Ratgeber · Recht und Pflichten
NIS2 und Datensicherung: Was Unternehmen nachweisen müssen
Kurz gesagt: NIS2 nennt Backup-Management und die Wiederherstellung nach einem Notfall ausdrücklich als Mindestmaßnahme. Es reicht nicht, Sicherungen zu haben – ein Unternehmen muss zeigen können, dass sie regelmäßig laufen, geschützt sind und sich wiederherstellen lassen. Verantwortlich dafür ist die Geschäftsleitung.
Was NIS2 zur Datensicherung sagt
Die NIS2-Richtlinie (EU) 2022/2555 verpflichtet Unternehmen in wichtigen Sektoren zu Maßnahmen für ihre Cybersicherheit. Artikel 21 Absatz 2 zählt die Mindestmaßnahmen auf. Unter Buchstabe c steht die Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement.
Zwei weitere Punkte derselben Liste betreffen die Datensicherung unmittelbar: Buchstabe f verlangt Konzepte und Verfahren, um die Wirksamkeit der Maßnahmen zu bewerten – für Sicherungen heißt das: Wiederherstellung testen. Buchstabe h verlangt den Einsatz von Kryptografie und Verschlüsselung, wo es angemessen ist.
Artikel 20 legt die Verantwortung bei der Leitung: Die Geschäftsleitung muss die Maßnahmen billigen, ihre Umsetzung überwachen und sich dazu schulen lassen. Datensicherung ist damit ausdrücklich Chefsache.
Wer betroffen ist
NIS2 gilt für Unternehmen in den Sektoren der Anhänge I und II der Richtlinie – etwa Energie, Verkehr, Gesundheit, digitale Infrastruktur, IT-Dienstleistungen für andere Unternehmen (Managed Services), Abfall, Chemie, Lebensmittel, Herstellung wichtiger Produkte und digitale Dienste. In der Regel betroffen sind dort mittlere und große Unternehmen, also ab 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanz. Für einige Bereiche gilt NIS2 unabhängig von der Größe.
In Deutschland setzt das NIS2-Umsetzungsgesetz die Richtlinie im BSI-Gesetz um. Betroffene Einrichtungen müssen sich beim BSI registrieren. Ob und wie Ihr Unternehmen erfasst ist, sollten Sie im Einzelfall prüfen; das BSI bietet dafür eine Betroffenheitsprüfung an.
Auch ohne NIS2: Die DSGVO verlangt in Art. 32 schon heute die Fähigkeit, personenbezogene Daten nach einem Zwischenfall rasch wiederherzustellen, und die regelmäßige Überprüfung der Maßnahmen. Viele Cyberversicherungen fragen dasselbe ab.
Was Prüfer bei der Datensicherung sehen wollen
Gesetze nennen Ziele, keine Produkte. In der Praxis laufen Prüfungen und Audits aber auf dieselben Fragen hinaus:
| Frage des Prüfers | Was als Beleg taugt |
|---|---|
| Gibt es ein Datensicherungskonzept? | Schriftliches Konzept: was, wie oft, wohin, wie lange aufbewahrt, wer verantwortlich ist (BSI IT-Grundschutz CON.3) |
| Laufen die Sicherungen wirklich? | Protokoll aller Sicherungen mit Ergebnis, lückenlos über den Prüfzeitraum |
| Sind sie vor Angriffen geschützt? | Unveränderbare oder getrennte Kopie, Verschlüsselung, Kopie außer Haus |
| Lassen sie sich wiederherstellen? | Dokumentierte Wiederherstellungstests mit Datum, Umfang und Ergebnis |
| Wer hat was gelöscht oder geändert? | Nachvollziehbares Protokoll von Löschungen und Änderungen der Aufbewahrung |
| Kann man dem Protokoll trauen? | Manipulationssichere Protokollierung, Kopie an einem zweiten Ort (BSI IT-Grundschutz OPS.1.1.5) |
In fünf Schritten nachweisbar aufstellen
- Konzept schreiben: Systeme, Datenmengen, Sicherungsrhythmus, Aufbewahrung und die maximal tolerierbare Ausfallzeit je System festlegen. Was hineingehört, zeigt der Leitfaden Datensicherungskonzept.
- Mehrere Kopien an mehreren Orten: mindestens eine Kopie außer Haus und eine unveränderbare – die 3-2-1-1-0-Regel ist dafür eine gute Richtschnur.
- Wiederherstellung regelmäßig testen – nicht nur einmal im Jahr von Hand, sondern laufend und dokumentiert. Wie das automatisch geht, zeigt der Artikel Wiederherstellung testen.
- Alles protokollieren, was mit den Sicherungen geschieht, und das Protokoll vor nachträglicher Änderung schützen.
- Berichten: Die Geschäftsleitung bekommt regelmäßig einen verständlichen Bericht und kann ihre Überwachungspflicht so belegen.
Was droht, wenn es fehlt
Die Richtlinie sieht empfindliche Bußgelder vor: für besonders wichtige Einrichtungen bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes, für wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4 % – jeweils der höhere Betrag. Schwerer wiegt oft der Schaden selbst: Ohne funktionierende Wiederherstellung steht ein Unternehmen nach einem Ransomware-Angriff tage- oder wochenlang still.
Wie AegisGrid dabei hilft
AegisGrid schreibt in einem Lauf an bis zu acht Ziele, auch unveränderbar und außer Haus. Der Backup-Server stellt Sicherungen automatisch zur Probe wieder her und startet virtuelle Maschinen in einer abgeschotteten Sandbox. Jede Sicherung, Wiederherstellung, Prüfung und Löschung steht in einem verketteten, täglich signierten Nachweis-Protokoll, das auf Wunsch sofort an Ihr SIEM geht. Jeden Monat entsteht daraus ein signierter Nachweisbericht als PDF – für Prüfer und für die Geschäftsleitung.
Dieser Artikel ist eine allgemeine Einführung und keine Rechtsberatung. Keine Software allein macht ein Unternehmen NIS2-konform; Datensicherung ist ein Baustein eines Gesamtkonzepts.
Häufige Fragen zu NIS2 und Backup
Verlangt NIS2 eine bestimmte Backup-Software?
Nein. NIS2 schreibt Ziele vor, keine Produkte: Backup-Management, Wiederherstellung nach einem Notfall, die Bewertung der Wirksamkeit und Verschlüsselung, wo angemessen. Wichtig ist, dass Sie die Umsetzung belegen können.
Wie oft muss man die Wiederherstellung testen?
Eine feste Frist nennt NIS2 nicht. Bewährt haben sich regelmäßige Stichproben, etwa wöchentlich, und ein vollständiger Test der wichtigsten Systeme mindestens einmal im Jahr. Entscheidend ist, dass jeder Test mit Ergebnis dokumentiert ist.
Gilt NIS2 auch für IT-Dienstleister?
Ja, Anbieter verwalteter Dienste (Managed Service Provider) gehören zu den Sektoren der Richtlinie. Zusätzlich verlangen ihre Kunden zunehmend Nachweise über die Sicherheit der Lieferkette.
Datensicherung nachweisbar machen
Wir zeigen Ihnen Protokoll und Nachweisbericht an Ihren eigenen Systemen.