Das Rechenzentrum fällt aus, der Notbetrieb startet. In der Hektik wird der Notfall-VPN-Zugang ohne MFA freigeschaltet, Backup-Daten werden auf unverschlüsselten Speicher zurückgespielt, und temporäre Admin-Konten bleiben wochenlang aktiv. A.5.29 verhindert, dass die Informationssicherheit im Krisenfall zusammenbricht — genau dann, wenn die Organisation am verwundbarsten ist.
Was verlangt die Norm?
- IS-Anforderungen in BCM integrieren. Informationssicherheit wird als fester Bestandteil in die Geschäftskontinuitätspläne einbezogen.
- Sicherheit im Notbetrieb definieren. Für jede kritische Maßnahme wird dokumentiert, ob sie im Notbetrieb aufrechterhalten, reduziert oder durch eine Alternative ersetzt wird.
- Kompensierende Maßnahmen planen. Wenn Kontrollen im Notbetrieb nicht greifen, werden Alternativen vorab festgelegt.
- Regelmäßig testen. Die IS-Kontinuitätsmaßnahmen werden gemeinsam mit den BCM-Übungen getestet.
In der Praxis
IS-Anforderungen in BCP-Dokumente integrieren. Jeder Business-Continuity-Plan bekommt einen Abschnitt „Informationssicherheit im Notbetrieb”. Inhalt: Welche Sicherheitsmaßnahmen gelten? Welche werden reduziert? Welche kompensierenden Maßnahmen greifen?
Temporäre Zugänge befristet und dokumentiert. Im Notbetrieb werden oft schnell zusätzliche Zugänge vergeben. Regel: Jeder temporäre Zugang bekommt ein Ablaufdatum (maximal 72 Stunden, danach Verlängerung mit Genehmigung). Alle temporären Zugänge werden nach dem Notbetrieb überprüft und entzogen.
Backup-Integrität regelmäßig prüfen. Ein Backup, das im Notfall nicht lesbar oder korrumpiert ist, nützt nichts. Teste die Wiederherstellbarkeit mindestens quartalsweise und prüfe die Integrität (Checksummen).
IS-Aspekte in BCM-Übungen einbauen. Ergänze jede BCM-Übung um Sicherheitsfragen: Wurde die Zugriffskontrolle geprüft? Wurden temporäre Zugänge dokumentiert? Ist die Verschlüsselung im Ausweichsystem aktiv?
Typische Audit-Nachweise
Auditoren erwarten bei A.5.29 typischerweise diese Nachweise:
- IS-Kontinuitätsplan — dokumentierte Sicherheitsanforderungen für den Notbetrieb (→ Business-Continuity-Plan im Starter Kit)
- Kompensierende Maßnahmen — dokumentierte Alternativen für nicht aufrechterhaltbare Kontrollen
- Übungsprotokolle — Nachweis, dass IS-Aspekte in BCM-Übungen getestet wurden (→ Übungsprotokoll im Starter Kit)
- Backup-Testprotokolle — Nachweis der regelmäßigen Wiederherstellungstests
- Return-to-Normal-Checkliste — Nachweis der Rückführung aller Notfallmaßnahmen
KPI
% der IS-Kontinuitätsmaßnahmen, die in den letzten 12 Monaten getestet wurden
Ziel: 100%. Jede IS-Kontinuitätsmaßnahme, die nicht im letzten Jahr getestet wurde, ist potenziell unwirksam. Der Test kann im Rahmen einer BCM-Übung oder als eigenständiger Test erfolgen.
Ergänzende KPIs:
- Anteil der BCM-Übungen, die IS-Aspekte explizit einbeziehen
- Anzahl der nach einer Störung identifizierten Sicherheitslücken im Notbetrieb
- Durchschnittliche Dauer bis zur Rücknahme aller Notfall-Sicherheitsmaßnahmen
BSI IT-Grundschutz
A.5.29 mappt auf die BSI-Anforderungen zur Notfallvorsorge:
- DER.4 (Notfallmanagement) — umfassender Baustein, der die Integration von IS-Anforderungen in das Notfallmanagement fordert.
- BSI-Standard 200-4 (Business Continuity Management) — detaillierte Methodik für BCM mit expliziten IS-Anforderungen.
Verwandte Kontrollen
A.5.29 verbindet Informationssicherheit mit Geschäftskontinuität:
- A.5.30 — IKT-Bereitschaft für Geschäftskontinuität: Die technische Seite der Kontinuität.
- A.5.24 — Planung des Vorfallmanagements: Vorfallmanagement als Voraussetzung für die Krisenreaktion.
- A.5.26 — Reaktion auf Vorfälle: Die operative Reaktion, die im Störungsfall greift.
Quellen
- ISO/IEC 27001:2022 Annex A, Control A.5.29 — IS während einer Störung
- ISO/IEC 27002:2022 Abschnitt 5.29 — Umsetzungshinweise
- BSI IT-Grundschutz, DER.4 — Notfallmanagement