Disaster Recovery / IT-Wiederanlauf

Was ist Disaster Recovery beziehungsweise IT-Wiederanlauf?

Disaster Recovery beziehungsweise IT-Wiederanlauf bezeichnet die geplante technische und organisatorische Wiederaufnahme unterbrochener IT-gestützter Abläufe sowie die Wiederherstellung dafür benötigter, nicht verfügbarer Ressourcen.

Technische Einordnung: Der Begriff gehört zur Notfallbewältigung und Betriebskontinuität. Er ist weder eine allgemeine Legaldefinition noch gleichbedeutend mit Backup, Incident Response oder dem umfassenderen Business Continuity Management (BCM).

Der Normwortlaut

Normtext des § 30 Abs. 1 BSIG:

„Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die in Absatz 2 konkretisiert werden, zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und Auswirkungen von Sicherheitsvorfällen möglichst gering zu halten. Bei der Bewertung der Verhältnismäßigkeit der Maßnahmen nach Satz 1 sind das Ausmaß der Risikoexposition, die Größe der Einrichtung, die Umsetzungskosten und die Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen sowie ihre gesellschaftlichen und wirtschaftlichen Auswirkungen zu berücksichtigen.“

Normtext des § 30 Abs. 2 Satz 1 und Nr. 3 BSIG:

„Maßnahmen nach Absatz 1 sollen den Stand der Technik einhalten, die einschlägigen europäischen und internationalen Normen berücksichtigen und müssen auf einem gefahrenübergreifenden Ansatz beruhen. Die Maßnahmen müssen zumindest Folgendes umfassen: […] 3. Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement,“

Normtext des Anhangs Nr. 4.1.1 der Durchführungsverordnung (EU) 2024/2690:

„Für die Zwecke von Artikel 21 Absatz 2 Buchstabe c der Richtlinie (EU) 2022/2555 legen die betreffenden Einrichtungen einen Betriebskontinuitäts- und Disaster-Recovery-Plan fest, der bei Sicherheitsvorfällen anzuwenden ist, und halten diesen aufrecht.“

Rechtliche Einordnung: § 30 Abs. 3 und 4 BSIG ordnet für die jeweils erfassten Einrichtungen und Anforderungen den Vorrang einschlägiger Durchführungsrechtsakte der Europäischen Kommission an. Die Detailvorgaben der Verordnung (EU) 2024/2690 dürfen deshalb nicht auf sämtliche Adressaten des BSIG übertragen werden.

Für wen gelten die gesetzlichen Anforderungen?

Die Pflicht aus § 30 BSIG richtet sich ausschließlich an besonders wichtige und wichtige Einrichtungen nach § 28 BSIG. Dazu gehören unter den weiteren gesetzlichen Voraussetzungen insbesondere Betreiber kritischer Anlagen sowie sonstige Einrichtungen der Anlage 1 ab 250 Beschäftigten oder bei mehr als 50 Millionen Euro Jahresumsatz und mehr als 43 Millionen Euro Jahresbilanzsumme. Als wichtige Einrichtungen kommen insbesondere sonstige Einrichtungen der Anlagen 1 und 2 ab 50 Beschäftigten oder bei jeweils mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme in Betracht.

Die konkrete Einordnung verlangt zusätzlich die Prüfung der Einrichtungsart, der Anlagen 1 und 2, sektoraler Tätigkeiten und der Sonderregeln des § 28 BSIG. Einrichtungen der Bundesverwaltung unterliegen § 29 BSIG. Vernachlässigbare Geschäftstätigkeiten sowie die Bereichsbegrenzungen des § 28 Abs. 5, 6 und 8 sind gesondert zu prüfen. Eine allgemeine gesetzliche Disaster-Recovery-Pflicht für jedes Unternehmen folgt daraus nicht.

Die unmittelbar geltenden Detailanforderungen der Verordnung (EU) 2024/2690 erfassen nur die in ihrem Art. 2 bezeichneten Einrichtungsarten, darunter bestimmte Anbieter digitaler Dienste und Vertrauensdiensteanbieter.

Wann wird ein IT-Wiederanlauf ausgelöst?

Rechtlich: Die Pflicht aus § 30 BSIG ist präventiv. Sie setzt keinen bereits eingetretenen Sicherheitsvorfall voraus, sondern verlangt von den erfassten Einrichtungen geeignete, verhältnismäßige und wirksame, gefahrenübergreifende Maßnahmen.

Operativ: Wiederanlauf wird erforderlich, wenn ein IT-gestützter Ablauf unterbrochen ist. Verfügbare und unbeschädigte Ressourcen können wieder in Betrieb genommen werden; zerstörte oder anderweitig nicht verfügbare Ressourcen müssen wiederhergestellt werden.

Spezialregime: Der Plan nach Anhang Nr. 4.1 der Verordnung (EU) 2024/2690 ist bei Sicherheitsvorfällen anzuwenden. Er beruht auf der Risikobewertung. Soweit angemessen, umfasst er unter anderem Aktivierungs- und Deaktivierungsbedingungen, Wiederherstellungsreihenfolge, Wiederherstellungsziele und benötigte Ressourcen. Tests, Überprüfungen und gegebenenfalls Aktualisierungen erfolgen in geplanten Zeitabständen sowie nach erheblichen Sicherheitsvorfällen oder wesentlichen Änderungen der Betriebsabläufe oder Risiken.

Wie unterscheidet sich Disaster Recovery von Backup und Incident Response?

Backups und Redundanzen sind mögliche Wiederherstellungsressourcen. Sie bestimmen allein jedoch weder die Reihenfolge, Rollen, Abhängigkeiten und Ziele des Wiederanlaufs noch die Rückkehr zum Normalbetrieb. Incident Response behandelt einen Sicherheitsvorfall; Disaster Recovery konzentriert sich auf die Wiederaufnahme der betroffenen IT-gestützten Abläufe und Ressourcen. BCM umfasst darüber hinaus die Kontinuität der Organisation und ihrer Geschäftsprozesse.

Behördlich-technische Einordnung: Nach der BSI-Terminologie ist der Normalbetrieb erst wieder erreicht, wenn die vorgesehenen Wiederherstellungsmaßnahmen erfolgreich umgesetzt sind. Im Anwendungsbereich der Verordnung (EU) 2024/2690 müssen die betreffenden Einrichtungen die Wiederherstellung von Sicherungskopien und Redundanzen regelmäßig testen, Ergebnisse dokumentieren und erforderlichenfalls Korrekturmaßnahmen ergreifen.

Welche Wiederanlaufzeiten und Testintervalle gelten?

§ 30 Abs. 1 und 2 BSIG und Anhang Nr. 4.1.1 der Verordnung (EU) 2024/2690 nennen keine allgemein bezifferte RTO, Wiederanlauffrist oder Schwelle. Konkrete Vorgaben können sich aus der Risikoanalyse, Verträgen, sektorspezifischem Recht oder einem vorrangigen Durchführungsrechtsakt ergeben.

Im Art.-2-Anwendungsbereich der Verordnung sind Wiederherstellungszeiten risikobasiert in den Sicherungsplänen festzulegen. Tests und Aktualisierungen erfolgen in geplanten Zeitabständen und zusätzlich anlassbezogen. Nach BSI-Fachterminologie muss eine organisationsspezifische Recovery Time Objective (RTO) unterhalb der maximal tolerierbaren Ausfallzeit liegen.

Welche Grenzen, Ausnahmen und Spezialregime sind zu prüfen?

Umfang und Ausgestaltung der Maßnahmen bleiben nach § 30 Abs. 1 BSIG risikobasiert und verhältnismäßig. Zu berücksichtigen sind Risikoexposition, Einrichtungsgröße, Umsetzungskosten, Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen sowie deren gesellschaftliche und wirtschaftliche Auswirkungen.

Daneben sind die Bereichsbegrenzungen des § 28 Abs. 5, 6 und 8 sowie der Vorrang einschlägiger unionsrechtlicher Durchführungsakte nach § 30 Abs. 3 und 4 zu prüfen. Eine Befreiung nach § 37 BSIG ist nur durch Bescheid des Bundesministeriums des Innern unter den dort geregelten Voraussetzungen möglich; sie ist keine Selbstbefreiung. Bei einer Teilbefreiung muss die IT-Sicherheit anderweitig gewährleistet und beaufsichtigt sein. Nach § 37 Abs. 4 gilt diese Befreiungsregelung nicht für Vertrauensdiensteanbieter.

Häufige Fehlannahmen

• „Ein Backup ist bereits Disaster Recovery.“ Nein. Backups können benötigte Ressourcen liefern, ersetzen aber keinen Wiederanlaufplan mit Zielen, Reihenfolge, Rollen und Abhängigkeiten.
• „§ 30 BSIG verpflichtet jedes Unternehmen.“ Nein. Die Vorschrift richtet sich an besonders wichtige und wichtige Einrichtungen nach § 28 BSIG.
• „Die gesetzliche Pflicht beginnt erst nach einem Vorfall.“ Nein. § 30 BSIG verlangt präventive Risikomanagementmaßnahmen; nur die operative Anwendung des Wiederanlaufplans knüpft an eine Unterbrechung und im Verordnungsspezialregime ausdrücklich an einen Sicherheitsvorfall an.
• „Das Gesetz schreibt eine feste RTO vor.“ Nein. Die herangezogenen allgemeinen Vorschriften enthalten keine einheitliche Zahl; Wiederherstellungszeiten sind risikobasiert festzulegen.
• „Die Detailvorgaben der EU-Verordnung gelten für alle BSIG-Adressaten.“ Nein. Sie gelten nur für die in Art. 2 der Verordnung bezeichneten Einrichtungen.

Was die Geschäftsleitung tun sollte

Gesetzliche Verantwortung: Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen müssen die Maßnahmen nach § 30 BSIG umsetzen und ihre Umsetzung überwachen. Außerdem müssen sie regelmäßig an den Schulungen nach § 38 Abs. 3 teilnehmen; ein festes Intervall nennt die Vorschrift nicht. Für Einrichtungen der Bundesverwaltung gilt § 38 nach § 29 Abs. 2 nicht.

Praxisempfehlung: Unabhängig von der Einordnung einzelner Maßnahmen als Rechtspflicht sollte die Geschäftsleitung:

1. kritische IT-gestützte Abläufe, Ressourcen und Abhängigkeiten risikobasiert bestimmen lassen;
2. Rollen sowie Aktivierungs- und Deaktivierungskriterien für den Wiederanlauf festlegen;
3. Wiederherstellungsreihenfolge, RTOs, benötigte Backups, Redundanzen und weitere Ressourcen beschließen und finanzieren;
4. regelmäßige sowie anlassbezogene Tests, Dokumentation und Korrekturmaßnahmen nachhalten;
5. Anwendungsbereich, sektorale Sonderregeln und mögliche unionsrechtliche Vorrangregeln nachvollziehbar prüfen lassen.

Diese Schritte sind quellengebundene Empfehlungen. Zu gesetzlichen Einzelpflichten werden sie nur im jeweils einschlägigen Normbereich.

Für die Geschäftsleitung

Entscheidend sind drei Nachweise: welche Organisationsteile von § 30 BSIG oder einem Spezialregime erfasst werden, welche risikobasierten Wiederanlaufziele und Ressourcen beschlossen wurden und wie Umsetzung, Tests und Verbesserungen überwacht werden. Für erfasste besonders wichtige und wichtige Einrichtungen ist die Leitungsverantwortung nach § 38 BSIG verbindlich; für andere Organisationen bleibt ein dokumentierter Wiederanlaufplan eine belastbare technische und organisatorische Vorsorgemaßnahme, ohne dass daraus automatisch dieselbe gesetzliche Pflicht folgt.

Quellen

• § 28 BSIG – Besonders wichtige Einrichtungen und wichtige Einrichtungen
• § 29 BSIG – Einrichtungen der Bundesverwaltung
• § 30 BSIG – Risikomanagementmaßnahmen
• § 37 BSIG – Ausnahmen
• § 38 BSIG – Verantwortung der Geschäftsleitungen
• Durchführungsverordnung (EU) 2024/2690, Art. 2 und Anhang Nr. 4.1–4.2
• BSI-Standard 100-4, Kapitel 7.1.5–7.1.6
• BSI-Notfallmanagement-Glossar