Zusammenfassung
Der Beitrag zeigt, dass NIS2 praktisch zwei Fragen erzwingt: Welche Systeme sind wirklich unternehmenskritisch – und sind deren Backups technisch unveränderlich und gegen Löschung geschützt?
Er erklärt kurz, wie man Kritikalität über RTO/RPO einordnet und warum unter NIS2 die 3-2-1-Regel mit einer nachweislich unabhängigen, immutable/indelible dritten Kopie zum Standard wird – inklusive regelmäßiger, messbarer Recovery-Tests.
Haben Sie definiert, welche Applikationen und Verfahren unternehmenskritisch sind?
Verfügen Sie für diese Systeme über unveränderliche Backups?
Frage 1: Kritische Systeme – kennen Sie Ihre?
Wenn ja: Gut. Aber eine Liste ist noch kein Schutz. NIS2 fordert nicht nur die Identifikation kritischer Systeme, sondern nachweisbare Wiederherstellbarkeit nach einem Vorfall. Die eigentliche Frage lautet: Können wir es im Ernstfall in einem definierten Zeitfenster wiederherstellen – und können wir das belegen?
Wenn nein: Das ist ehrlicher als man denkt. Viele Unternehmen arbeiten mit implizitem Wissen: „Die ERP-Datenbank ist kritisch, das weiß doch jeder.“ Aber implizites Wissen überlebt keinen Personalwechsel, keine BSI-Prüfung und kein Ransomware-Szenario um 3 Uhr morgens.
Was heißt „unternehmenskritisch“?
Ein System ist unternehmenskritisch, wenn sein Ausfall innerhalb von wenigen Stunden spürbare Auswirkungen auf Umsatz, Betrieb oder regulatorische Verpflichtungen hat – ERP, Produktionssteuerung, Kernbankensystem, Active Directory, oder auch die Backup-Infrastruktur selbst.
Orientierung bieten zwei Kennzahlen:
- RTO (Recovery Time Objective): Wie lange darf das System maximal ausfallen?
- RPO (Recovery Point Objective): Wie viel Datenverlust ist tolerierbar?
Alles unter vier Stunden RTO gehört auf die Prioritätsliste.
Was passiert im K-Fall?
78% der Unternehmen wurden im vergangenen Jahr angegriffen. NIS2 schreibt den Reaktionsrahmen fest: Frühwarnung innerhalb von 24 Stunden, vollständiger Incident-Report innerhalb von 72 Stunden. Wer im K-Fall erst herausfinden muss, welche Systeme kritisch sind, hat bereits verloren – nicht nur gegenüber dem Angreifer, sondern auch gegenüber dem Auditor.
Frage 2: Immutable Backups – wirklich unveränderlich?
Wenn ja: Prüfen Sie die Qualität dieser Aussage. Unveränderlich bedeutet nicht „schwer zu löschen“. Es bedeutet technisch erzwungen – auch wenn Admin-Credentials kompromittiert sind. Genau das ist bei Ransomware die Regel: Angreifer löschen zuerst die Backups. Ein echter Immutable-Ansatz schützt die Datenkopie auf Storage-Ebene, unabhängig von Betriebssystem-Rechten.
Wenn nein: Backups, die löschbar sind, sind kein Schutz. Sie sind ein Komfort-Feature für den Normalfall.
Die 3-2-1-Regel: de-facto Pflicht unter NIS2
3 Kopien der Daten – 2 auf unterschiedlichen Systemen – 1 off-site oder logisch isoliert.
Was sich verändert hat: Die dritte Kopie muss nachweislich immutable sein. „Off-site“ reicht nicht, wenn sie mit demselben Credential-Set erreichbar ist wie der Rest der Umgebung. In der Praxis bedeutet das eine Immutable/Indelible Kopie mit eigenem Schutzmodell – und regelmäßig getestete Wiederherstellung mit dokumentierten Metriken.
Ihre nächsten Schritte
- Kritische Systeme formal dokumentieren – mit RTO, RPO und Business-Impact-Bewertung
- Backup-Architektur auf 3-2-1 mit Immutability prüfen – ist die dritte Kopie wirklich unabhängig?
- Recovery testen und belegen – NIS2 fordert den Nachweis, nicht die Aussage
Sprechen Sie uns an. Wir helfen Ihnen, die Lücke zwischen dem, was auf dem Papier steht, und dem, was im K-Fall tatsächlich funktioniert, zu schließen.
