A.8 Technologische Maßnahmen
Sicherung von Informationen (Backup)
Sicherungskopien von Informationen, Software und Systemen müssen gemäß einer vereinbarten Sicherungsrichtlinie erstellt und regelmäßig getestet werden.
Was fordert dieses Control?
Sicherungskopien von Informationen, Software und Systemen müssen gemäß einer vereinbarten Sicherungsrichtlinie erstellt und regelmäßig getestet werden.
Warum ist das wichtig?
Backups sind die letzte Verteidigungslinie gegen Ransomware, Ausfälle und Fehler. Nur getestete, geschützte Sicherungen garantieren eine echte Wiederherstellbarkeit.
Cross-Standard-Mapping
| Standard | Control-ID | Relevanz |
|---|---|---|
| NIS2 | Art. 21 (2) | Direkt |
| TISAX | 5.2.7 | Direkt |
| BSI | CON.3 | Direkt |
Was der Auditor erwartet
- 1Backup-Richtlinie mit Umfang, Frequenz und Aufbewahrung
- 2Schutz der Backups (offline/immutable) gegen Ransomware
- 3Regelmäßige Wiederherstellungstests
Audit-Checkliste
Dokumente
Backup-Konzept
Was, wie oft, wie lange und wohin gesichert wird
Nachweise
Restore-Testprotokolle
Erfolgreiche, dokumentierte Wiederherstellungen
Interviews
IT-Betrieb
Backup-Überwachung und Vorgehen bei Restore
Technisch
Backup-Status
Erfolgreiche Jobs, Offline-/Immutable-Kopien
Praxis-Tipps zur Umsetzung
3-2-1-Regel
Drei Kopien, zwei Medien, eine extern bzw. offline/immutable.
Restore testen
Regelmäßig echte Wiederherstellungen durchführen, nicht nur Backups prüfen.
Vor Ransomware schützen
Mindestens eine unveränderbare oder getrennte Kopie vorhalten.
Häufige Fehler
Nie getestet
Backups laufen, lassen sich aber im Ernstfall nicht zurückspielen.
Online erreichbar
Alle Backups sind im Netz und werden von Ransomware mitverschlüsselt.
Häufig gestellte Fragen
Was ist die 3-2-1-Regel?
Drei Datenkopien auf zwei verschiedenen Medien, davon eine ausgelagert oder offline.
Wie schützt man Backups vor Ransomware?
Über unveränderbare (immutable) oder physisch getrennte Offline-Kopien.
Wie oft Restores testen?
Regelmäßig, mindestens jährlich und nach wesentlichen Änderungen der Systeme.
So hilft CompliantDesk bei A.8.13
Hinterlegen Sie das Backup-Konzept als Kontrolle und planen Sie Restore-Tests als wiederkehrende Termine im Kalender mit Nachweisablage.