Vorlagen und Aufzeichnungen · ISO 27001 · Abschnitt A.5.30 y A.8.13

Protokoll der Kontinuitäts- und Backup-Tests nach ISO 27001

Der Beleg, dass sich die Sicherungen wiederherstellen lassen und die Dienste in der zugesagten Zeit wieder laufen – nicht nur, dass es einen Plan gibt.

In einem Satz

Das Protokoll der Kontinuitäts- und Backup-Tests dokumentiert, was mit welchem Wiederherstellungszeitziel getestet wurde, welches Ergebnis erzielt und was korrigiert wurde; es ist der Nachweis der Maßnahmen 5.30, die verlangt, die IKT-Bereitschaft zu planen, umzusetzen, aufrechtzuerhalten und zu testen, und 8.13, die regelmäßige Tests der Sicherungen fordert.

Inhalt überprüft am 17. Oktober 2026

Wo die Norm es verlangt: ISO 27001 · Abschnitt A.5.30 y A.8.13 Die Abschnitte folgen ISO/IEC 27001:2022; die mit „A.“ beginnenden sind Maßnahmen aus Anhang A, verbindlich in dem Umfang, in dem die Erklärung zur Anwendbarkeit sie aufnimmt.
Art der Information: Bewährte Praxis Nachweis der Maßnahmen 5.30 und 8.13 aus Anhang A
Wer sie ausfüllt: IT-Verantwortlicher Der Eigentümer des Dienstes bestätigt, dass das Ergebnis seine Ziele erfüllt
Wann: Gemäß Testplan Wiederherstellungen von Sicherungen häufiger; vollständige Umschalttests mindestens einmal jährlich
Wie lange sie aufbewahrt wird: Legt die Organisation fest ISO/IEC 27001 nennt keine Fristen, verlangt aber eine Entscheidung über Aufbewahrung und Vernichtung der dokumentierten Information (7.5.3). Wer den dreijährigen Zertifizierungszyklus abdeckt, kann bei der Rezertifizierung die Historie vorlegen.

Was die Norm verlangt

Was ISO 27001 fordert und was Ihrem Ermessen überlassen bleibt

Maßnahme 5.30, neu in der Ausgabe 2022, verlangt, dass die IKT-Bereitschaft für die Betriebskontinuität entsprechend den Kontinuitätszielen geplant, umgesetzt, aufrechterhalten und getestet wird. Maßnahme 8.13 verlangt, Sicherungskopien von Information, Software und Systemen vorzuhalten und regelmäßig zu testen.

Ein nie getesteter Kontinuitätsplan ist eine Hypothese. Der Auditor will das Ergebnis des letzten Tests sehen und wissen, was sich danach geändert hat.

Welche Art von Test und in welcher Häufigkeit, legt die Norm nicht fest; ISO 22301 ist die Referenz, wenn ein vollständiges Kontinuitätsmanagementsystem gewünscht ist.

Im Zusammenhang lesen: Betrieb, in der Akademie zu ISO 27001

Aufbau

Felder, die die Vorlage enthalten sollte

Getesteter Dienst oder getestetes System und Testart (Wiederherstellung, Umschaltung, Planspiel)
Ziel: akzeptable Wiederherstellungszeit und akzeptabler Wiederherstellungszeitpunkt
Datum, Beteiligte und Szenario
Gemessenes Ergebnis im Vergleich zum Ziel
Während des Tests festgestellte Probleme
Verbesserungsmaßnahmen, Verantwortlicher und Frist
Fazit: bestanden oder nicht bestanden

Beispiel

Beispiel: Wiederherstellung der Produktionsdatenbank

Unternehmen, Personen und Zahlen sind erfunden: Das Beispiel zeigt nur, wie eine sauber ausgefüllte Aufzeichnung aussieht.

Feld	Inhalt
Test	Vollständige Wiederherstellung der Plattformdatenbank in einer isolierten Umgebung
Ziel	Wiederherstellung in weniger als 4 Stunden bei höchstens 24 Stunden Datenverlust
Datum und Beteiligte	21. Mai 2026 · Leiter Infrastruktur und zwei Techniker
Ergebnis	Wiederhergestellt in 5 h 10 min · Daten vollständig bis zur Sicherung von 02:00 Uhr
Problem	Das Verfahren enthielt die Neuerzeugung der Verschlüsselungsschlüssel nicht
Maßnahme	Verfahren aktualisieren und Test wiederholen · 30. Juni
Fazit	Nicht bestanden · am 26. Juni wiederholt: 3 h 20 min, bestanden

Im Audit

Fehler, die Auditoren häufig feststellen

Es wird geprüft, ob die Sicherung „erfolgreich beendet“ wurde, nie, ob sie sich wiederherstellen lässt.
Es gibt keine Wiederherstellungsziele, mit denen sich das Ergebnis vergleichen ließe.
Fehlgeschlagene Tests werden nicht protokolliert oder lösen keine Maßnahmen aus.
Der Kontinuitätsplan wurde nach dem Wechsel des Cloud-Anbieters nicht aktualisiert.

In Kimobox

So wird diese Aufzeichnung in Kimobox geführt

1Wiederherstellungstests und Kontinuitätspläne werden auf der Plattform dokumentiert.
2Der Kontinuitätsplan ist ein versionierter Datensatz, und jeder Test ist mit den daraus folgenden Maßnahmen verknüpft.
3Abgeleitete Maßnahmen werden mit Verantwortlichem und Termin zugewiesen, mit Warnung bei Verzug.

Häufige Fragen

Was man uns vor dem Start fragt

Braucht man eine Zertifizierung nach ISO 22301?

Nein. ISO/IEC 27001 verlangt die IKT-Bereitschaft für die Betriebskontinuität, kein vollständiges Business-Continuity-Managementsystem. ISO 22301 ist als Leitfaden nützlich, aber keine Anforderung.

Zählt ein Planspiel?

Als Teil des Testplans ja: Es validiert Rollen und Kommunikation. Die echte Wiederherstellung von Sicherungen, die Maßnahme 8.13 belegt, ersetzt es aber nicht.

Führen Sie die Aufzeichnungen zu ISO 27001 ohne verstreute Vorlagen

Wir zeigen Ihnen das Modul im Einsatz, mit Daten, die Ihren ähneln.

Demo anfragen

Weiter entdecken

Woher jede Angabe stammt

Verweise auf den geltenden amtlichen Text. Wird eine Norm überarbeitet, wird diese Seite aktualisiert und das Revisionsdatum entsprechend angepasst.

ISO/IEC 27001:2022 — Informationssicherheits-Managementsysteme. Anforderungen ISO/IEC · 25. Oktober 2022
ISO/IEC 27002:2022 — Informationssicherheitsmaßnahmen ISO/IEC · Februar 2022