(nach ISO/IEC 27001:2022 und ISO/IEC 27002:2022)

Informations- und Kommunikationstechnologien (IKT) sind für nahezu alle Geschäftsprozesse essenziell. Kommt es zu Ausfällen, Störungen oder Sicherheitsvorfällen, kann dies den Geschäftsbetrieb erheblich beeinträchtigen. Das Control A 5.30 stellt sicher, dass IKT-Systeme so geplant, ausgelegt und betrieben werden, dass sie die Kontinuität wichtiger Geschäftsprozesse unterstützen und in Krisensituationen widerstandsfähig bleiben. Es definiert die Anforderungen an die technische und organisatorische IKT-Resilienz im Rahmen des Business Continuity Managements (BCM).

Zweck des Controls

Ziel dieses Controls ist es, die Verfügbarkeit von Informationen und IKT-Diensten auch unter außergewöhnlichen Bedingungen sicherzustellen. Die Organisation muss Maßnahmen entwickeln, die es ermöglichen, den Betrieb trotz Störungen fortzuführen oder schnell wiederherzustellen. Damit wird das Risiko von Betriebsunterbrechungen, Datenverlusten und daraus resultierenden finanziellen oder regulatorischen Folgen reduziert.

Anforderungen und Maßnahmen

1. Verknüpfung zwischen Informationssicherheits- und Business-Continuity-Anforderungen

Organisationen müssen sicherstellen, dass Anforderungen aus Informationssicherheit und Business Continuity abgestimmt werden:

• Ableitung technischer Kontinuitätsanforderungen aus Business-Impact-Analysen (BIA).
• Festlegung von Wiederanlaufzielen (Recovery Time Objective – RTO, Recovery Point Objective – RPO).
• Berücksichtigung der Schutzbedarfsanalyse bei der Planung kritischer Systeme.
• Abgleich zwischen IT-Service-Management, Informationssicherheit und BCM-Funktionen.

Diese Abstimmung bildet die Grundlage für eine wirksame IKT-Bereitschaft.

2. Planung widerstandsfähiger IKT-Architekturen

Kritische Systeme und Dienste müssen so entworfen werden, dass sie hohen Belastungen standhalten:

• Redundanz und Ausfallsicherheit (z. B. Cluster, Load Balancing, georedundante Rechenzentren).
• Maßnahmen zur Minimierung von Single Points of Failure.
• Einsatz robuster Netzwerk- und Kommunikationsinfrastrukturen.
• Belastungs- und Kapazitätsplanung für Notfallszenarien.
• Dokumentierte Architektur- und Systemdesigns.
• Dies erhöht die Resilienz der technischen Infrastruktur gegenüber Störungen.

3. Notfallbetrieb und Wiederanlaufverfahren

Für den Fall einer Störung müssen definierte Prozesse bereitstehen:

• Notfallbetriebsmodi, die eine reduzierte, aber funktionsfähige Servicebereitstellung ermöglichen.
• Wiederherstellungsverfahren für Systeme, Daten und Anwendungen.
• Vordefinierte Priorisierung kritischer Dienste.
• Klar festgelegte Verantwortlichkeiten für technische Wiederherstellungsmaßnahmen.
• Ausreichende Ressourcen (Hardware, Software, Netzwerkkapazitäten) für den Notfallbetrieb.

Ziel ist ein kontrollierter, schneller und sicherer Wiederanlauf.

4. Sicherstellung des Schutzes von Backups und Wiederherstellungsdaten

Backups sind essenziell für die Kontinuität:

• Regelmäßige, dokumentierte Backup-Prozesse.
• Schutz der Backups durch Verschlüsselung, physische Sicherheit und Zugriffskontrollen.
• Trennung von Backup- und Produktionsumgebungen, um Angriffsausbreitung (z. B. Ransomware) zu verhindern.
• Regelmäßige Wiederherstellungstests, um die Funktionsfähigkeit zu gewährleisten.

So wird sichergestellt, dass Daten in Notfällen verlässlich verfügbar sind.

5. Einrichtung eines IKT-Notfallmanagements

Ein strukturiertes Notfallmanagement unterstützt die koordinierte Reaktion:

• Definierte Rollen wie IKT-Notfallmanager, Wiederherstellungstechniker und Kommunikationsverantwortliche.
• Playbooks und Runbooks für typische Notfallszenarien (z. B. Serverausfall, Cyberangriff, Netzwerkausfall).
• Bereitstellung geeigneter Kommunikationsmittel auch außerhalb der Primärsysteme.
• Verzahnung mit Incident-Response-Prozessen und Krisenmanagement.

Ein funktionierendes IKT-Notfallmanagement ermöglicht schnelle und strukturierte Entscheidungspfad­e.

6. Nutzung sicherer alternativer Betriebsprozesse und externer Ressourcen

Organisationen sollten alternative Wege für den Betrieb kritischer Abläufe definieren:

• Umschalten auf Ersatzsysteme oder sekundäre Rechenzentren.
• Nutzung externer Provider oder Cloud-Dienste für Rechenleistung, Kommunikation oder Datenverarbeitung.
• Dokumentierte Übergangsprozesse zwischen primären und alternativen Betriebsumgebungen.
• Regelungen für die Aktivierung und Deaktivierung von Notfall-Services.

Damit bleibt der Geschäftsbetrieb auch bei Ausfall primärer Systeme handlungsfähig.

7. Regelmäßige Tests, Übungen und Überprüfungen

IKT-Bereitschaft muss aktiv getestet werden, um im Notfall wirksam zu funktionieren:

• Technische Wiederherstellungsübungen (Disaster-Recovery-Tests).
• Simulationen von Ausfallszenarien (z. B. Ausfall kritischer Anwendungen oder Netzwerke).
• Überprüfung der Wirksamkeit alternativer Betriebsmodelle.
• Lessons Learned – Anpassung der Verfahren nach jedem Test.

Nur durch regelmäßige Tests wird die tatsächliche Einsatzfähigkeit sichergestellt.

8. Dokumentation und Pflege von Notfall- und Wiederanlaufplänen

Alle relevanten Informationen müssen gepflegt und auf dem aktuellen Stand gehalten werden:

• Dokumentation der Wiederherstellungsprozesse, Kontaktdaten, Verantwortlichkeiten und Abhängigkeiten.
• Zentral verfügbare und redundante Ablageorte für Notfalldokumente.
• Versionierung und Änderungsmanagement für alle Notfallunterlagen.
• Regelmäßiger Review im Rahmen des ISMS und BCM.

Dies erleichtert die Nutzung im Ernstfall und verbessert die Nachvollziehbarkeit.

9. Kontinuierliche Verbesserung der IKT-Resilienz

Die IKT-Bereitschaft ist ein fortlaufender Prozess:

• Bewertung neuer Risiken, Technologien und Bedrohungen.
• Anpassung der Architektur an veränderte Geschäfts- oder IT-Strategien.
• Analyse realer Vorfälle oder Testresultate.
• Regelmäßige Abstimmung zwischen IT, BCM, Informationssicherheit und Management.

Damit bleibt die IKT-Resilienz langfristig stabil und anpassungsfähig.

Zusammenfassung

A 5.30 fordert, dass Organisationen ihre IKT-Systeme so planen und betreiben, dass sie die Kontinuität kritischer Geschäftsprozesse auch bei Störungen gewährleisten. Dazu gehören eine robuste IKT-Architektur, definierte Notfall- und Wiederanlaufprozesse, geschützte Backups, die Einbindung in das BCM, die regelmäßige Durchführung von Tests und eine kontinuierliche Verbesserung. Dieses Control stellt sicher, dass der Geschäftsbetrieb selbst bei erheblichen technischen Störungen möglichst aufrechterhalten oder schnell wiederhergestellt werden kann.