NIS2 Backup und Wiederherstellung: Die Pflicht aus § 30 BSIG – und der 6-Punkte-EU-Standard dahinter

Sophos befragte 2026 weltweit 2.158 IT- und Sicherheitsverantwortliche, deren Organisationen im vorangegangenen Jahr Opfer eines Ransomware-Angriffs wurden. Ergebnis laut Sophos: 66 Prozent der Fälle mit verschlüsselten Daten ließen sich über Backups wiederherstellen – ein Plus von 12 Prozentpunkten gegenüber dem Vorjahr. Der Umkehrschluss wiegt schwerer: Mehr als ein Drittel der Betroffenen kam trotz vorhandenem Backup nicht vollständig zurück, und die durchschnittlichen Wiederherstellungskosten stiegen im selben Zeitraum auf 1,7 Millionen US-Dollar [1].

Für Deutschland ist das kein abstraktes Risiko – dazu weiter unten mehr. Genau hier setzt § 30 Abs. 2 Nr. 3 des novellierten BSI-Gesetzes an, das seit dem 6. Dezember 2025 in Kraft ist: Er verpflichtet betroffene Unternehmen zu Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement – in einem einzigen Satz, ohne technische Details. Die technischen Details liefert ein anderes Dokument, das die wenigsten NIS2-Ratgeber sauber von der eigentlichen Gesetzespflicht trennen: die Durchführungsverordnung (EU) 2024/2690. Dieser Artikel zeigt, was rechtlich bindend ist, was als EU-Benchmark gilt, und wo Unternehmen in der Praxis tatsächlich scheitern.

Gilt das für mein Unternehmen?

Die Pflicht zu Backup-Management und Wiederherstellung trifft alle Organisationen, die § 30 BSIG unterliegen: besonders wichtige Einrichtungen und wichtige Einrichtungen nach § 28 BSIG. Maßgeblich sind Mitarbeiterzahl und Jahresumsatz innerhalb eines der NIS2-Sektoren – mit Ausnahmen für bestimmte Sondertypen wie DNS-Anbieter, die unabhängig von ihrer Größe erfasst werden.

Kurz gesagt: Sobald § 30 BSIG greift, greift auch die Backup-Pflicht – es gibt keine Ausnahme für einzelne der zehn Maßnahmen aus Absatz 2.

Die gesetzliche Pflicht: § 30 BSIG und Artikel 21(2)(c) NIS2

Der deutsche Gesetzestext ist ungewöhnlich knapp. § 30 Abs. 2 Nr. 3 BSIG verlangt von besonders wichtigen und wichtigen Einrichtungen Maßnahmen zur „Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement“. Die europäische Vorlage in Artikel 21 Absatz 2 Buchstabe c NIS2-Richtlinie formuliert es fast wortgleich: „business continuity, such as backup management and disaster recovery, and crisis management“.

Drei Elemente, ein Satz, keine Zahlen: Weder das BSIG noch die Richtlinie selbst schreiben eine Backup-Frequenz, eine Aufbewahrungsdauer oder ein bestimmtes Testintervall vor. Das ist gewollt – § 30 Abs. 1 BSIG verlangt nur „geeignete, verhältnismäßige und wirksame“ Maßnahmen auf Basis einer Risikobewertung, keinen starren Katalog. Für die Praxis bedeutet das: Die drei genannten Bausteine – Backup-Management, Notfallwiederherstellung, Krisenmanagement – müssen dokumentiert vorhanden sein; wie genau, entscheidet das eigene Risikoprofil. Ausführlicher behandelt das unser Leitfaden zur NIS2-Betriebskontinuität, der alle drei Bausteine von Artikel 21(2)(c) im Zusammenhang erklärt – dieser Artikel konzentriert sich auf den Backup- und Wiederherstellungs-Teil.

Der 6-Punkte-EU-Standard aus CIR 2024/2690 – bindend oder nur Benchmark?

Wer nach NIS2-Backup-Anforderungen sucht, stößt fast immer auf die Durchführungsverordnung (EU) 2024/2690 (in deutschen Ratgebern oft „NIS2UmsVO“ genannt). Ihr Anhang, Abschnitt 4.2, listet sechs konkrete Punkte zu Backup und Redundanz. Das Problem: Diese Verordnung bindet unmittelbar nur digitale Infrastrukturanbieter – DNS- und TLD-Anbieter, Cloud-, Rechenzentrums- und CDN-Betreiber, MSP/MSSP, Marktplätze, Suchmaschinen, soziale Netzwerke und Vertrauensdiensteanbieter. Ein Maschinenbauer oder Energieversorger ist an diese sechs Punkte rechtlich nicht gebunden. Mehrere gängige Ratgeber zitieren den Abschnitt trotzdem so, als gelte er für alle NIS2-pflichtigen Unternehmen – das ist eine Überdehnung des tatsächlichen Anwendungsbereichs.

Trotzdem lohnt sich die Liste für jedes Unternehmen: Da kein anderer vergleichbar detaillierter Maßstab existiert, dürfte sich ein Prüfer bei der Beurteilung der Angemessenheit einer Maßnahme nach § 30 Abs. 1 BSIG in der Praxis naheliegenderweise an genau diesem EU-Standard orientieren.

Ergänzend verlangt Abschnitt 4.1 der Verordnung eine Business-Impact-Analyse und einen dokumentierten, regelmäßig getesteten Notfallwiederherstellungsplan – inhaltlich exakt das, was § 30 Abs. 2 Nr. 3 BSIG mit „Wiederherstellung nach einem Notfall“ meint, nur granularer beschrieben.

Die Wiederherstellungslücke: Warum Backups trotzdem scheitern

Die Sophos-Zahl von 66 Prozent erfolgreicher Backup-Wiederherstellung klingt zunächst gut. Der eigentliche Befund liegt im Umkehrschluss: Selbst unter Unternehmen, die überhaupt eine Chance auf Wiederherstellung hatten, blieb mehr als ein Drittel ohne vollständige Recovery – trotz vorhandenem Backup-Prozess. In der Praxis liegt die Lücke fast immer nicht bei Punkt 4.2.1 (Backups existieren), sondern bei 4.2.3 (Integritätsprüfung) und 4.2.6 (Wiederherstellungstest): Ein Backup, das nie unter echten Bedingungen zurückgespielt wurde, ist eine Vermutung, kein Nachweis.

Für Deutschland kommt eine sektorale Verschärfung hinzu: Eine Auswertung von Cristie Deutschland auf Basis des Trend Micro Cyber Risk Report 2026 zählt 433 bestätigte Ransomware-Angriffe in Deutschland für 2025 und platziert das Land damit auf Rang drei weltweit, hinter den USA und Kanada; Daten von ransomware.live registrieren für Januar bis Mai 2026 bereits 182 deutsche Opfer – ein Plus von 7,7 Prozent gegenüber dem Vorjahreszeitraum. Am stärksten betroffen ist die Fertigungsindustrie, ausgerechnet der Sektor, in dem Backup-Konzepte häufig auf alten Dateiserver-Sicherungen basieren statt auf durchgängig getesteten Wiederherstellungsprozessen.

Ein praktischer Referenzrahmen dafür, wie ein Backup-Konzept technisch aufgebaut sein sollte, ist die 3-2-1-Regel des BSI-Grundschutz-Bausteins CON.3 (Datensicherungskonzept): drei Kopien der Daten, auf zwei unterschiedlichen Medientypen, davon eine außerhalb des Produktivstandorts. Ergänzt um eine unveränderliche (immutable) Kopie als Schutz vor Ransomware, die gezielt Backup-Server verschlüsselt, wird daraus die erweiterte 3-2-1-1-0-Variante. Wird die Datensicherung an einen externen Cloud- oder Backup-Dienstleister ausgelagert, greift zusätzlich Artikel 21 Absatz 2 Buchstabe d NIS2 – die Pflicht, auch die Lieferkette entsprechend abzusichern. Details dazu in unserem Leitfaden zur NIS2-Lieferkettensicherheit.

Der technische Grund, warum ausgerechnet 4.2.2 (geografische Trennung) und 4.2.3 (Integritätsprüfung) in der Praxis über Erfolg oder Misserfolg entscheiden, liegt im typischen Angriffsablauf moderner Ransomware-Gruppen: Nach dem ersten Zugriff wird gezielt nach erreichbaren Backup-Repositories gesucht – Verzeichnisfreigaben, Snapshot-Speicher, Cloud-Sicherungen im selben Active-Directory-Kontext – und löschen oder verschlüsseln diese, bevor die eigentliche Nutzlast ausgeführt wird. Ein Backup, das im selben Netzwerksegment liegt und mit denselben Administrator-Zugangsdaten erreichbar ist wie die Produktivsysteme, ist damit kein zweiter Verteidigungsring, sondern lediglich ein zweites Ziel. Genau deshalb verlangt 4.2.2 eine vom Primärsystem getrennte, zugriffskontrollierte Speicherung, und genau deshalb ist eine unveränderliche Kopie kein optionales Extra, sondern die einzige Sicherung, die einen Verschlüsselungsversuch auf die Backups selbst übersteht.

Audit-Readiness-Checkliste

Die folgende Selbstprüfung trennt bewusst nach Bindungswirkung – so investieren Sie zuerst dort, wo eine Lücke tatsächlich haftungsrelevant ist.

Folgen bei Nichteinhaltung

Verstöße gegen Artikel 21 – und damit auch gegen die Backup-Pflicht aus Absatz 2 Buchstabe c – können nach Artikel 34 NIS2-Richtlinie mit Bußgeldern von mindestens 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes bei besonders wichtigen Einrichtungen geahndet werden, je nachdem, welcher Betrag höher ist; bei wichtigen Einrichtungen sind es mindestens 7 Millionen Euro oder 1,4 Prozent. Das BSIG überträgt diesen Rahmen in die deutsche Bußgeldpraxis. Eine vollständige Übersicht zu Bußgeldhöhen, Fristen und persönlicher Haftung der Geschäftsführung bietet unser Leitfaden zu NIS2-Sanktionen. Wichtig für die Leitungsebene: Ein fehlender oder ungetesteter Wiederherstellungsplan ist im Ernstfall nicht nur ein operatives Risiko, sondern auch der erste Punkt, den eine Aufsichtsbehörde nach einem Vorfall prüft – die Dokumentationslücke ist oft leichter nachzuweisen als die technische Schwachstelle selbst.

Häufige Fragen

Schreibt NIS2 eine bestimmte Backup-Häufigkeit vor?
Nein. Weder § 30 BSIG noch Artikel 21 NIS2-Richtlinie nennen eine feste Frequenz. Die Häufigkeit muss aus der eigenen Risikobewertung und Business-Impact-Analyse abgeleitet werden.

Deckt eine Cloud-Sicherung, etwa Microsoft 365, die Anforderung ab?
Nur teilweise. CIR 2024/2690 Punkt 4.2.2 verlangt ausdrücklich, dass auch Cloud- und Konfigurationsdaten vollständig und korrekt in die Backup-Planung einbezogen werden – ein reines Vertrauen auf die Standard-Aufbewahrung des Cloud-Anbieters reicht als Nachweis in der Regel nicht.

Gilt der 6-Punkte-Standard aus CIR 2024/2690 für mein Unternehmen verbindlich?
Nur, wenn Sie zu den in der Verordnung benannten digitalen Infrastrukturanbietern zählen (DNS/TLD, Cloud, Rechenzentrum, CDN, MSP/MSSP, Marktplatz, Suchmaschine, soziales Netzwerk, Vertrauensdienst). Für alle anderen NIS2-pflichtigen Unternehmen ist er ein Benchmark, kein direktes Gesetz – aber der naheliegende Maßstab für Angemessenheit nach § 30 Abs. 1 BSIG.

Was zählt als geografisch getrennte Speicherung?
CIR 4.2.2 verlangt eine sichere Speicherung an einem vom Produktivsystem getrennten Standort. Ein zweiter Server im selben Serverraum erfüllt das nicht – er teilt dasselbe Brand-, Strom- und Ransomware-Ausbreitungsrisiko wie das Original.

Reicht ein interner Vermerk, dass der Wiederherstellungstest stattgefunden hat?
Als Mindestnachweis besser: Datum, getestetes System, gemessene Wiederherstellungszeit im Vergleich zum RTO-Ziel, aufgetretene Probleme und daraus abgeleitete Korrekturmaßnahmen. CIR 4.2.6 verlangt ausdrücklich dokumentierte Ergebnisse und, wo nötig, Korrekturmaßnahmen – ein reiner Erledigt-Vermerk ohne diese Angaben hält einer Prüfung erfahrungsgemäß nicht stand.

Fazit

Der gesetzliche Kern ist ein einziger Satz: Backup-Management, Wiederherstellung nach einem Notfall, Krisenmanagement – dokumentiert und angemessen zum eigenen Risiko. Der 6-Punkte-Standard aus CIR 2024/2690 ist für die meisten Unternehmen kein direktes Gesetz, aber der einzige verfügbare Maßstab dafür, was angemessen im Ernstfall bedeutet – und genau dort, bei Integritätsprüfung und echtem Wiederherstellungstest, scheitern laut Sophos noch immer mehr als ein Drittel der betroffenen Unternehmen. Wer diese zwei Punkte zuerst dokumentiert und testet, deckt den größten Teil des tatsächlichen Prüfungsrisikos ab – unabhängig davon, ob der CIR-Standard für das eigene Unternehmen rechtlich bindend ist oder nicht.

Dieser Artikel bietet allgemeine Informationen und stellt keine Rechts- oder Compliance-Beratung dar. Die Anforderungen können je nach Rechtsraum und Unternehmenstyp variieren. Konsultieren Sie für Ihre individuelle Situation eine qualifizierte Rechts- oder Compliance-Fachperson.

Quellen

• NIS2-Richtlinie (EU) 2022/2555, Artikel 21
• § 30 BSIG (Fassung 2025), gesetze-im-internet.de
• Durchführungsverordnung (EU) 2024/2690, Anhang Abschnitt 4 (Mirror: advisera.com)
• „Inhalte der NIS2-Umsetzungsverordnung“, nis2-umsetzung.com
• Sophos, „The State of Ransomware 2026“ (sophos.com/en-us/blog/sophos-state-of-ransomware-2026)
• Trend Micro Cyber Risk Report 2026, zitiert via Cristie Deutschland (cristie.de, verlinkt im Text)
• BSI IT-Grundschutz-Baustein CON.3 (Datensicherungskonzept), zitiert via fast-lta.de
• NIS2-Richtlinie (EU) 2022/2555, Artikel 34