ISO 27001:2022 · A.5.30 · A.5 Organisatorische Maßnahmen
IKT-Bereitschaft für Geschäftskontinuität
Die IKT-Bereitschaft muss auf Grundlage von Geschäftskontinuitätszielen und IKT-Kontinuitätsanforderungen geplant, umgesetzt, aufrechterhalten und getestet werden.
ISO 27001NIS2TISAXDORABSI
Was fordert dieses Control?
Die IKT-Bereitschaft muss auf Grundlage von Geschäftskontinuitätszielen und IKT-Kontinuitätsanforderungen geplant, umgesetzt, aufrechterhalten und getestet werden.
Warum ist das wichtig?
Geschäftsprozesse hängen an der IT. Definierte Wiederanlaufziele und getestete Wiederherstellung stellen sicher, dass kritische Systeme rechtzeitig zurückkehren.
Bezug zu anderen Normen
| Norm | Stelle | Thema | Bezug |
|---|---|---|---|
| NIS2 | § 30 Abs. 2 BSIG | Backup & Wiederherstellung | Direkt |
| TISAX | 7.1.1 | IT-Notfallplanung | Direkt |
| DORA | Art. 11 | Reaktion und Wiederherstellung | Direkt |
| BSI | CON.3 | Datensicherungskonzept | Indirekt |
| BSI | DER.4 | Notfallmanagement | Direkt |
Was der Auditor erwartet
- Definierte RTO/RPO für kritische Systeme
- Wiederanlaufpläne für die IKT
- Regelmäßige Tests der Wiederherstellung
Audit-Checkliste
Dokumente
IT-WiederanlaufpläneRTO/RPO und Wiederherstellungsschritte je System
Nachweise
WiederherstellungstestsDurchgeführte Tests mit Ergebnis und Lessons Learned
BIA mit RTO/RPO je DienstBusiness-Impact-Analyse, aus der Wiederanlaufziele je Dienst hervorgehen
Restore-Testprotokolle mit ZeitmessungGemessene Wiederherstellungszeiten im Abgleich mit der RTO
Interviews
IT-BetriebKenntnis der Wiederanlaufprozesse
Technisch
Backup-/Restore-FähigkeitFunktionierende, getestete Wiederherstellung
Praxis-Tipps zur Umsetzung
RTO/RPO ableitenWiederanlaufziele aus der Business-Impact-Analyse herleiten.
Restore testenBackups regelmäßig wiederherstellen, nicht nur sichern.
Pläne aktuell haltenWiederanlaufpläne nach Änderungen der IT-Landschaft pflegen.
Immutable-Kopie vorhaltenNach der 3-2-1-Regel eine Offline- oder Immutable-Kopie gegen Ransomware sichern.
Häufige Fehler
Backup nie getestetSicherungen existieren, lassen sich aber im Ernstfall nicht zurückspielen.
Keine RTO/RPOEs gibt keine Vorgabe, wie schnell und mit welchem Datenverlust wiederhergestellt wird.
Häufig gestellte Fragen
Was bedeuten RTO und RPO?
RTO ist die maximal tolerierbare Wiederanlaufzeit, RPO der maximal tolerierbare Datenverlust.
Wie oft muss man Restores testen?
Regelmäßig, mindestens jährlich und nach wesentlichen Änderungen der Systeme.
Reicht ein Backup als IKT-Bereitschaft?
Nein, nötig sind getestete Wiederherstellung, definierte Ziele und Wiederanlaufpläne.
So hilft CompliantDesk bei A.5.30
Hinterlegen Sie RTO/RPO und Wiederanlaufpläne im BCM-Modul und planen Sie Wiederherstellungstests als wiederkehrende Termine.
Bereit für ein ISMS, das nicht bei Excel endet?
Demo buchenKostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten