OPS-09 Datensicherung und -wiederherstellung - Aufbewahrung
Geändert gegenüber C5:2020
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Specified which data types the criterion applies to.
Added requirement for applying the data classification about the backed-up data to its baclup.
Linked criterion to the criterion for transport protection.
Wortlaut in C5:2020
Basiskriterium
The Cloud Service Provider transfers data to be backed up to a remote location or transports these on backup media to a remote location. If the data backup is transmitted to the remote location via a network, the data backup or the transmission of the data takes place in an encrypted form that corresponds to the state-of-the-art. The distance to the main site is chosen after sufficient consideration of the factors recovery times and impact of disasters on both sites. The physical and environmental security measures at the remote site are at the same level as at the main site.
Ergänzende Information zu allen Unterkriterien
Sofern die Datensicherung nicht vertraglich zwischen dem Cloud-Anbieter und dem Cloud-Kunden vereinbart wurde, entfällt dieses Kriterium. Der Cloud-Anbieter stellt diesen Sachverhalt in der Systembeschreibung transparent dar.
Basiskriterium
Der Cloud-Anbieter überträgt die Cloud-Anbieterdaten und, sofern vertraglich vereinbart, die Cloud-Kundendaten und die abgeleiteten Cloud-Dienstdaten zur Sicherung an einen entfernten Standort oder transportiert diese auf Sicherungsmedien an einen entfernten Standort.
Die Schutzbedarfe, die sich aus der Datenklassifizierung der Originaldaten ergeben (z. B. Verschlüsselung, Zugriffskontrolle), gelten auch für Datensicherungen.
Soweit die Datensicherung über ein Netz zum Remote-Standort übertragen wird, erfolgt die Datensicherung oder die Übertragung der Daten in einer verschlüsselten Form, die dem Stand der Technik entspricht (vgl. CRY-04).
Die Entfernung zum Hauptstandort wird unter ausreichender Berücksichtigung der Faktoren Wiederherstellungszeiten und Auswirkungen von Katastrophen auf beide Standorte gewählt.
Die Maßnahmen zur physischen und umgebungsbezogenen Sicherheit am Remote-Standort entsprechen denen am Hauptstandort.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen