Anmelden
Compliance · NIS-2

Aufrechterhaltungist nichtWiederherstellung.

Artikel 21 Absatz 2 Buchstabe c der NIS-2-Richtlinie nennt beides in einem Satz. Die meisten Notfallpläne beantworten nur die zweite Hälfte. Für den Mailkanal ist die erste die teurere.

Demo anfragenNotfallpostfach ansehen

Wo E-Mail-Notfallpläne regelmäßig auffallen

Vier Befunde, die in Prüfungen immer wieder auftauchen.

Die Sicherung wird als Antwort auf beides angeboten

Eine Sicherung stellt Daten wieder her, nachdem der Vorfall vorbei ist. Sie sagt nichts darüber, wie während des Vorfalls gearbeitet wird. Wer auf die Frage nach der Aufrechterhaltung mit der Sicherungsstrategie antwortet, hat die Frage nicht beantwortet.

Der Plan verlässt sich auf fremde Fristen

Dass eingehende Mail nicht sofort verloren geht, liegt an der Wiederholung der sendenden Server. Wie lange die dauert, entscheidet deren Konfiguration, nicht Ihre.

Der Meldeweg hängt an E-Mail

Ein Eskalationsplan, dessen erster Schritt eine E-Mail ist, funktioniert bei einem Mailausfall nicht.

Der Plan wurde nie erprobt

Die Richtlinie verlangt, dass der Notfallplan zur Anwendung kommt. Ein ungeprüfter Wiederherstellungsweg ist der häufigste Befund überhaupt.

Was der Mailkanal konkret braucht

Drei Bausteine, die sich prüfen und belegen lassen.

1. Erkennung mit Zeitstempel

Ein Ausfall muss festgestellt und protokolliert werden, nicht zufällig bemerkt. Conbool hält den Zustand je Domäne fest, samt Beginn und Ende.

2. Ersatzverfahren für die Erreichbarkeit

Die Belegschaft muss während des Ausfalls lesen und antworten können. Das ist der Kern der Aufrechterhaltung und der Punkt, der am häufigsten fehlt.

3. Nachweis statt Behauptung

Wann der Notfallbetrieb galt, wie lange und wie viele Nachrichten betroffen waren, steht als Verlauf zur Verfügung. Das ist die Grundlage der Meldung und der späteren Aufarbeitung.

Was Conbool zur Betriebskontinuität beiträgt

Ehrlich abgegrenzt: der Mailkanal, nicht das gesamte Krisenmanagement.

Aufrechterhaltung für den Mailkanal

Lesen und Antworten laufen weiter, während das Primärsystem steht. Genau die Hälfte der Anforderung, die Sicherungen nicht abdecken.

Protokollierter Zustand

Beginn, Ende und Dauer jedes Notfallbetriebs sind nachvollziehbar dokumentiert und für die Meldepflicht verwertbar.

Schutz bleibt im Notfall aktiv

Auch während eines Ausfalls durchläuft jede Nachricht die vollständige Prüfung. Eine Ausnahmeregel für den Notfall wäre genau das Einfallstor, das Angreifer suchen.

Kein zusätzlicher Anbieter

Der Mailweg bleibt unverändert. Es kommt kein weiterer Verarbeiter und kein weiterer Vertrag hinzu.

Verarbeitung in der EU

Betrieb und Speicherung liegen in der EU, ohne Unterauftragnehmer außerhalb. Auch für die eigene Lieferkettenbetrachtung relevant.

Auch im eigenen Rechenzentrum

Wer die Aufrechterhaltung nicht an einen Betreiber abgeben will, betreibt dieselbe Funktion in der eigenen Umgebung.

Wiederherstellung und Aufrechterhaltung im Vergleich

Beide werden in Artikel 21 Absatz 2 Buchstabe c genannt. Sie leisten Unterschiedliches.

 
Aufrechterhaltung
Sicherung und Wiederherstellung
Wirkt während des Vorfalls
ja
nein
Wirkt nach dem Vorfall
nicht nötig
ja
Verhindert Datenverlust
nein, das tut die Warteschlange des Absenders
ja
Verhindert Arbeitsausfall
ja
nein
Belegbar durch Protokoll
ja
nur durch erprobte Wiederherstellung
Ohne die andere ausreichend
nein
nein

Die Gegenüberstellung beschreibt den Betrieb im Unternehmen. Für einzelne Anwender bleibt die Verschlüsselung im Client eine tragfähige Lösung.

Häufige Fragen

Was genau verlangt Artikel 21 Absatz 2 Buchstabe c?
Aufrechterhaltung des Betriebs, Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement. Die deutsche Umsetzung konkretisiert das durch einen Notfallplan für die Aufrechterhaltung und Wiederherstellung des Betriebs, der bei Sicherheitsvorfällen tatsächlich angewendet wird.
Reicht eine Sicherung, um die Anforderung zu erfüllen?
Für die Wiederherstellung ja, für die Aufrechterhaltung nein. Beide stehen im selben Satz der Richtlinie und meinen Unterschiedliches.
Gilt das auch für uns, wenn wir kein KRITIS-Betreiber sind?
NIS-2 erfasst wesentliche und wichtige Einrichtungen weit über den bisherigen KRITIS-Kreis hinaus, unter anderem nach Größe und Sektor. Zusätzlich wirkt die Richtlinie über die Lieferkette auf Zulieferer, die selbst nicht erfasst sind.
Ersetzt Conbool unseren Notfallplan?
Nein. Conbool deckt den Mailkanal ab. Erkennung, Meldeweg, Zuständigkeiten, Wiederanlaufreihenfolge und die Erprobung bleiben Ihre Aufgabe. Wir liefern den Baustein und den Nachweis, nicht das Dokument.
Was ist im Ernstfall der Nachweis?
Der protokollierte Zustand je Domäne mit Beginn, Ende und Umfang. Damit lässt sich belegen, dass ein Ersatzverfahren nicht nur vorgesehen war, sondern tatsächlich gegriffen hat.
Wie hängt das mit der Meldepflicht zusammen?
Die Meldefristen laufen ab Kenntnis. Eine dokumentierte Erkennung mit Zeitstempel ist deshalb nicht nur Betriebskontinuität, sondern auch die Grundlage für eine fristgerechte Meldung.
Muss der Plan geübt werden?
Die Richtlinie verlangt, dass der Notfallplan bei Sicherheitsvorfällen zur Anwendung findet. Ein Plan, der nie erprobt wurde, ist im Ernstfall ein Dokument und kein Verfahren.
Können wir das im eigenen Rechenzentrum betreiben?
Ja. Dieselbe Funktion steht auch für den Betrieb in der eigenen Umgebung zur Verfügung, wenn die Aufrechterhaltung nicht an einen Betreiber abgegeben werden soll.

Verwandte Lösungen

E-Mail-Notfallpostfach

Lesen und antworten, waehrend das eigene Mailsystem steht.

Microsoft 365 Ausfall

Weiterarbeiten, wenn Exchange Online keine Nachrichten annimmt.

NIS-2 E-Mail-Sicherheit

Alle E-Mail-Anforderungen nach Paragraf 30 BSIG im Ueberblick.

Microsoft 365 E-Mail-Sicherheit

Warum der eingebaute Schutz von Microsoft 365 nicht ausreicht.

Den eigenen Plan gegen die Anforderung halten

Wir gehen Ihren E-Mail-Notfallplan mit Ihnen durch und zeigen, welche Hälfte der Anforderung darin fehlt.

Demo anfragenKontakt aufnehmen