Nachweise · NIS2 · KRITIS · BSI
Gesichert ist gut. Nachweisbar gesichert ist besser.
Wer unter NIS2 fällt, KRITIS betreibt oder nach BSI IT-Grundschutz arbeitet, muss zeigen können, dass Sicherungen laufen, aufbewahrt und wiederhergestellt werden. Der AegisGrid Backup-Server führt dafür ein Protokoll, das sich nicht unbemerkt verändern lässt – und macht daraus jeden Monat einen signierten Bericht.
Was festgehalten wird
- Jede eingegangene Sicherung und Spiegelung mit Rechner, Adresse und Datenmenge
- Jede Wiederherstellung und jedes Prüf-Restore mit Ergebnis
- Jeder Auftrag mit seinem Auslöser: Zeitplan, Ereignis, vorheriger Auftrag oder wer ihn gestartet hat
- Eingriffe in die Daten: gelöschte Sicherungen, geänderte Aufbewahrung, freigegebener Platz
- Gefundene Schäden und abgewiesene Sicherungen wegen Kontingent
- Die Uhr des Servers: täglicher Zeitabgleich, Sprünge werden vermerkt
Verkettet und versiegelt
- Jeder Eintrag trägt die SHA-256-Prüfsumme seines Vorgängers – über alle Tage hinweg
- Jeder Tag wird mit einem eigenen Ed25519-Schlüssel signiert und gleich danach geprüft
- Eine Abweichung meldet der Server sofort per E-Mail
- Einträge gehen sofort auf die Platte, Lücken nach einem Absturz werden vermerkt
- Aufbewahrung standardmäßig zehn Jahre – und nie kürzer als die älteste vorhandene Sicherung
Kopie an einem zweiten Ort und ans SIEM
- Jeder Eintrag sofort an Ihren Syslog-Server oder Ihr SIEM (RFC 5424, über UDP, TCP oder TLS)
- Zusätzlich oder stattdessen jeder versiegelte Tag an einen zweiten Backup-Server, der ihn prüft und unveränderlich ablegt
- Eine abweichende zweite Fassung eines Tages wird abgewiesen und gemeldet
- Fällt die Gegenstelle aus, geht nichts verloren: Die Übertragung holt nach
Bericht und Export für Prüfer
- Monatlicher Nachweisbericht als PDF: Sicherungen, Fehlschläge, Wiederherstellungen, Prüf-Restores, Eingriffe, Schäden
- Mit Zustand des Protokolls und Zuordnung zu den Anforderungen
- Signiert und per E-Mail an den Betreiber, auf Wunsch auch je Kunde
- Export als CSV für Excel oder als JSON, gefiltert nach Zeitraum, Art, Kunde oder Verzeichnis
- Jeder Export und jeder Bericht lässt sich gegen seine Signatur prüfen
- In der Target-Konsole: Protokoll mit Filtern, „Kette prüfen“, Export und Bericht per Klick
3-2-1-1-0 in einem Lauf – und belegt
Das BSI empfiehlt die 3-2-1-Regel: drei Kopien, zwei Medien, eine außer Haus. Die 3-2-1-1-0-Regel ergänzt eine unveränderbare Kopie und null Fehler bei der Prüfung. Mit AegisGrid entsteht das in einem einzigen Lauf: Die Quelle wird einmal gelesen und bis zu acht Ziele werden gleichzeitig beschrieben – zum Beispiel eine USB-Platte, ein WORM-Backup-Server im Haus und ein Backup-Server außer Haus.
Jede Kopie auf einem Backup-Server steht dort im Nachweis-Protokoll. Die „0“ belegen die regelmäßige Prüfung aller Daten und das Prüf-Restore – beide ebenfalls protokolliert und im Monatsbericht enthalten.
- 3 Kopien – bis zu acht Ziele in einem Lauf
- 2 Medien – Platte, NAS, Backup-Server, Band oder USB-Platte
- 1 außer Haus – zweiter Standort oder Cloud-Speicher
- 1 unveränderbar – WORM mit Aufbewahrungssperre
- 0 Fehler – Prüfung und Prüf-Restore, nachgewiesen
Was das Protokoll belegt
Die Zuordnung steht so auch im Nachweisbericht.
| Anforderung | Inhalt | Was AegisGrid belegt |
|---|---|---|
| NIS2-Richtlinie Art. 21 Abs. 2 lit. c | Backup-Management und Wiederherstellung nach einem Notfall | Jede Sicherung, jede Wiederherstellung, jedes Prüf-Restore mit Ergebnis, Prüfungen und Schäden |
| BSI IT-Grundschutz CON.3 | Datensicherungskonzept | Regelmäßigkeit und Vollständigkeit der Sicherungen, Aufbewahrung, Löschungen, Wiederherstellungstests |
| BSI IT-Grundschutz OPS.1.1.5 | Protokollierung | Manipulationssicheres Protokoll mit Kette, Siegel, Zeitabgleich und Kopie an einem zweiten Ort |
| KRITIS-Betreiber | Nachweis angemessener Vorkehrungen gegenüber dem BSI | Dieselben Belege als signierter Bericht und Export für Prüfungen und Audits |
Der Bericht unterstützt den Nachweis. Ob eine Organisation die Anforderungen erfüllt, hängt von mehr ab als von der Datensicherung – von Konzept, Organisation und weiteren Maßnahmen. Wir beraten Sie gern, was für Ihr Unternehmen sinnvoll ist. Hintergründe im Ratgeber: NIS2 und Datensicherung.
Fragen zu den Nachweisen
Erfüllen wir mit AegisGrid automatisch NIS2?
Nein, keine Software allein macht ein Unternehmen NIS2-konform. AegisGrid liefert für den Bereich Datensicherung und Wiederherstellung belastbare, signierte Belege. Sie sind ein Baustein Ihres Gesamtkonzepts.
Ersetzt das Protokoll ein SIEM?
Nein, es ergänzt Ihr SIEM. Jeder Eintrag kann sofort per Syslog (RFC 5424, auch verschlüsselt über TLS) an Ihr SIEM gehen und dort mit anderen Ereignissen ausgewertet werden. Das Protokoll auf dem Backup-Server bleibt zusätzlich als prüfbare Quelle erhalten.
Steht auch eine Sicherung auf eine USB-Platte im Protokoll?
Das Nachweis-Protokoll führt der Backup-Server über das, was bei ihm ankommt und geschieht. Eine Sicherung direkt auf eine USB-Platte oder ein NAS meldet ihr Ergebnis im Protokoll des gesicherten Rechners und per E-Mail. Wer Nachweise braucht, schreibt im selben Lauf zusätzlich auf einen Backup-Server.
Was steht nicht im Protokoll?
Das Nachweis-Protokoll gilt den Daten: was gesichert, wiederhergestellt, geprüft, gelöscht oder geändert wurde. Anmeldungen am Server und Änderungen der Konfiguration stehen im Systemprotokoll des Servers.
Einen Beispielbericht ansehen?
Wir zeigen Ihnen Protokoll und Nachweisbericht im Gespräch oder im Pilotprojekt an Ihren eigenen Systemen.