Ein Backup zählt nur, wenn Sie auch wissen, dass die Wiederherstellung funktioniert. Nicht als Annahme, sondern als etwas, das Sie tatsächlich ausprobiert haben: eine Wiederherstellung durchgeführt, gemessen, wie lange das dauerte, und überprüft, ob alles wieder so war, wie es sein sollte. Ohne diesen Test wissen Sie nur, dass irgendwo eine Kopie existiert — nicht, ob diese Kopie Ihnen je weiterhilft.
Für ein Installationsbetrieb ist das keine theoretische Frage. Hinter der Planung von Monteuren, den Zugriffscodes von Kundengebäuden und den Schnittstellen zu Sicherheitssystemen stecken Systeme, die bei Ausfällen nicht nur Ihren eigenen Geschäftsbetrieb beeinträchtigen, sondern auch den Zugang eines Auftraggebers zu seinem eigenen Gebäude. Wer das Serviceteam betreibt, das eine Tür, einen Alarm oder eine Klimaanlage remote steuert, ist für diesen Auftraggeber ein Glied in der Lieferkette, das einfach funktionieren muss.
Warum eine ungetestete Sicherung nicht zählt
Ein Backup kann sich aus vielen Gründen genau dann als unbrauchbar erweisen, wenn Sie es benötigen. Die Datei ist beschädigt, der Schlüssel zu ihrer Entschlüsselung fehlt, die Reihenfolge, in der Systeme wiederhergestellt werden müssen, ist nirgends dokumentiert, oder es dauert einfach viel länger als erwartet. Das werden Sie nicht an einem ruhigen Dienstag bemerken — das werden Sie genau dann bemerken, wenn der Einsatzplan aller Monteure ausgefallen ist und ein Kunde fragt, warum sein Zugangsystem seit zwei Tagen nicht reagiert.
Die Sorgfaltspflicht, die sich aus der NIS2-Richtlinie ergibt, behandelt Backup und Wiederherstellung daher nicht als technische Nebensache, sondern als eine der grundlegenden Maßnahmen. Was die Richtlinie selbst nicht tut, ist die Festlegung einer festen Testhäufigkeit — wie oft Sie testen, steht nirgends als konkrete Zahl im Text. Aufsichtsbehörden prüfen bei solchen Maßnahmen in der Regel, ob eine Organisation nachweisen kann, dass sie weiß, welche Systeme kritisch sind, und dass sie regelmäßig kontrolliert, ob die Wiederherstellung tatsächlich funktioniert, angepasst an die Abhängigkeit des Unternehmens von diesen Systemen.
Was Installationsbetriebe im Besonderen betrifft
Bei einem Installationsbetrieb geht es nicht nur um die eigene Buchhaltung. Denken Sie an die Planungssoftware, in der Techniker ihre Routen und Aufträge erhalten, das CRM mit Vertragsdaten und Garantiebedingungen von Kunden, und die Schnittstellen zu Zutrittssystemen oder Gebäudemanagementsystemen bei Auftraggeben. Ein Techniker, der sich über eine VPN-Verbindung ins Netzwerk eines Kunden einwählen kann, ist für diesen Kunden eine zusätzliche Tür nach innen — eine Tür, die auch wieder geschlossen werden können muss, wenn etwas schiefgeht.
Gerade diese Schnittstellen machen die Wiederherstellung schwieriger als bei einem normalen Bürosystem. Es geht nicht nur um die Wiederherstellung Ihrer eigenen Daten, sondern auch um die Frage, ob Zugriffsrechte, Zertifikate und Passwörter für Kundenumgebungen nach einer Wiederherstellung noch korrekt sind. Ein Test, der nur Ihr eigenes Dateisystem wiederherstellt, sagt wenig darüber aus, ob die Schnittstelle zu einem Kunden nach einer Störung wieder wie vereinbart funktioniert.
Was ein Test konkret bedeutet
Ein sinnvoller Wiederherstellungstest besteht aus einigen festen Komponenten: Sie stellen ein Backup tatsächlich wieder her, vorzugsweise in einer separaten Umgebung, damit der Test kein Risiko für laufende Arbeiten darstellt. Sie messen, wie viel Zeit dies in Anspruch nimmt, und vergleichen dies mit dem, was für Ihre Planung und für die Vereinbarungen mit Auftraggebern akzeptabel ist. Sie überprüfen, ob alle Daten vollständig und nutzbar sind, einschließlich Schnittstellen zu externen Systemen. Und Sie dokumentieren, wer den Test durchgeführt hat, wann und was dabei herausgekommen ist — auch wenn das Ergebnis nicht gut war, denn genau das ist der Anlass, etwas zu verbessern.
Diese Dokumentation ist gleichzeitig das Beweismaterial, das ein Auftraggeber in einer Sicherheitsfrageliste verlangen kann, und der Bestandteil, den eine Aufsichtsbehörde in einer Akte zur Erfüllung der Sorgfaltspflicht erwartet zu finden. Wer für sich selbst überprüfen möchte, ob diese Akte bereits in Ordnung ist oder noch begonnen werden muss, findet in eine kurze Überprüfung, wo Sie derzeit stehen eine erste Orientierung mit einer Erklärung, warum.
Für Unternehmen, die unsicher sind, ob diese Verpflichtungen sie unmittelbar betreffen oder ob sie vor allem über die Anforderungen eines Auftragsgebers an sie herangetragen werden, ist die Unterscheidung zwischen direkter Verpflichtung und Betroffenheit über die Lieferkette oft der Ausgangspunkt. Diese Unterscheidung und ihre Auswirkungen auf Ihre übrigen Maßnahmen sind ausführlich dargelegt zwischen den Themen, die pro Situation ausgewählt wurden.
Wer nach der Lektüre solcher Maßnahmen vor allem praktische Fragen hat — etwa darüber, welche Funktionen ein Konto bietet, was kostenlos bleibt und was nicht — findet die meisten Antworten in den häufig gestellten Fragen zur Plattform. Und wer das Dossier tatsächlich führen möchte, mit Status und Verantwortlichem pro Maßnahme, findet auf der Seite mit den Abonnements die entsprechenden Informationen.
Ob eine nicht getestete Sicherung in Ihrer Situation ein Risiko darstellt, das ein Aufsichtsbehörde anders bewertet als eine getestete, ist etwas, das dieser Artikel nicht für Sie feststellen kann — das hängt von Ihren eigenen Systemen und Vereinbarungen ab, und dafür ist der Weg zu einem Juristen oder zur Aufsichtsbehörde der richtige. Wenn Sie zunächst selbst einen Eindruck bekommen möchten, wo Sie stehen, führen Sie gerne die kostenlose Quick-Scan durch oder blättern Sie durch die Themen, die für Ihren Sektor ausgearbeitet sind.