Cyber-Resilienz im Zeitalter von NIS2: Warum Backups nicht mehr nur eine Aufgabe der IT-Abteilung sind

Eine Frage, die sich jedes Unternehmen stellen sollte, lautet: Wie schnell können wir den Betrieb wieder aufnehmen, wenn etwas schiefgeht?

Ausfallzeiten sind kostspielig und können in extremen Fällen sogar Auswirkungen auf die Gesamtwirtschaft haben – so wird geschätzt, dass der Cyberangriff auf Jaguar Land Rover 0,1 % des britischen BIP zunichte gemacht hat.  

Aus diesem Grund legen Rechtsvorschriften wie die EU-NIS2-Richtlinie bei Unternehmen, die als „kritisch“ oder „wichtig“ eingestuft werden, großen Wert auf die Wiederherstellungsfähigkeit und nicht nur auf Prävention. Selbst Organisationen, die nicht direkt der NIS2-Richtlinie unterliegen, müssen möglicherweise dennoch angemessene Sicherheitsvorkehrungen nachweisen, wenn sie mit Kunden, Partnern oder Lieferanten Geschäfte tätigen möchten, die dieser Richtlinie unterliegen. 

Jedes Unternehmen sollte sich diese Frage jedoch stellen, unabhängig davon, ob es von den gesetzlichen Bestimmungen betroffen ist oder nicht. Bei der Datensicherung geht es nicht mehr nur darum, eine weitere Kopie Ihrer Daten zu haben. Sie ist ein wesentlicher Bestandteil jeder Notfallplanung und entscheidet darüber, wie schnell Sie nach einer Wiederherstellung zum normalen Geschäftsbetrieb zurückkehren können. 

Aus diesem Grund gehen die Diskussionen rund um Datensicherung und -wiederherstellung mittlerweile über die IT-Abteilungen hinaus und werden zu Prioritäten auf Vorstandsebene. 

Wie eine gute Backup-Strategie NIS2 unterstützt 

 Viele Jahre lang galt folgendes Backup-Konzept als allgemein anerkannt: 

• 3 Kopien der Daten (zum Schutz vor Datenverlust) 

• 2 verschiedene Formate (auf mindestens zwei Medientypen gespeichert) 

• 1 externe Kopie (zum Schutz vor physischen Katastrophen) 

Es wird nun jedoch empfohlen, zwei weitere Maßnahmen zu ergreifen, um eine echte Wirksamkeit der Datensicherung zu gewährleisten: 

• 1 unveränderliche Kopie (die für ransomware-sichere Backups sorgt) 

• Ich habe keinen Zweifel daran, dass Sie die Daten wiederherstellen können (regelmäßige Tests gewährleisten die Zuverlässigkeit). 

Dieser sich weiterentwickelnde Ansatz spielt eine entscheidende Rolle bei der Einhaltung der NIS2-Vorschriften. 

Was sagt NIS2 zur Backup-Strategie? 

Im Mittelpunkt von NIS2 stehen die Wiederherstellung und die Geschäftskontinuität. Es geht darum, sicherzustellen, dass Störungen im Falle eines Vorfalls auf ein Minimum beschränkt bleiben. Daher werden die meisten Abschnitte der NIS2-Richtlinie durch eine solide Backup-Strategie unterstützt. 

Drei Bereiche sind dabei besonders relevant. 

Eine der Säulen von NIS2 sind „Maßnahmen zur Bewertung der Wirksamkeit“. Einfach ausgedrückt geht es hier nicht nur darum, dass man davon überzeugt ist, über ein wirksames Backup-System zu verfügen – es geht darum, dies auch nachweisen zu können.  

Ein Backup ist nutzlos, wenn man es nicht nutzen kann. Das Prinzip „Keine Zweifel an der Wiederherstellbarkeit“ sollte Bestandteil jeder Wiederherstellungsstrategie sein und durch dokumentierte Wiederherstellungsverfahren sowie regelmäßige Tests untermauert werden. Unternehmen müssen darauf vertrauen können, dass die Wiederherstellung im Bedarfsfall wie erwartet funktioniert. 

Gleichzeitig erfüllt die unveränderliche Kopie die gesetzlichen Anforderungen an „Maßnahmen zur Geschäftskontinuität“ und grundlegende „Computerhygiene“. Es ist von entscheidender Bedeutung, über eine Kopie der Daten zu verfügen, die weder verändert noch gelöscht werden kann und bei Bedarf als bekannter und zuverlässiger Wiederherstellungspunkt dient. Dies ist für die allgemeine Notfallwiederherstellung erforderlich und bietet im Falle eines Cyberangriffs oder eines Ransomware-Vorfalls eine zuverlässige Version der Daten. 

Vermeiden Sie Selbstzufriedenheit in Bezug auf die Cloud 

 Eines der größten Missverständnisse in der modernen IT ist die Annahme, dass Cloud-Dienste automatisch umfassenden Schutz bieten und dass die Anbieter sich um Datensicherung und Wiederherstellung kümmern. Das Problem wird durch SaaS noch verschärft, wo das Versprechen des sofortigen Zugriffs auf eine Lösung verlockend ist und oft ohne Einbeziehung der IT-Abteilung umgesetzt wird. 

Selbst bei etabliertenDiensten wie Microsoft 365 kann es zu Lücken in der Datensicherung kommen, wenn Unternehmen keine eigenständige Schutzstrategie umgesetzt haben 

Für diesen und andere Bereiche, in denen man sich in Bezug auf Wolken in falscher Sicherheit wiegt, wurde der Begriff „Wolkenblindheit“ geprägt. 

Auch wenn Cloud-Dienste ein gewisses Maß an Ausfallsicherheit bieten, dürfen Unternehmen in kritischen Bereichen wie Datensicherung und Wiederherstellung nicht auf einen passiven Ansatz setzen. 

Unternehmen müssen in Bezug auf die Integrität ihrer Daten eine Zero-Trust-Strategie verfolgen. Unabhängig davon, wer die Daten wo gespeichert hat, und unabhängig von den gemachten Zusagen hinsichtlich der Zuverlässigkeit muss die Backup-Strategie durchgängig einheitlich sein.  

Bei Backups geht es darum, den Geschäftsbetrieb wieder aufzunehmen 

In einer Welt, in der Ransomware-Angriffe immer häufiger vorkommen und Ausfälle von SaaS-Diensten regelmäßig für Schlagzeilen sorgen, müssen Backups ein wesentlicher Bestandteil jeder Compliance-Strategie sein. 

Jeder Ausfallmoment bedeutet potenziell entgangene Einnahmen. Der Ansatz des Gesetzgebers, die IT in die Unternehmensführung einzubinden, ist für IT-Teams von Vorteil, und Datto setzt sich schon seit Langem dafür ein, dass Backups ein wichtiger Bestandteil dieser Diskussion sind. 

Lesen Sieden Artikel von Datto: „Der ultimative Leitfaden zu BCDR: Warum Backup und Disaster Recovery wichtig sind“