Sicherungen und Wiederherstellung in der IKT-Dienstleistung: Wann haben Sie diese zuletzt getestet?
Die Frage "Haben Sie eine Sicherung" ist nicht die Frage, die zählt. Die Frage, die zählt, ist: Wann hat zuletzt jemand versucht, ein System von dieser Sicherung aus tatsächlich wiederherzustellen, und wie lange hat das gedauert? Eine Sicherung, die zwar erstellt wird, aber nie wiederhergestellt wird, ist in der Praxis eine Annahme. Behörden und Auftraggeber, die sich auf die Risikobehersungsmaßnahmen aus der Richtlinie (EU) 2022/2555 stützen, schauen daher nicht nur auf die Existenz einer Sicherungsrichtlinie, sondern auf den Nachweis, dass die Wiederherstellung tatsächlich funktioniert.
Für einen IKT-Dienstleister ist das keine Nebensache. Sie verwalten oft nicht nur Ihre eigene Umgebung, sondern auch Systeme von Kunden in der Ferne, manchmal mit Hilfe eines Unterauftragnehmers. Wenn dort etwas schiefgeht, kommt es nicht darauf an, wer den Fehler gemacht hat, sondern darauf, ob die Wiederherstellung in einer Zeit funktioniert hat, die der Kunde verantworten konnte. Das macht den Wiederherstellungstest zu einer der wenigen Maßnahmen, die Sie nicht mit einem Dokument abhaken können.
Warum eine ungetestete Sicherung nicht zählt
Eine Sicherung kann aus verschiedensten Gründen nicht brauchbar sein: eine beschädigte Datei, eine falsche Konfiguration, ein Passwort, das niemand mehr kennt, oder ein Wiederherstellungsverfahren, das auf dem Papier stimmt, aber in der Praxis drei Tage statt drei Stunden dauert. Keines dieser Probleme wird sichtbar, bis jemand die Sicherung tatsächlich verwendet. Artikel 21 der Richtlinie (EU) 2022/2555 nennt Sicherungs- und Wiederherstellungsrichtlinien ausdrücklich als Teil der Risikobehersungsmaßnahmen, die eine Organisation bei ihren Lieferanten berücksichtigt. Das bedeutet in der Praxis, dass ein Auftraggeber, der selbst unter die Risikobehersungsverpflichtung fällt, seinen IKT-Lieferanten fragt, wie die Wiederherstellung geregelt ist und zunehmend häufiger, wann diese zuletzt getestet wurde.
Was eine Behörde oder ein Auftraggeber unter "getestet" versteht, ist nicht einheitlich festgelegt, aber die Kernfrage taucht immer wieder auf: Gab es einen Moment, in dem ein System oder ein Datensatz tatsächlich wiederhergestellt wurde, getrennt von der Produktionsumgebung, und wurde das Ergebnis dokumentiert? Ein Testbericht mit Datum und Ergebnis ist etwas anderes als eine interne Mitteilung, dass "die Sicherungen laufen".
Fernverwaltung: Wessen Sicherung ist es eigentlich
Bei der Fernverwaltung liegt die Sicherung eines Kundensystems oft nicht physisch beim Kunden, sondern beim Dienstleister oder bei einem Clouddienst, den der Dienstleister im Auftrag des Kunden eingerichtet hat. Das verschiebt eine Frage, die auf den ersten Blick technisch wirkt, zu einer Frage der Verantwortung: Wer testet, wer bewahrt das Testergebnis auf, und wer kann nachweisen, dass die Wiederherstellung funktioniert, wenn der Kunde danach fragt? Eine Sicherheitsfrageliste eines Auftraggebers fragt hier immer konkreter nach, und "das macht unser Hosting-Partner" ist für eine Behörde oder einen Prüfer keine Antwort — es ist eine Verweisung, die eine eigene Überprüfung erfordert.
Es ist daher ratsam, pro Kundensystem festzulegen, wer Zugriff auf die Sicherung hat, wie dieser Zugriff geschützt ist, und wer für den letzten Wiederherstellungstest verantwortlich ist. die Risikobehersungsmaßnahmen pro Thema zusammengestellt zeigt, wie Sicherung und Wiederherstellung sich zu anderen Maßnahmen aus der Risikobehersungsverpflichtung verhalten, wie Zugriffskontrolle und Vorfallregistrierung.
Unterauftragnehmer: Wer testet was
Viele IKT-Dienstleister arbeiten mit Unterauftragnehmern für spezifische Teile zusammen: ein Hosting-Partner, ein Partner, der die Firewall verwaltet, ein Freelancer, der Patches bereitstellt. Wenn einer von ihnen auch die Sicherung verwaltet, verschwindet der Wiederherstellungstest leicht zwischen zwei Parteien: Der Dienstleister denkt, der Unterauftragnehmer testet, der Unterauftragnehmer denkt, das gehört nicht zu seinem Auftrag. Für den Auftraggeber macht das keinen Unterschied — er stellt die Frage an die Partei, mit der er einen Vertrag hat.
Daher ist es sinnvoll, in den Vereinbarungen mit einem Unterauftragnehmer ausdrücklich festzuhalten, wer die Wiederherstellungsprüfung durchführt, wie oft und wer die Nachweisdokumentation aufbewahrt. Diese Nachweisdokumentation muss kein umfassendes Bericht sein; ein Datum, eine Beschreibung dessen, was wiederhergestellt wurde, und das Ergebnis reichen in der Regel aus, um einem Auftraggeber zu zeigen, dass Wiederherstellung keine Annahme ist.
Was Sie dokumentieren und was nicht
Eine Wiederherstellungsprüfung ist Handarbeit: jemand setzt ein System zurück, misst, wie lange das dauert, und überprüft, ob die Daten stimmen. Diese Arbeit führen Sie selbst durch oder lassen Sie von Ihrem Verwaltungspartner durchführen; eine Plattform kann das nicht für Sie tun, genauso wenig wie sie einen Penetrationstest oder ein Audit ersetzen kann. Was jedoch hilft, ist ein Ort, an dem das Ergebnis jeder Prüfung zusammen mit den anderen Risikomanagementmaßnahmen gespeichert ist, damit Sie bei der nächsten Frageliste nicht nachsuchen müssen, wann dies zuletzt durchgeführt wurde.
Wenn Sie noch nicht wissen, ob Ihre Organisation selbst unter die Sorgfaltspflicht fällt oder nur über einen Auftraggeber mit diesen Fragen konfrontiert wird, zeigt in fünf Fragen sehen Sie, wo Sie stehen einen ersten Anhaltspunkt dafür. Wenn Sie wissen möchten, wie wir mit den Daten umgehen, die Sie in einem solchen Dossier dokumentieren, wie wir mit Ihren Daten umgehen erklären Sie das. Und falls Sie unsicher sein sollten, ob Ihre Situation genau hier zutrifft, schauen Sie bitte bei Antworten auf häufig gestellte Fragen nach oder konsultieren Sie die für Ihren Sektor zuständige Behörde.
Die kostenlose NIS2-Überprüfung und die Wissensdatenbank auf secria.eu zeigen, wo Sicherung und Wiederherstellung in Ihrer Situation genau stehen, ohne dass Sie dafür ein Konto benötigen.