BRDNachweis und Dokumentation der Datensicherung
Im Audit, bei einer Prüfung durch die Aufsicht oder nach einem Schadenfall gegenüber dem Versicherer zählt nicht, dass gesichert wurde, sondern dass es belegt werden kann. Die DSGVO verlangt, die Einhaltung nachweisen zu können (Art. 5 Abs. 2), und ISO/IEC 27001 verlangt dokumentierte Information, die gelenkt, aktuell und auffindbar ist (Kapitel 7.5).
Das Wichtigste in Kürze
- Kernunterlagen: Backup-Konzept, Systeminventar mit RTO/RPO, Sicherungsprotokolle, Restore-Testprotokolle, Notfallpläne.
- Jedes Dokument braucht Version, Verantwortliche, Freigabe und nächsten Prüftermin.
- Abweichungen aus Tests werden zu Maßnahmen mit Frist und Nachverfolgung.
- Interne Audits und Managementbewertung schließen den Kreis (ISO 27001 Kapitel 9.2 und 9.3).
Welche Unterlagen werden typischerweise geprüft?
| Unterlage | Was der Prüfer sehen will | Aktualisierung |
|---|---|---|
| Backup-Konzept bzw. Backup-Richtlinie | Geltungsbereich, Verfahren, Aufbewahrung, Verantwortung, Freigabe | jährlich und bei Änderungen |
| Inventar mit RTO und RPO | Zuordnung von Systemen zu Prozessen und Wiederherstellungszielen | mit jeder Änderung der Systemlandschaft |
| Sicherungsprotokolle | Erfolg und Fehler der Sicherungsjobs, Reaktion auf Fehler | laufend, Auswertung regelmäßig |
| Restore-Testprotokolle | Geplante und durchgeführte Tests mit Ergebnis und Maßnahmen | nach Testplan |
| Notfallpläne und Übungsberichte | Wiederanlaufreihenfolge, Kontakte, Ergebnisse von Übungen | jährlich und nach Übungen oder Vorfällen |
| Dienstleisterverträge | Leistungen, Wiederherstellungszusagen, Auftragsverarbeitung, Kontrollrechte | bei Vertragsänderung und regelmäßiger Überprüfung |
| Erklärung zur Anwendbarkeit (SoA) | Bewertung und Umsetzungsstand von A.8.13 und verwandten Maßnahmen | mit dem ISMS-Zyklus |
Wie bleibt die Dokumentation aktuell?
- Termine statt guter Vorsätze: Jeder Test und jede Überprüfung bekommt einen festen Termin und eine verantwortliche Person; überfällige Termine werden eskaliert.
- Eine Ablage: Konzept, Protokolle und Pläne liegen an einem Ort, verknüpft mit den betroffenen Systemen und Prozessen, nicht in einzelnen Postfächern.
- Maßnahmen nachverfolgen: Fehler aus Sicherungen und Tests werden nicht nur notiert, sondern als Maßnahme mit Frist bis zur Erledigung verfolgt.
- Monitoring einbinden: Fehlgeschlagene Sicherungsjobs sollten automatisch als Aufgabe beim Verantwortlichen landen.
- Management einbeziehen: Ergebnisse von Tests und Übungen gehören in die Managementbewertung; die Geschäftsleitung entscheidet über Ressourcen und Restrisiken.
Keine Rechtsberatung. Rechtsstand: 04.11.2026.