OPS-08 Datensicherung und -wiederherstellung - Regelmäßige Tests
Geändert gegenüber C5:2020
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Specified which data types the criterion applies to.
Added requirement regarding the environments that cloud service customer data can be restored into.
Added requirement for the documentation of restore tests.
Zusatzkriterium
Added requirement about including restore tests in the cloud service provider's business continuity management.
Wortlaut in C5:2020
Basiskriterium
Restore procedures are tested regularly, at least annually. The tests allow an assessment to be made as to whether the contractual agreements as well as the specifications for the maximum tolerable downtime (Recovery Time Objective, RTO) and the maximum permissible data loss (Recovery Point Objective, RPO) are adhered to (cf. BCM-02).
Deviations from the specifications are reported to the responsible personnel or system components so that these can promptly assess the deviations and initiate the necessary actions.
Zusatzkriterium
At the customer's request, the Cloud Service Provider inform the cloud customer of the results of the recovery tests. Recovery tests are embedded in the Cloud Service Provider's emergency management.
Ergänzende Information zu allen Unterkriterien
Sofern die Datensicherung nicht vertraglich zwischen dem Cloud-Anbieter und dem Cloud-Kunden vereinbart wurde, ist dieses Kriterium nicht anwendbar. Dieser Sachverhalt ist vom Cloud-Anbieter in der Systembeschreibung transparent darzustellen.
Basiskriterium
Wiederherstellungsverfahren werden regelmäßig, mindestens jährlich, getestet. Die Tests umfassen Cloud-Anbieterdaten und, sofern vertraglich vereinbart, Cloud-Kundendaten und abgeleitete Cloud-Dienstdaten.
Ergänzende Information
Die im Basiskriterium beschriebene Nutzung von Cloud-Kundendaten bei Sicherungs- und Wiederherstellungsverfahren stellt eine wohlüberlegte Ausnahme dar. Diese Ausnahme erstreckt sich nicht auf allgemeine Softwareentwicklungs- oder andere Testumgebungen und die Verwendung von Cloud-Kundendaten für Tests ist speziell auf Sicherungs- und Wiederherstellungsverfahren beschränkt.
Die Tests ermöglichen eine Beurteilung, ob die vertraglichen Vereinbarungen sowie die Vorgaben zur maximal tolerierbaren Ausfallzeit (Recovery Time Objective, RTO) und zum maximal zulässigen Datenverlust (Recovery Point Objective, RPO) eingehalten werden (vgl. BCM-02).
Cloud-Kundendaten werden nur in Umgebungen wiederhergestellt, die denselben Zugriffsbeschränkungen unterliegen wie die Produktionsumgebung.
Ergänzende Information
Wenn Cloud-Kundendaten in einer Umgebung mit unterschiedlichen Zugriffsbeschränkungen wiederhergestellt werden, kann die Vertraulichkeit der Daten beeinträchtigt werden.
Durchgeführte Wiederherstellungstests werden ausführlich dokumentiert. Dazu gehört auch die Dokumentation der sicheren Entsorgung der wiederhergestellten Daten.
Abweichungen von den Vorgaben werden an das dafür zuständige Personal oder die dafür zuständigen Systemkomponenten beim Cloud-Anbieter berichtet, damit diese die Abweichungen zeitnah beurteilen und erforderliche Maßnahmen einleiten können.
Zusatzkriterium
OPS-08.01AC
Zusatz, erweiterndAuf Wunsch des Cloud-Kunden informiert der Cloud-Anbieter den Cloud-Kunden über die Ergebnisse der Wiederherstellungstests.
OPS-08.02AC
Zusatz, erweiterndWiederherstellungstests sind im Business Continuity Management des Cloud-Anbieters enthalten.
Korrespondierende Kriterien für Kunden
Was Cloud-Kunden auf ihrer Seite umsetzen.
Cloud-Kunden stellen durch geeignete Kontrollen sicher, dass sie aktiv Informationen über die Ergebnisse von Wiederherstellungstests beim Cloud-Anbieter anfordern. Cloud-Kunden bewerten die Wirksamkeit angewandter Datenwiederherstellungsstrategien und integrieren Erkenntnisse in ihre eigenen Notfallpläne im Einklang mit ihren Geschäftsanforderungen und Sicherheitsstandards.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen