem Auditor und vor einem Angreifer besteht.

• Vollständigkeit: Alle Systeme, die für den Betrieb nötig sind, werden gesichert. Das schließt Microsoft 365 ein, das häufig vergessen wird, weil es „in der Cloud“ liegt.
• Häufigkeit und Aufbewahrung nach Richtlinie: Wie oft gesichert wird und wie lange Sicherungen bleiben, ist schriftlich festgelegt und begründet, etwa mit gesetzlichen Fristen.
• Trennung: Mindestens eine Kopie liegt außerhalb des Produktionsnetzes und ist gegen Löschung geschützt, im besten Fall unveränderbar für eine feste Frist.
• Verschlüsselung: Sicherungen sind bei Übertragung und Ablage verschlüsselt, die Schlüssel liegen beim Unternehmen oder in einem geregelten Verfahren.
• Geprüfte Wiederherstellung: Es gibt regelmäßige, protokollierte Tests, aus denen die tatsächliche Wiederanlaufzeit hervorgeht.
• Überwachung: Fehlgeschlagene Sicherungen werden erkannt und bearbeitet, nicht nur protokolliert.
• Verantwortliche: Es ist benannt, wer den Betrieb verantwortet, wer eine Wiederherstellung auslösen darf und wer im Notfall entscheidet.
• Wiederanlaufplan: Für kritische Systeme ist festgelegt, in welcher Reihenfolge sie zurückkommen und wie lange das dauern darf.

Zwei Kennzahlen, die jeder Auditor kennt

Zwei Begriffe tauchen in jedem Gespräch über Betriebskontinuität auf: RPO und RTO. Der Recovery Point Objective beschreibt, wie viel Datenverlust tragbar ist, gemessen in Zeit seit der letzten Sicherung. Der Recovery Time Objective beschreibt, wie lange ein System ausfallen darf, bis es wieder läuft.

Beide Werte legt das Unternehmen fest, nicht der Dienstleister. Eine Warenwirtschaft, die jede Stunde Buchungen verarbeitet, verträgt einen RPO von einem Tag nicht; ein Archivserver schon. Der Sicherungsplan folgt aus diesen Werten: Häufigkeit der Sicherung aus dem RPO, Wiederherstellungsweg aus dem RTO. Wer einen RTO von wenigen Stunden für den zentralen Server braucht, kommt um eine Notfallwiederherstellung mit Failover kaum herum, weil die Rückführung aus der Cloud allein länger dauert.

Für den Nachweis reicht es nicht, die Werte zu benennen. Der Restore-Test muss zeigen, dass sie erreicht werden. Das Protokoll mit gemessener Dauer ist das Dokument, das im Audit gefragt wird.

Welche Nachweise ein betreutes Backup liefert

Der Vorteil eines betreuten Backups liegt für NIS2 und ISO 27001 weniger in der Technik als in den Dokumenten, die der Betrieb ohnehin erzeugt. Bei uns sind das:

• Der Sicherungsplan als Richtlinie: Systeme, Häufigkeit, Aufbewahrung, Speicherort, Verschlüsselung, Verantwortliche.
• Der monatliche Statusbericht: erfolgreiche und fehlgeschlagene Sicherungen, belegter Speicher, bearbeitete Vorfälle.
• Das Restore-Test-Protokoll: was wiederhergestellt wurde, wie lange es gedauert hat, ob die Anwendung lief.
• Bei Notfallwiederherstellung: der Notfallplan mit Startreihenfolge und das Protokoll des Test-Failovers.
• Der Auftragsverarbeitungsvertrag und die Angabe des Rechenzentrums als Nachweis für den Datenschutz.

Diese Unterlagen decken den Backup-Teil eines Audits ab. Was sie nicht ersetzen, ist das Managementsystem selbst: Risikobewertung, Leitlinie, Schulung, interne Audits. Dafür gibt es die Begleitung zu ISO 27001 und IT-Grundschutz, die wir getrennt anbieten.

Auch Microsoft 365 gehört in die Richtlinie

Eine Lücke, die in Audits regelmäßig auffällt, betrifft die Cloud-Dienste. Die Backup-Richtlinie beschreibt die Server im Haus, aber nicht Exchange Online, SharePoint und Teams, obwohl dort inzwischen ein großer Teil der geschäftlichen Kommunikation und Dokumente liegt. Für NIS2 und ISO 27001 macht es keinen Unterschied, wo ein System läuft: Ist es für den Betrieb nötig, muss es in der Richtlinie stehen, gesichert werden und wiederherstellbar sein.

Für Microsoft 365 heißt das: ein Backup außerhalb des Tenants mit festgelegter Aufbewahrung, ein Nachweis, dass eine Wiederherstellung funktioniert, und für die geschäftliche E-Mail zusätzlich eine revisionssichere Archivierung, wenn steuer- oder handelsrechtliche Aufbewahrungspflichten gelten. Beides lässt sich in dieselbe Richtlinie aufnehmen wie die Server, mit denselben Feldern: Umfang, Häufigkeit, Frist, Speicherort, Verantwortlicher, Testintervall.

Häufige Lücken aus der Praxis

In Bestandsaufnahmen begegnen uns immer wieder dieselben Lücken, die in einem Audit auffallen würden: Microsoft 365 ist nicht gesichert, weil „Microsoft das macht“. Die Wiederherstellung wurde nie getestet, deshalb ist die Wiederanlaufzeit eine Schätzung. Die Sicherung liegt auf einem NAS im selben Netz, mit dem Domänen-Administrator als Zugang. Es gibt keine schriftliche Richtlinie, nur die Einstellungen in der Software. Und niemand ist benannt, der im Notfall entscheidet.

Keine dieser Lücken ist teuer zu schließen. Alle fallen erst im Ernstfall oder im Audit auf, also zum schlechtesten Zeitpunkt.