# OPS-08 Datensicherung und -wiederherstellung - Regelmäßige Tests

- Bereich: OPS – Regelbetrieb
- Gegenüber C5:2020: geändert
- Webseite: https://c5.patrickscheid.de/ops-08/

**Ergänzende Information:**

Sofern die Datensicherung nicht vertraglich zwischen dem Cloud-Anbieter und dem Cloud-Kunden vereinbart wurde, ist dieses Kriterium nicht anwendbar. Dieser Sachverhalt ist vom Cloud-Anbieter in der Systembeschreibung transparent darzustellen.

## Basiskriterium

### OPS-08.01B

Wiederherstellungsverfahren werden regelmäßig, mindestens jährlich, getestet. Die Tests umfassen Cloud-Anbieterdaten und, sofern vertraglich vereinbart, Cloud-Kundendaten und abgeleitete Cloud-Dienstdaten.

**Ergänzende Information:**

Die im Basiskriterium beschriebene Nutzung von Cloud-Kundendaten bei Sicherungs- und Wiederherstellungsverfahren stellt eine wohlüberlegte Ausnahme dar. Diese Ausnahme erstreckt sich nicht auf allgemeine Softwareentwicklungs- oder andere Testumgebungen und die Verwendung von Cloud-Kundendaten für Tests ist speziell auf Sicherungs- und Wiederherstellungsverfahren beschränkt.

### OPS-08.02B

Die Tests ermöglichen eine Beurteilung, ob die vertraglichen Vereinbarungen sowie die Vorgaben zur maximal tolerierbaren Ausfallzeit (Recovery Time Objective, RTO) und zum maximal zulässigen Datenverlust (Recovery Point Objective, RPO) eingehalten werden (vgl. BCM-02).

### OPS-08.03B

Cloud-Kundendaten werden nur in Umgebungen wiederhergestellt, die denselben Zugriffsbeschränkungen unterliegen wie die Produktionsumgebung.

**Ergänzende Information:**

Wenn Cloud-Kundendaten in einer Umgebung mit unterschiedlichen Zugriffsbeschränkungen wiederhergestellt werden, kann die Vertraulichkeit der Daten beeinträchtigt werden.

### OPS-08.04B

Durchgeführte Wiederherstellungstests werden ausführlich dokumentiert. Dazu gehört auch die Dokumentation der sicheren Entsorgung der wiederhergestellten Daten.

### OPS-08.05B

Abweichungen von den Vorgaben werden an das dafür zuständige Personal oder die dafür zuständigen Systemkomponenten beim Cloud-Anbieter berichtet, damit diese die Abweichungen zeitnah beurteilen und erforderliche Maßnahmen einleiten können.

## Zusatzkriterium

### OPS-08.01AC (Zusatz, erweiternd)

Auf Wunsch des Cloud-Kunden informiert der Cloud-Anbieter den Cloud-Kunden über die Ergebnisse der Wiederherstellungstests.

### OPS-08.02AC (Zusatz, erweiternd)

Wiederherstellungstests sind im Business Continuity Management des Cloud-Anbieters enthalten.

## Korrespondierende Kriterien für Kunden

Cloud-Kunden stellen durch geeignete Kontrollen sicher, dass sie aktiv Informationen über die Ergebnisse von Wiederherstellungstests beim Cloud-Anbieter anfordern. Cloud-Kunden bewerten die Wirksamkeit angewandter Datenwiederherstellungsstrategien und integrieren Erkenntnisse in ihre eigenen Notfallpläne im Einklang mit ihren Geschäftsanforderungen und Sicherheitsstandards.

## Änderungen gegenüber C5:2020

Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht.

**Basiskriterium:**

Specified which data types the criterion applies to.

Added requirement regarding the environments that cloud service customer data can be restored into.

Added requirement for the documentation of restore tests.

**Zusatzkriterium:**

Added requirement about including restore tests in the cloud service provider's business continuity management.

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.