Backup und Wiederherstellung unter NIS2
§ 30 Abs. 2 Nr. 3 BSIG nennt Aufrechterhaltung des Betriebs ausdrücklich einschließlich Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement. Ein vorhandenes Backup genügt deshalb nicht. Entscheidend ist die nachgewiesene Fähigkeit, kritische Dienste innerhalb geschäftlich akzeptabler Grenzen wiederherzustellen.
RTO, RPO und Wiederanlaufprioritäten
Recovery Time Objective und Recovery Point Objective sollten aus Geschäftsanforderungen abgeleitet werden. Ohne abgestimmte Zielwerte lässt sich weder Architektur noch Testergebnis sinnvoll beurteilen. Zusätzlich braucht es eine Wiederanlaufreihenfolge für abhängige Services.
Worauf es bei der Backup-Architektur ankommt
- Trennung vom produktiven Identitäts- und Administrationspfad
- Schutz gegen Manipulation und Löschung
- ausreichende Versionierung und Retention
- Abdeckung kritischer Systeme, Konfigurationen und Daten
- Überwachung von Jobs und Kapazität
- gesicherte Recovery-Zugänge und Dokumentation
Die konkrete technische Ausgestaltung muss risikobasiert zur Umgebung passen.
Der Restore-Test ist der entscheidende Nachweis
Job-Erfolg oder Backup-Status beweisen noch keine Wiederherstellbarkeit. Ein belastbarer Test prüft Datenintegrität, benötigte Infrastruktur, Identitäten, Netzwerk, Schlüssel, Applikationsabhängigkeiten und die tatsächlich benötigte Zeit bis zur nutzbaren Geschäftsleistung.
Executive-Frage: Welche drei geschäftskritischen Services wurden zuletzt vollständig wiederhergestellt – und lagen die Ergebnisse innerhalb der vereinbarten RTO/RPO?
Recovery unter kompromittierter Umgebung
Im Cybervorfall kann die normale Administrationsumgebung selbst kompromittiert sein. Recovery-Planung sollte deshalb berücksichtigen, wie vertrauenswürdige Identitäten, Managementzugänge, Netzwerkpfade und saubere Wiederherstellungsumgebungen bereitgestellt werden.
Welche Nachweise Management braucht
Geeignete Evidenz umfasst Scope und Kritikalität, Backup-Policy/Standard, technische Abdeckung, Monitoring, Restore-Protokolle, Abweichungen, Maßnahmen und Managemententscheidungen zu verbleibenden Risiken. Mehr dazu unter NIS2-Dokumente und Nachweise.
Typische Fehler
- „Backup erfolgreich“ wird mit „Service wiederherstellbar“ gleichgesetzt.
- RTO/RPO sind technische Annahmen statt Business-Entscheidungen.
- Restore-Tests prüfen nur einzelne Dateien.
- Abhängigkeiten wie AD, DNS, Zertifikate oder Schlüssel fehlen im Recovery-Plan.
- kritische Findings aus Tests werden nicht eskaliert.
Passende NIS2 Resources
Die Fachseite ordnet das Thema ein. Für die strukturierte Standortbestimmung und die organisatorische Umsetzung stehen die NIS2 Toolkits bereit.
NIS2 Self-Assessment Toolkit
Executive Capabilities bewerten, Gaps erkennen und Handlungsbedarf priorisieren.
NIS2 Governance Toolkit
Governance-Dokumente, Prozesse, Rollen, Register, Nachweise und Implementierungshilfen für die Umsetzung.
Verwandte NIS2-Themen
Quellen und Rechtsstand
Inhaltlicher Stand: 9. August 2026. Maßgeblich bleiben der jeweils geltende Gesetzes- und Behördenstand sowie die konkrete Situation der Einrichtung.
Hinweis: Fachliche Orientierung; keine Rechtsberatung.