Gibt es Sicherungen und eine Notfallmaßnahme zur Wiederherstellung der Dienstleistung?

Sicherung und Kontinuität sind eine separate Maßnahme in Artikel 21 Absatz 2

Ja, dies ist eine der zehn Maßnahmen aus Artikel 21 Absatz 2 der NIS2-Richtlinie: Unterabsatz (c) erwähnt ausdrücklich "Geschäftskontinuität, wie Sicherungsverwaltung und Notfallwiederherstellung sowie Krisenmanagement". Die Frage nach Sicherungen und einer Notversorgung ist also keine Restkategorie oder Auslegung des Kunden — sie steht buchstäblich so in der Richtlinie. Wer diese Frage erhält, kann davon ausgehen, dass sie zum gleichen Frageblock gehört wie die anderen neun Maßnahmen: Risikopolitik, Vorfallbehandlung, Kettenicherheit, Schwachstellenmanagement, Prüfung, Cyberhygiene, Kryptografie, Zugriffskontrolle und MFA.

Was konkret gefragt wird, gliedert sich normalerweise in zwei Teile: Gibt es Sicherungen (wie oft, wo gespeichert, wann zuletzt getestet) und gibt es eine Notversorgung, die den Dienst aufrechterhält oder schnell nach einer Störung wiederherstellt — einen Notfallwiederherstellungsplan, Ausweicheinrichtungen, Wiederherstellungszeiten. Ein Testbericht einer Sicherungswiederherstellung oder ein Kontinuitätsplan mit letztem Testdatum ist stärkerer Beweis als ein Richtliniendokument ohne Testhistorie. Fehlt letzteres, dann ist "nein" oder "teilweise" eine ebenso brauchbare Antwort wie "ja" — der Kunde möchte vor allem wissen, ob es stimmt, nicht dass überall alles grün ist. Diese Maßnahme hängt oft zusammen mit dem Verfahren zur Behandlung von Sicherheitsvorfällen, da eine Notversorgung normalerweise durch einen Vorfall ausgelöst wird, und mit der regelmäßigen Prüfung von Sicherheitsmaßnahmen, da eine Sicherung ohne Testergebnis wenig über die tatsächliche Wiederherstellungszeit aussagt.

Wo dies genau in der Richtlinie steht

Artikel 21 Absatz 2 Buchstabe (c) der Richtlinie (EU) 2022/2555 nennt "Geschäftskontinuität, wie Sicherungsverwaltung und Notfallwiederherstellung sowie Krisenmanagement" als eine der zehn technischen und organisatorischen Maßnahmen, die unter die Sicherheitspolitik einer Entität fallen. Die Richtlinie selbst gibt keine Mindestprüfhäufigkeit oder Wiederherstellungszeit vor — diese Ausgestaltung liegt bei der Entität und, soweit zutreffend, bei nationalen Durchführungsvorschriften oder sektoralen Anforderungen des Kunden.