ISO 27001:2022 · A.8.13 · A.8 Technologische Maßnahmen
Sicherung von Informationen (Backup)
Sicherungskopien von Informationen, Software und Systemen müssen gemäß einer vereinbarten Sicherungsrichtlinie erstellt und regelmäßig getestet werden.
ISO 27001NIS2TISAXBSIDSGVO
Was fordert dieses Control?
Sicherungskopien von Informationen, Software und Systemen müssen gemäß einer vereinbarten Sicherungsrichtlinie erstellt und regelmäßig getestet werden.
Warum ist das wichtig?
Backups sind die letzte Verteidigungslinie gegen Ransomware, Ausfälle und Fehler. Nur getestete, geschützte Sicherungen garantieren eine echte Wiederherstellbarkeit.
Bezug zu anderen Normen
| Norm | Stelle | Thema | Bezug |
|---|---|---|---|
| NIS2 | § 30 Abs. 2 BSIG | Backup-Management | Direkt |
| TISAX | 5.2.7 | Datensicherung | Direkt |
| BSI | CON.3 | Datensicherungskonzept | Direkt |
| DSGVO | Art. 32 (1) c | Wiederherstellbarkeit | Indirekt |
Was der Auditor erwartet
- Backup-Richtlinie mit Umfang, Frequenz und Aufbewahrung
- Schutz der Backups (offline/immutable) gegen Ransomware
- Regelmäßige Wiederherstellungstests
Audit-Checkliste
Dokumente
Backup-KonzeptWas, wie oft, wie lange und wohin gesichert wird
Nachweise
Restore-TestprotokolleErfolgreiche, dokumentierte Wiederherstellungen
Backup-Erfolgs-MonitoringAuswertung erfolgreicher und fehlgeschlagener Sicherungsläufe
Immutable-/Offsite-NachweisBeleg mindestens einer unveränderlichen oder ausgelagerten Kopie
Interviews
IT-BetriebBackup-Überwachung und Vorgehen bei Restore
Technisch
Backup-StatusErfolgreiche Jobs, Offline-/Immutable-Kopien
Praxis-Tipps zur Umsetzung
3-2-1-RegelDrei Kopien, zwei Medien, eine extern bzw. offline/immutable.
Restore testenRegelmäßig echte Wiederherstellungen durchführen, nicht nur Backups prüfen.
Vor Ransomware schützenMindestens eine unveränderbare oder getrennte Kopie vorhalten.
SaaS mitsichernM365 und Cloud-Apps brauchen eine eigene Backup-Strategie, der Anbieter sichert nicht für Sie.
Häufige Fehler
Nie getestetBackups laufen, lassen sich aber im Ernstfall nicht zurückspielen.
Online erreichbarAlle Backups sind im Netz und werden von Ransomware mitverschlüsselt.
Häufig gestellte Fragen
Was ist die 3-2-1-Regel?
Drei Datenkopien auf zwei verschiedenen Medien, davon eine ausgelagert oder offline.
Wie schützt man Backups vor Ransomware?
Über unveränderbare (immutable) oder physisch getrennte Offline-Kopien.
Wie oft Restores testen?
Regelmäßig, mindestens jährlich und nach wesentlichen Änderungen der Systeme.
So hilft CompliantDesk bei A.8.13
Hinterlegen Sie das Backup-Konzept als Kontrolle und planen Sie Restore-Tests als wiederkehrende Termine im Kalender mit Nachweisablage.
Bereit für ein ISMS, das nicht bei Excel endet?
Demo buchenKostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten