Was sind RTO und RPO?
RTO bezeichnet die maximal hinnehmbare Dauer bis zur Wiederherstellung; RPO den Zeitpunkt vor einer Unterbrechung, bis zu dem Daten wiederhergestellt werden müssen.
Technische Einordnung: Das Recovery Time Objective beschreibt die maximal hinnehmbare Dauer, während der Komponenten eines Informationssystems wiederhergestellt werden, bevor Aufgaben oder Geschäftsprozesse der Organisation beeinträchtigt werden. Das Recovery Point Objective legt fest, auf welchen Zeitpunkt vor der Unterbrechung der Datenbestand zurückgeführt werden muss. Beide Werte sind Planungsziele. Sie sind weder Messwerte noch Garantien für ein tatsächlich erreichtes Wiederherstellungsergebnis.
Der Normwortlaut
„Bei der Festlegung der Vorgaben für die Wiederherstellungszeit und die Wiederherstellungspunkte jeder Funktion berücksichtigen die Finanzunternehmen, ob es sich um eine kritische oder wichtige Funktion handelt, sowie die potenziellen Gesamtauswirkungen auf die Markteffizienz. Mit diesen Zeitvorgaben ist sichergestellt, dass die vereinbarte Dienstleistungsgüte in Extremszenarien erreicht wird.“
Normtext: Verordnung (EU) 2022/2554 (DORA), Artikel 12 Absatz 6.
Auslegung: Die Vorschrift verlangt von den Finanzunternehmen, für die Artikel 12 Absatz 6 gilt, funktionsbezogene Vorgaben. Bei deren Bemessung sind die Kritikalität oder Wichtigkeit der jeweiligen Funktion und die potenziellen Gesamtauswirkungen auf die Markteffizienz zu berücksichtigen. Darüber hinaus müssen die Zeitvorgaben sicherstellen, dass die vereinbarte Dienstleistungsgüte in Extremszenarien erreicht wird. Der Absatz nennt keine universell geltende Stunden- oder Minutenangabe.
Worin unterscheiden sich RTO und RPO?
RTO begrenzt die angestrebte Dauer der Nichtverfügbarkeit. RPO bestimmt dagegen den wiederherzustellenden Datenstand und damit den tolerierten Datenrückstand. Ein System kann deshalb ein anspruchsvolles RTO, aber ein weniger anspruchsvolles RPO haben – oder umgekehrt. Beide Ziele müssen getrennt festgelegt und gemeinsam in der Wiederherstellungsplanung berücksichtigt werden.
Für wen gilt die DORA-Vorgabe zu RTO und RPO?
Die Rechtspflicht aus Artikel 12 Absatz 6 DORA richtet sich an Finanzunternehmen im Anwendungsbereich des Artikels 2 unter dem Vorbehalt der Ausnahmen nach Artikel 2 Absätzen 3 und 4. Sie gilt nicht für kleine und nicht verflochtene Wertpapierfirmen, ausgenommene Zahlungsinstitute, bestimmte nach der Richtlinie 2013/36/EU ausgenommene Institute, ausgenommene E-Geld-Institute und kleine Einrichtungen der betrieblichen Altersversorgung, für die Artikel 16 Absatz 1 die Anwendung der Artikel 5 bis 15 ausschließt und stattdessen den vereinfachten IKT-Risikomanagementrahmen vorsieht. Der Katalog des Artikels 2 erfasst unter anderem Kredit-, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Handelsplätze, Versicherungsunternehmen und Anbieter von Kryptowerte-Dienstleistungen.
Grenzen des Anwendungsbereichs: Artikel 2 Absatz 3 enthält Ausnahmen, unter anderem für bestimmte Verwalter alternativer Investmentfonds, bestimmte Versicherungs- und Rückversicherungsunternehmen, Einrichtungen der betrieblichen Altersversorgung mit insgesamt weniger als 15 Versorgungsanwärtern, bestimmte anderweitig ausgenommene Personen oder Unternehmen sowie Versicherungsvermittler, Rückversicherungsvermittler und Versicherungsvermittler in Nebentätigkeit, sofern sie Kleinstunternehmen oder kleine oder mittlere Unternehmen sind. Darüber hinaus können Mitgliedstaaten nach Artikel 2 Absatz 4 die in dessen Satz 1 bezeichneten, in ihrem jeweiligen Hoheitsgebiet gelegenen Stellen vom Anwendungsbereich ausnehmen. Auf die vom Spezialregime nach Artikel 16 Absatz 1 erfassten Finanzunternehmen stützen sich die hier dargestellten Pflichten aus Artikel 5 Absatz 2, Artikel 11 Absatz 6 und Artikel 12 Absatz 6 nicht. Ob und welche DORA-Vorgaben im Einzelfall gelten, ist anhand des vollständigen Artikels 2 und des Spezialregimes nach Artikel 16 zu prüfen.
Außerhalb der persönlichen Reichweite des Artikels 12 Absatz 6 bleiben RTO und RPO allgemein einsetzbare technische Planungsgrößen. Aus dieser Vorschrift folgt dort jedoch keine Rechtspflicht.
Wie werden passende RTO- und RPO-Zielwerte festgelegt?
Für Finanzunternehmen, auf die Artikel 12 Absatz 6 DORA anwendbar ist, sind die Ziele für jede Funktion festzulegen. Dabei sind deren Kritikalität oder Wichtigkeit und die potenziellen Gesamtauswirkungen auf die Markteffizienz zu berücksichtigen. Die Zeitvorgaben müssen darüber hinaus sicherstellen, dass die vereinbarte Dienstleistungsgüte in Extremszenarien erreicht wird.
Technische Empfehlung: Eine Business-Impact-Analyse kann helfen, Auswirkungen, Abhängigkeiten und erforderliche Wiederherstellungsstrategien zu bestimmen. Sie ist fachlich geeignet, darf aber nicht als ausdrücklicher Tatbestand des Artikels 12 Absatz 6 ausgegeben werden. Außerhalb von DORA ist die Ableitung aus Kritikalität, Abhängigkeiten und geschäftlichen Auswirkungen eine Planungsempfehlung, keine durch die hier geprüften Quellen begründete allgemeine Rechtspflicht.
Gibt es feste Fristen oder Schwellenwerte für RTO und RPO?
Nein. Die geprüften Normen enthalten keinen allgemeinen numerischen RTO- oder RPO-Wert, der unionsweit für alle Organisationen oder Funktionen gilt. Konkrete Werte können sich jedoch aus spezielleren unionsrechtlichen, nationalen, aufsichtsrechtlichen oder vertraglichen Anforderungen ergeben; solche Anforderungen folgen nicht allein aus Artikel 12 Absatz 6 DORA oder Artikel 21 NIS 2.
Davon getrennte DORA-Testpflicht: Finanzunternehmen, für die Artikel 11 Absatz 6 gilt, müssen ihre IKT-Geschäftsfortführungspläne sowie ihre IKT-Reaktions- und Wiederherstellungspläne in Bezug auf IKT-Systeme, die alle Funktionen unterstützen, mindestens jährlich testen. Zusätzlich ist ein Test bei jeder wesentlichen Änderung an IKT-Systemen erforderlich, die kritische oder wichtige Funktionen unterstützen. Diese Testfrequenz ist kein RTO- oder RPO-Zielwert.
Welche Rolle spielt NIS 2 bei RTO und RPO?
Artikel 21 Absätze 1 und 2 Buchstabe c der NIS-2-Richtlinie verlangt für erfasste wesentliche und wichtige Einrichtungen geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen zur Aufrechterhaltung des Betriebs, darunter Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement. Die Maßnahmen müssen ein dem bestehenden Risiko angemessenes Sicherheitsniveau gewährleisten. Dabei sind der Stand der Technik, gegebenenfalls einschlägige europäische und internationale Normen sowie die Kosten der Umsetzung zu berücksichtigen; bei der Verhältnismäßigkeit sind außerdem Risikoexposition, Größe sowie Eintrittswahrscheinlichkeit und Schwere möglicher Sicherheitsvorfälle einschließlich ihrer gesellschaftlichen und wirtschaftlichen Auswirkungen zu berücksichtigen.
Rechtliche Abgrenzung: NIS 2 nennt RTO und RPO nicht und schreibt diese Kennzahlen oder konkrete Zielwerte nicht ausdrücklich vor. Sie können geeignete Instrumente einer risikogerechten Kontinuitätsplanung sein. Der persönliche Anwendungsbereich folgt aus Artikel 2 und den Anhängen I und II; Mikro- und Kleinunternehmen sind grundsätzlich ausgenommen, vorbehaltlich der Fälle nach Artikel 2 Absatz 2. Nach Artikel 2 Absatz 5 können Mitgliedstaaten den Anwendungsbereich außerdem auf Einrichtungen der öffentlichen Verwaltung auf lokaler Ebene und auf Bildungseinrichtungen erweitern. Als Richtlinie ist NIS 2 zudem zusammen mit dem jeweils anwendbaren nationalen Umsetzungsrecht zu betrachten.
Woran lässt sich erkennen, ob RTO und RPO erreichbar sind?
Dokumentierte Zielwerte allein belegen keine Zielerreichung. Technische Empfehlung: Wiederherstellungstests sollten zeigen, ob Systeme, Funktionen und Datenbestände innerhalb der festgelegten Ziele wiederhergestellt werden können. Dabei sind technische und organisatorische Abhängigkeiten sowie die Eignung der Wiederherstellungs- und Backup-Strategien zu berücksichtigen. Eine tatsächlich gemessene Dauer oder ein erreichter Datenstand ist ein Testergebnis und bleibt begrifflich vom zuvor festgelegten Ziel getrennt.
Häufige Fehlannahmen
- „RTO ist die gemessene Ausfallzeit.“ Nein. RTO ist ein Planungsziel; die gemessene Ausfall- oder Wiederherstellungsdauer ist ein tatsächliches Ergebnis.
- „RPO entspricht immer dem Backup-Intervall.“ Nein. RPO bestimmt den erforderlichen Datenstand. Das Backup-Intervall ist nur ein Element der technischen Umsetzung und beweist für sich allein nicht, dass das RPO erreicht wird.
- „Die Zielwerte garantieren die Wiederherstellung.“ Nein. RTO und RPO formulieren Ziele, keine Erfolgsgarantie. Ihre Erreichbarkeit muss durch geeignete Strategien und Tests überprüft werden.
- „DORA schreibt für jedes Unternehmen denselben Zahlenwert vor.“ Nein. Artikel 12 Absatz 6 verlangt für seine Adressaten funktionsbezogene Vorgaben und nennt keinen allgemeinen numerischen Grenzwert.
- „NIS 2 schreibt RTO und RPO ausdrücklich vor.“ Nein. Artikel 21 verlangt risikogerechte Kontinuitätsmaßnahmen, verwendet diese Begriffe aber nicht und setzt keine entsprechenden Zahlenwerte fest.
Was die Geschäftsleitung tun sollte
Rechtspflicht im regulären DORA-Rahmen: Bei Finanzunternehmen, für die Artikel 5 Absatz 2 gilt, trägt das Leitungsorgan die letztendliche Verantwortung für das Management der IKT-Risiken. Es muss den IKT-Risikomanagementrahmen verantworten sowie die Geschäftsfortführungs- und Wiederherstellungsvorkehrungen genehmigen, überwachen und regelmäßig überprüfen.
- Ziele je Funktion dokumentieren: RTO und RPO getrennt festlegen. Soweit Artikel 12 Absatz 6 DORA anwendbar ist, sind die Kritikalität oder Wichtigkeit und mögliche Auswirkungen auf die Markteffizienz zu berücksichtigen; die Zeitvorgaben müssen außerdem sicherstellen, dass die vereinbarte Dienstleistungsgüte in Extremszenarien erreicht wird.
- Abhängigkeiten erfassen: Benötigte Systeme, Daten, Dienstleister und organisatorische Voraussetzungen den jeweiligen Funktionen zuordnen und die Zielwerte fachlich begründen.
- Strategien auf die Ziele ausrichten: Wiederherstellungs-, Redundanz- und Backup-Vorkehrungen darauf prüfen, ob sie den angestrebten Wiederanlauf und Datenstand unterstützen.
- Erreichbarkeit testen: Ergebnisse und Abweichungen dokumentieren; soweit Artikel 11 Absatz 6 DORA gilt, die mindestens jährlichen sowie die an wesentliche Änderungen geknüpften zusätzlichen Tests einplanen.
- Spezialanforderungen prüfen: Zusätzlich anwendbare unionsrechtliche, nationale, aufsichtsrechtliche und vertragliche Vorgaben je Unternehmen, Dienst und Funktion gesondert feststellen.
Für Finanzunternehmen im vereinfachten IKT-Risikomanagementrahmen nach Artikel 16 Absatz 1 und außerhalb des DORA-Anwendungsbereichs lassen sich die hier auf Artikel 5 Absatz 2, Artikel 11 Absatz 6 und Artikel 12 Absatz 6 gestützten Pflichten nicht übertragen. Die Schritte bleiben fachliche Empfehlungen, soweit nicht eine andere einschlägige Vorschrift oder vertragliche Regelung sie verbindlich macht.
Für die Geschäftsleitung
RTO und RPO sind getrennte, funktionsbezogene Planungsziele für Wiederanlauf und Datenwiederherstellung. DORA macht ihre Festlegung nach Artikel 12 Absatz 6 für diejenigen Finanzunternehmen verbindlich, auf die diese Vorschrift anwendbar ist; für die in Artikel 16 Absatz 1 bezeichneten Finanzunternehmen gilt stattdessen der vereinfachte IKT-Risikomanagementrahmen. NIS 2 liefert lediglich ergänzenden Kontinuitätskontext und schreibt die Kennzahlen nicht selbst vor. Zu entscheiden sind belastbare Ziele, passende Wiederherstellungsstrategien und die Behandlung festgestellter Abweichungen. Als Nachweis dienen insbesondere begründete Zielwerte, dokumentierte Abhängigkeiten, genehmigte Pläne sowie nachvollziehbare Testresultate und Verbesserungsmaßnahmen.
Quellen
- Verordnung (EU) 2022/2554 (DORA), insbesondere Artikel 2, Artikel 5 Absatz 2, Artikel 11 Absatz 6, Artikel 12 Absatz 6 und Artikel 16 Absatz 1.
- Richtlinie (EU) 2022/2555 (NIS 2), insbesondere Artikel 2 sowie Artikel 21 Absätze 1 und 2 Buchstabe c.
- NIST Special Publication 800-34 Rev. 1, Contingency Planning Guide for Federal Information Systems, insbesondere Appendix F sowie Sections 3.2.1, 3.3 und 3.5.
