Richtlinie zu Backup und Wiederherstellung

Die Richtlinie zu Backup und Wiederherstellung (P15) legt die verbindlichen Anforderungen der Organisation für Backup und Wiederherstellung von Daten, Systemen und Anwendungen fest. Ihr primärer Zweck ist der Schutz der operativen Resilienz und der Integrität der Organisation und die Unterstützung der Business Continuity auch bei größeren Störungen wie Systemausfällen, Cyberangriffen oder versehentlichen Löschungen. Im Kern beschreibt die Richtlinie sowohl einen standardisierten Ansatz für den Backup-Betrieb als auch klare Wiederherstellungsparameter, insbesondere durch die Definition von Erwartungen an RTO (Recovery Time Objective) und RPO (Recovery Point Objective). Diese Anforderungen sind eng an die Umsetzung des ISMS-Rahmenwerks und Business-Continuity-Pläne angebunden und stellen rechtliche, regulatorische und operative Compliance sicher. Der Geltungsbereich der Richtlinie ist umfassend: Sie betrifft alle geschäftskritischen und operativen Systeme, die vom ISMS-Geltungsbereich abgedeckt sind, einschließlich strukturierter Daten und unstrukturierter Daten wie Datenbanken, Dateien, E-Mails und Konfigurationseinstellungen. Sie erstreckt sich auf alle Arten von Betriebsumgebungen (On-Premises, Hybrid, Cloud), Backup-Medien (physisch, virtuell, offsite) sowie auf sämtliches Personal, das Backup-Prozesse überwacht oder ausführt. Systeme, die von Backup-Aktivitäten ausgeschlossen werden sollen, müssen einer Risikobeurteilung unterzogen, dokumentiert und formal genehmigt werden, was den Schwerpunkt der Richtlinie auf Risikomanagement und Rechenschaftspflicht unterstreicht. Im Rahmen ihrer Ziele legt die Richtlinie fest, dass alle kritischen Assets mit angemessener Frequenz, Redundanz und Verschlüsselung gesichert werden müssen, einschließlich der Dokumentation aller Verfahren, Aufbewahrungspläne und zugewiesenen Verantwortlichen. Wiederherstellungsmechanismen müssen vordefinierte RTO- und RPO-Schwellenwerte auf Basis der Business-Impact-Analyse erfüllen. Die Integrität und Wirksamkeit der Backup-Umgebung werden durch regelmäßige Wiederherstellungstests und die Pflege eines Audit Trails validiert. Zur regulatorischen Ausrichtung setzt die Richtlinie direkt Kontrollen aus ISO/IEC 27001:2022 (einschließlich operativer Kontinuität und sicherer Entsorgung), ISO/IEC 27002:2022 (z. B. Integrität und Wiederherstellungsplanung) sowie Anforderungen aus NIST SP 800-53, GDPR, EU NIS2 und DORA um. Verträge mit Drittdienstleistern für Backups müssen die Erwartungen der Organisation an Verschlüsselung, Entsorgungsverfahren, Benachrichtigung von Sicherheitsvorfällen und Auditnachweise für Tests abbilden. Rollen und Verantwortlichkeiten sind ausdrücklich beschrieben: Strategische Aufsicht liegt bei der Geschäftsleitung und dem Chief Information Security Officer (CISO), operative Ausführung bei IT- und Betriebsteams sowie spezialisierte Governance beim Datenschutzbeauftragten (DPO), den Anwendungsverantwortlichen und relevanten Lieferanten. Die Richtlinie schreibt einen Master Backup Schedule, regelmäßige Überprüfungszyklen, starke Verschlüsselung, getrennte Backup-Umgebungen und strenge Änderungsmanagement-Kontrollen vor. Strikte Governance stellt sicher, dass Audit-Protokollierung aufrechterhalten wird, Ausnahmen sorgfältig gesteuert und risikobewertet werden und Wiederherstellungsfähigkeiten in festgelegten Intervallen getestet werden. Darüber hinaus führt Nichteinhaltung zu Disziplinarmaßnahmen für internes Personal sowie zu Vertragsstrafen oder Eskalationen für Lieferanten; die regelmäßige Prüfung von Protokollen, Zeitplänen und zugehöriger Dokumentation ist Bestandteil von Audit und Compliance sowie der Kontrollsicherstellung. Schließlich wird die Richtlinie mindestens jährlich überprüft, sodass Aktualisierungen strategische, rechtliche oder technologische Änderungen widerspiegeln, und an alle betroffenen Parteien kommuniziert werden. Durch die Verknüpfung mit einer Reihe von Governance-Dokumenten (Risikomanagement, Asset-Management, Datenklassifizierung, Datenaufbewahrung, Datenmaskierung und Incident-Response) ist diese Richtlinie in den umfassenden Ansatz der Organisation zu Datensicherheit, Kontinuität und regulatorischer Compliance eingebettet.