Sicherungen und Wiederherstellung in der Metall- und Fertigungsindustrie: Wann haben Sie es zuletzt getestet?
Die entscheidende Frage ist nicht, ob eine Sicherung vorhanden ist, sondern wann jemand zuletzt versucht hat, diese wiederherzustellen. Eine Sicherung, die erstellt, aber nie wiederhergestellt wird, kann unvollständig sein, beschädigt sein oder schlicht nicht auf den Systemen funktionieren, auf denen sie eines Tages laufen soll. Das stellen Sie nicht durch Überprüfung einer Protokolldatei fest, sondern indem Sie es tatsächlich versuchen.
Für die Metall- und Fertigungsindustrie ist dies keine theoretische Frage. CNC-Steuerungen, MES-Software, SPS-Systeme und die dazugehörigen Planungssysteme sind zunehmend an das gleiche Netzwerk wie die Büroautomatisierung angebunden. Fällt dieses Netzwerk durch einen technischen Defekt oder durch ein Vorkommnis aus, geht es nicht nur darum, ob Daten zurückkommen, sondern ob die Produktionslinie innerhalb einer angemessenen Zeit wieder läuft. Das ist der Gegenstand der Compliance-Maßnahmen aus der NIS2-Richtlinie: nicht der Besitz einer Sicherung, sondern die nachgewiesene Fähigkeit zur Wiederherstellung.
Warum ein Wiederherstellungstest wichtiger ist als die Sicherung selbst
Eine Sicherungsstrategie besteht normalerweise aus drei Komponenten: was kopiert wird, wie häufig und wo es gespeichert wird. Das sind die Komponenten, die Unternehmen in der Regel in Ordnung haben, oft schon seit Jahren über ihren IT-Dienstleister. Die vierte Komponente fehlt bei vielen KMU-Betrieben: ein geplanter, wiederholter Test, bei dem jemand die Sicherung tatsächlich in einer Testumgebung wiederherstellt und überprüft, ob das Ergebnis funktioniert.
Dieser Test zeigt, ob Sicherung und Wiederherstellung tatsächlich zusammenpassen. Eine Sicherung eines Datenbankservers ohne die entsprechenden Konfigurationsdateien des angeschlossenen Systems ist in der Praxis häufig unbrauchbar. Das Gleiche gilt für eine Sicherung, die die Datei zwar enthält, aber nicht den Lizenzschlüssel oder die Verbindung zur Steuerung, die die Produktionslinie antreibt. Solche Lücken finden Sie nur durch Wiederherstellung, nicht durch Überprüfung der Einstellungen.
Was dies für an das Netzwerk angeschlossene Systeme bedeutet
Produktionssysteme, die früher eigenständig waren, sind in vielen Betrieben inzwischen mit dem Büronetzwerk verbunden: für Fernwartung, für Planungsdaten oder weil ein Lieferant Zugang für Updates benötigt. Diese Verbindung macht den Betrieb effizienter, bedeutet aber auch, dass ein Ausfall oder Vorkommnis im Büronetzwerk auf die Produktionsfläche durchschlagen kann.
Bei der Prüfung der Wiederherstellung ist es daher sinnvoll, zwischen der Sicherung von Verwaltungssystemen und der Sicherung von Produktionssystemen zu unterscheiden. Beide haben ihre eigene Wiederherstellungszeit, ihren eigenen Verantwortlichen und ihr eigenes Risiko im Fall eines Fehlers. Ein Test, der nur den Büroserver abdeckt, sagt nichts darüber aus, wie schnell eine CNC-Maschine nach einem Ausfall wieder eine Zeichnung einlesen kann.
Was Sie dokumentieren und warum dies genauso wichtig ist wie der Test selbst
Ein Wiederherstellungstest, der nicht dokumentiert wurde, ist für eine Aufsichtsbehörde oder einen Auftraggeber nicht zu unterscheiden von einem Test, der nie stattgefunden hat. Die Dokumentation muss nicht kompliziert sein: das Datum des Tests, welches System wiederhergestellt wurde, wer es durchgeführt hat und welches Ergebnis erzielt wurde. Das ist genau die Art von Beleg, der in einer Sicherheitsfrageliste eines Auftraggebers auftaucht, und die Art von Dokumentation, die im Fall einer Meldung eines Vorfalls relevant wird.
Wer dies nach Maßnahme ordnen möchte, findet in die Übersicht aller Themen pro Situation wie Sicherung und Wiederherstellung sich zu den anderen neun Compliance-Maßnahmen verhalten, wie beispielsweise Zugriffskontrolle und Vorfallregistrierung. Dies verhindert, dass die Wiederherstellung isoliert bestehen bleibt, losgelöst vom übrigen Dossier.
Wie häufig ist Testen ausreichend
Es gibt keine feste Frist, die für jedes Unternehmen gilt; das hängt davon ab, wie kritisch das System ist und wie schnell es nach einem Ausfall wieder laufen muss. Ein jährlicher Test ist für einige Systeme zu wenig, für andere völlig ausreichend. Aufsichtsbehörden und die Richtlinie selbst schreiben kein Intervall vor; sie erwarten, dass eine Organisation selbst erklären kann, warum die gewählte Häufigkeit dem Wert des Systems entspricht.
Sind Sie unsicher, ob Ihr Unternehmen als wesentliche oder wichtige Einrichtung der Sorgfaltspflicht unterliegt oder nur über einen Auftraggeber mit Fragen zu Sicherungen zu tun hat, dann gibt die NIS2-Prüfung Ihnen dazu in einigen Fragen einen ersten Anhaltspunkt. Häufig gestellte Fragen darüber, was verpflichtend ist und was nicht, finden Sie gesammelt unter der Seite mit häufig gestellten Fragen.
Ein Wiederherstellungstest kostet Zeit, aber weniger als das Neuaufbau eines Produktionssystems, ohne dass jemand weiß, ob die Sicherung funktioniert. Möchten Sie sehen, wie dies zusammen mit den anderen Anforderungen in eine Akte passt, mit einem Status, einem Nachweis und einem Verantwortlichen pro Maßnahme? Führen Sie zunächst die kostenlose NIS2-Prüfung durch, oder lesen Sie gerne weiter in der Wissensdatenbank.