NIS2 Backup-Anforderungen: Wiederherstellung nachweisbar testen

Wenn die Durchführungsverordnung (EU) 2024/2690 der Kommission für Ihre Organisation gilt, sind das regelmäßige Testen der Wiederherstellung aus Backups und die Dokumentation der Ergebnisse ausdrückliche Anforderungen. Andere NIS2-Einrichtungen müssen wirksame Maßnahmen für Backup-Management, Aufrechterhaltung des Betriebs und Wiederherstellung nach einem Notfall umsetzen. Für sie ist ein dokumentierter Wiederherstellungstest eine der überzeugendsten Möglichkeiten, die Wirksamkeit dieser Maßnahmen zu belegen.

Bei einer WordPress-Website ist das unbequem. Der naheliegende Weg, eine Wiederherstellung zu testen, wäre die Rücksicherung über die Live-Website, und genau das will niemand tun. Eine Staging-Kopie löst das Problem: Sie spielen das Backup in eine getrennte Umgebung ein, prüfen, ob die Website tatsächlich wieder läuft, und halten fest, was Sie dabei festgestellt haben.

Der weitere Artikel behandelt, für wen NIS2 gilt, woraus sich die Testpflicht ergibt und wie ein belastbarer Wiederherstellungstest aussieht.

---

Gilt NIS2 für Sie?

Die meisten Betreiber von WordPress-Websites fallen nicht in den Anwendungsbereich. Es lohnt sich, hier genau zu sein, denn ein Großteil des Marketings legt etwas anderes nahe.

NIS2 (Richtlinie (EU) 2022/2555) erfasst grundsätzlich Einrichtungen aus den in den Anhängen I und II genannten Sektoren, die als mittlere Unternehmen gelten oder die Schwellenwerte für mittlere Unternehmen überschreiten. Die Berechnung richtet sich nach den Größenklassen der Empfehlung 2003/361/EG der Kommission und kann Mitarbeiterzahl, Jahresumsatz, Jahresbilanzsumme und unter Umständen auch Werte von Partner- oder verbundenen Unternehmen berücksichtigen.

Als praktischer Ausgangspunkt gilt: Organisationen mit mindestens 50 Beschäftigten sollten ihre Situation sorgfältig prüfen. Kleinere Organisationen können aufgrund finanzieller Schwellenwerte, konzernrechtlicher Verflechtungen, besonderer Einstufungen oder größenunabhängiger Ausnahmen dennoch in den Anwendungsbereich fallen. Das ist eine Faustregel dafür, ob eine genauere Prüfung nötig ist. Es ist keine vollständige rechtliche Prüfung.

Auch die Einstufung als wesentliche oder wichtige Einrichtung hängt von Sektor und Größe ab, und mittlere und große Organisationen werden unterschiedlich behandelt. Das Folgende ist eine vereinfachte Übersicht: Verbindlich ist die nationale Umsetzung in Ihrem Mitgliedstaat, und die unterscheidet sich.

• Sektor. Achtzehn Sektoren, darunter Energie, Verkehr, Gesundheit, Bankwesen, Wasser, öffentliche Verwaltung, digitale Infrastruktur und Verwaltung von IKT-Diensten.
• Größenunabhängige Ausnahmen. Manche Einrichtungen fallen unabhängig von ihrer Größe in den Anwendungsbereich, etwa DNS-Diensteanbieter, TLD-Namenregister und Vertrauensdiensteanbieter.

Wo Agenturen und Hoster tatsächlich stehen

Die Kategorie, die Webprofis am häufigsten betrifft, ist die Verwaltung von IKT-Diensten, die Managed-Service-Provider und Managed-Security-Service-Provider umfasst. Gemeint sind verwaltete Dienste, nicht Software-as-a-Service im Allgemeinen.

Ein Managed-WordPress-Hoster oder eine Agentur, die Anwendungen oder Infrastruktur von Kunden aktiv betreut, kann als Managed-Service-Provider gelten, sofern sie zusätzlich die maßgeblichen Größen- oder Sonderkriterien erfüllt. Eine kleine Design- oder Entwicklungsagentur bleibt in der Regel außerhalb des unmittelbaren Anwendungsbereichs, doch Größenberechnung, konzernrechtliche Verflechtungen, nationale Umsetzung und die tatsächlich erbrachten Leistungen müssen trotzdem geprüft werden.

Wie NIS2 kleinere Zulieferer indirekt erreicht

Artikel 21 Absatz 2 Buchstabe d verpflichtet Einrichtungen im Anwendungsbereich, die Sicherheit der Lieferkette zu steuern, einschließlich der Sicherheit ihrer unmittelbaren Anbieter. So erreicht NIS2 kleine Zulieferer. Sie können deutlich unterhalb der Schwellenwerte liegen und trotzdem aufgefordert werden, Ihre Backup- und Wiederherstellungspraxis nachzuweisen, weil Ihr Kunde im Anwendungsbereich liegt und Sie einer seiner Anbieter sind. In der Praxis kommt das über folgende Wege:

• Kundenverträge;
• Lieferantenfragebögen;
• Beschaffungsanforderungen;
• Bedingungen von Cyberversicherungen;
• Risikomanagement in der Lieferkette.

Wenn Sie deshalb hier gelandet sind, ist der Rest des Artikels der Teil, den Sie brauchen.

---

Die Rechtsgrundlage für Backup- und Wiederherstellungstests

Artikel 21 Absatz 2 Buchstabe c der NIS2-Richtlinie nennt unter den Risikomanagementmaßnahmen, die Einrichtungen ergreifen müssen:

Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement

Das ist die allgemeine Pflicht. Sie spricht von Backup-Management, nicht von Backups. Artikel 21 Absatz 1 verlangt außerdem, dass die Maßnahmen geeignet und verhältnismäßig sind, und Artikel 21 Absatz 2 Buchstabe f verlangt Konzepte zur Bewertung ihrer Wirksamkeit. Ein ungetesteter Wiederherstellungsprozess lässt sich nur schwer als wirksam begründen.

Woher die ausdrückliche Testpflicht stammt

Für einen bestimmten Kreis digitaler Einrichtungen hat die Kommission die technischen Anforderungen im Detail festgelegt. Die Durchführungsverordnung (EU) 2024/2690 der Kommission vom 17. Oktober 2024 gilt für DNS-Diensteanbieter, TLD-Namenregister, Anbieter von Cloud-Computing-Diensten, Anbieter von Rechenzentrumsdiensten, Betreiber von Content Delivery Networks, Managed-Service-Provider, Managed-Security-Service-Provider, Anbieter von Online-Marktplätzen, Online-Suchmaschinen und Plattformen sozialer Netzwerke sowie Vertrauensdiensteanbieter.

Zwei Anforderungen aus ihrem Anhang werden am häufigsten übersehen. Sinngemäß zusammengefasst:

Die betreffenden Einrichtungen führen regelmäßige Tests der Wiederherstellung von Sicherungskopien und Redundanzen durch.

Die betreffenden Einrichtungen führen regelmäßige Integritätsprüfungen der Sicherungskopien durch.

Der verbindliche Wortlaut steht im Anhang der Verordnung, die unten unter den Quellen verlinkt ist. Für diese Einrichtungen sind Wiederherstellungstests ausdrücklich vorgeschrieben und nicht bloß abgeleitet.

Fällt Ihre Organisation nicht unter diesen Kreis, gilt die Durchführungsverordnung nicht unmittelbar für Sie, und Sie sollten nicht davon ausgehen, dass dieselbe detaillierte Bestimmung wortgleich für Sie gilt. Artikel 21 gilt weiterhin. Die Verordnung bleibt die klarste veröffentlichte Aussage darüber, was die Kommission für vergleichbare Dienste als angemessen ansieht, und ist damit ein sinnvoller Bezugspunkt, wenn Sie festlegen, wie Sie Ihre eigenen Maßnahmen nachweisen.

---

Warum das bei WordPress unbequem ist

Wo Wiederherstellungstests ausdrücklich verlangt werden oder als Nachweis für die Wirksamkeit von Backup- und Notfallwiederherstellungsmaßnahmen dienen, besteht das Ziel darin, zu zeigen, dass sich ein echtes Backup tatsächlich einspielen lässt. Die Rücksicherung in die Live-Website gefährdet genau das, was Sie schützen wollen. Ist das Backup fehlerhaft, haben Sie eine funktionierende Website durch eine kaputte ersetzt. Der Test, der den Nachweis liefern würde, ist also genau der Test, den niemand ausführen möchte.

Die Behelfslösungen, zu denen viele greifen, taugen weniger, als sie aussehen:

• Prüfen, ob die Backup-Datei existiert. Das belegt Speicherung, nicht Wiederherstellbarkeit. Ein abgeschnittener Datenbank-Dump sieht auf der Festplatte völlig normal aus.
• Prüfen, ob sich das Archiv öffnen lässt. Lesbarkeit eines Archivs ist nicht dasselbe wie eine erfolgreiche Wiederherstellung der Anwendung. Eine lesbare ZIP-Datei sagt nichts darüber aus, ob WordPress daraus startet.
• Einmal beim Einrichten wiederhergestellt, vor einigen Jahren. Das Wort „regelmäßig“ leistet in diesem Satz sehr viel Arbeit.
• Ein Backup wiederherstellen, das kurz zuvor für den Test erstellt wurde. Das testet das Werkzeug, nicht Ihre Aufbewahrung. Verwenden Sie ein echtes, aufbewahrtes Backup, idealerweise eines aus Ihren externen Kopien.

Was fehlt, ist ein sicherer Ort, in den hinein wiederhergestellt werden kann.

---

Wie ein belastbarer Wiederherstellungstest aussieht

Ein Wiederherstellungstest, der brauchbare und belastbare Nachweise für Lieferantenfragebögen, interne Prüfungen und Wiederherstellungs-Audits liefert, besteht aus fünf Teilen.

1. In eine isolierte Umgebung wiederherstellen. Nicht in die Produktion. Eine Staging-Kopie auf demselben Server oder eine lokale Umgebung funktionieren beide. Entscheidend ist, dass eine fehlgeschlagene Wiederherstellung die Produktivwebsite nicht überschreibt.
2. Ein echtes Backup verwenden, keine frische Kopie. Nehmen Sie ein tatsächliches Backup aus Ihrer Aufbewahrung, darunter eines von einem Speicherort, der geografisch von der Live-Website getrennt ist, sofern Sie externe Kopien vorhalten.
3. Prüfen, ob die Website funktioniert, nicht nur ob Dateien angekommen sind. Eine Wiederherstellung, die eine weiße Seite erzeugt, ist trotzdem gescheitert. Arbeiten Sie die Prüfliste weiter unten ab.
4. Das Ergebnis dokumentieren, einschließlich dessen, was nicht funktioniert hat.
5. In begründbaren Abständen wiederholen. Leiten Sie das Intervall aus Risikoanalyse, Business-Impact-Analyse, Wiederherstellungszielen, Änderungsrate und vertraglichen Anforderungen ab und dokumentieren Sie, warum Sie es gewählt haben.

Eine Staging-Wiederherstellung auf demselben Server verbraucht dennoch Speicherplatz, Datenbankkapazität, CPU und Arbeitsspeicher. Falls das Backup Schadsoftware enthalten könnte oder das Testszenario eine Kompromittierung oder den Ausfall des Produktivhosts einschließt, stellen Sie stattdessen auf getrennter Infrastruktur wieder her.

Viele Organisationen wählen vierteljährliche Tests als operativen Ausgangspunkt, doch das ist eine Entscheidung des Risikomanagements und keine feste NIS2-Anforderung. Testen Sie erneut nach wesentlichen Infrastrukturänderungen, Migrationen, größeren Anwendungsupdates oder Vorfällen, die den Wiederherstellungsprozess betreffen.

Die wiederhergestellte Website prüfen

Gehen Sie die wiederhergestellte Website so durch, wie es ein Nutzer täte. Die folgenden Punkte decken die Bereiche ab, die bei einer Wiederherstellung am häufigsten brechen:

• Laden des Frontends;
• Zugang zu wp-admin;
• Mediendateien;
• interne Links;
• zentrale Seiten;
• Kontaktformulare;
• Benutzerrollen und Berechtigungen;
• Aktivierung von Plugins und Themes;
• WP-Cron beziehungsweise geplante Aufgaben;
• WooCommerce-Produkte, Bestellungen und, wo einschlägig, ein sicherer Testcheckout;
• Suche;
• Mehrsprachigkeit, wo einschlägig;
• wichtige Integrationen und Webhooks;
• sicheres Verhalten beim E-Mail-Versand;
• keine Nebenwirkungen auf das Produktivsystem.

Wiederherstellungsziele: Vorgaben und Messwerte

Zwei Zahlenpaare sind wichtig, und sie werden leicht verwechselt. Zwei davon sind Vorgaben, die Sie vorab festlegen, zwei sind Ergebnisse, die Sie im Test messen.

Halten Sie in jedem Paar sowohl die Vorgabe als auch den Messwert fest. Das Testergebnis zeigt, ob das Wiederherstellungsziel erreicht wurde. Der Vergleich der RPO-Vorgabe mit Alter und Vollständigkeit des wiederhergestellten Backups liefert einen praktischen Nachweis dafür, ob der gewählte Wiederherstellungspunkt das Ziel erfüllen würde. Das Backup-Alter ist ein nützlicher Nachweis, doch das Backup muss außerdem vollständig und anwendungskonsistent sein.

Dokumentationsfelder für den Wiederherstellungstest

Diese Felder machen die Aufzeichnung eines Wiederherstellungstests zu einem brauchbaren und belastbaren Nachweis für Lieferantenfragebögen, interne Prüfungen und Wiederherstellungs-Audits.

Feld	Zweck
Testdatum	Wann der Test durchgeführt wurde
Backup-ID oder Dateiname	Welches Backup getestet wurde
Erstellungsdatum des Backups	Wann das Backup erstellt wurde
Speicherort des Backups	Wo das getestete Backup lag
Testumgebung	Gleicher Server, lokaler Rechner, separater Server oder anderes
Getesteter Umfang	Welche Funktionen der Website geprüft wurden
RTO-Vorgabe	Maximal akzeptable Wiederherstellungsdauer
Tatsächliche Wiederherstellungszeit	Im Test gemessene Dauer
RPO-Vorgabe	Maximal akzeptabler Datenverlust
Tatsächliches Backup-Alter	Alter der wiederhergestellten Daten
Ergebnis	Bestanden, teilweise bestanden oder nicht bestanden
Nachweise	Screenshots, Logs, Berichte oder Prüfliste
Korrekturmaßnahme	Erforderliche Nachbesserung
Verantwortlich und Frist	Zuständige Person und Termin

Ein ausgefüllter Eintrag könnte lauten: 14.07.2026, Backup wpstg_20260713_nightly.wpstg vom 13.07.2026, gespeichert im externen Objektspeicher, wiederhergestellt in eine geschützte Staging-Site, geprüfter Umfang Frontend, Admin, Medien und Checkout, RTO-Vorgabe 4 Stunden gegenüber einer tatsächlichen Wiederherstellungszeit von 11 Minuten, RPO-Vorgabe 24 Stunden gegenüber einem tatsächlichen Backup-Alter von 19 Stunden, Ergebnis bestanden, Nachweise Screenshots und Wiederherstellungsprotokoll.

Korrekturmaßnahmen

Ein Test ist nicht beendet, wenn die Wiederherstellung durchgelaufen ist. Dokumentieren Sie Fehlschläge, eingeschränkte Funktionen, fehlende Dateien, falsche Konfiguration, verfehlte Wiederherstellungsziele und manuelle Eingriffe, die während der Wiederherstellung nötig waren. Weisen Sie jede Korrekturmaßnahme einer verantwortlichen Person zu, setzen Sie eine Frist und wiederholen Sie den betroffenen Test nach der Nachbesserung.

---

Drei Stufen des WordPress-Wiederherstellungstests mit WP STAGING

Die drei Stufen beantworten unterschiedliche Fragen zur Wiederherstellung. Welche Stufe richtig ist, hängt vom Szenario ab, das Sie absichern wollen, und Organisationen müssen nicht alle drei gleich häufig durchführen. Richten Sie die Tests an den erkannten Risiken und Ihren Wiederherstellungszielen aus.

Der allgemeine Ablauf ist unter WordPress sichern und wiederherstellen dokumentiert, und Sie können geplante Backups einrichten, damit die aufbewahrten Kopien, auf die ein Test zurückgreift, zuverlässig entstehen.

Was die einzelnen Teststufen belegen und was nicht

Tests auf demselben Server und außerhalb des Servers beantworten unterschiedliche Fragen. Keiner ersetzt den anderen, und routinemäßige Tests müssen nicht auf frischer Infrastruktur stattfinden.

---

Backup-Speicherung und Trennung

WP Staging Pro kann Backups bei externen Anbietern wie Google Drive, Amazon S3, Dropbox und SFTP ablegen. Richtig konfiguriert können diese Dienste eine netzwerkferne und standortferne Backup-Strategie unterstützen. Die Organisation muss dennoch Speicherort, Trennung der Zugriffe, Aufbewahrung, Verschlüsselung, Zugangsdaten und die Frage berücksichtigen, ob das Backup nach einer Kompromittierung der Produktivumgebung noch verfügbar wäre.

Die Auswahl eines externen Speicheranbieters belegt für sich genommen keine ausreichende geografische oder sicherheitstechnische Trennung. Entscheidend sind diese Fragen:

• ob der Speicher eigene Zugangsdaten verwendet, getrennt von der Produktivwebsite;
• ob der Zugriff auf die Personen beschränkt ist, die ihn benötigen;
• ob die Aufbewahrung gegen Veränderung geschützt ist;
• ob die Kopien vor Löschung oder Ransomware geschützt sind, auch vor einem Angreifer, der den Produktivhost übernommen hat;
• ob das Backup verfügbar bleibt, wenn das Produktiv-Hosting-Konto nicht erreichbar ist;
• ob der geografische Standort für Ihre Daten und Ihre Pflichten geeignet ist.

Die verfügbaren Speicherziele und ihre Konfiguration sind in der Dokumentation zu Backup und Wiederherstellung beschrieben.

---

Was ein belastbarer WordPress-Wiederherstellungstest zeigen sollte

---

Was WP STAGING nicht leistet

Es macht Sie nicht NIS2-konform, und eine erfolgreiche Wiederherstellung belegt für sich genommen keine Konformität. Es deckt weder Governance und Verantwortlichkeit der Leitungsorgane nach Artikel 20 ab noch die Meldung von Sicherheitsvorfällen nach Artikel 23, die Bewertung der Lieferkette, Zugriffskontrolle, Kryptografie, Schulungen oder den übrigen Artikel 21.

Was es Ihnen gibt, ist ein sicherer Ort für den Wiederherstellungstest und etwas Konkretes zum Dokumentieren. Es unterstützt einen schmalen Teil des umfassenderen NIS2-Rahmens für das Cybersicherheits-Risikomanagement. Begegnen Sie jedem, der Ihnen die ganze Richtlinie als Plugin verkaufen will, mit angemessener Skepsis.

Häufige Fragen

Muss ich jedes Backup testen?

Nein. Für die von der Durchführungsverordnung (EU) 2024/2690 erfassten Einrichtungen ist das regelmäßige Testen der Wiederherstellung von Sicherungskopien ausdrücklich vorgeschrieben, und selbst dort gilt die Pflicht dem regelmäßigen Test der Wiederherstellung, nicht dem Test jeder einzelnen Kopie. Andere NIS2-Einrichtungen sollten stattdessen ein risikobasiertes Vorgehen wählen und dokumentieren: Legen Sie ein Intervall fest, das Sie aus Ihrer Risikoanalyse begründen können, testen Sie ein echtes Backup aus Ihrer Aufbewahrung und dokumentieren Sie das Ergebnis.

Reicht eine Staging-Site als isolierte Umgebung?

Um zu prüfen, ob ein Backup sich einspielen lässt und die Website funktioniert, ja, sofern die Staging-Kopie sauber von der Produktion getrennt ist. Hängt Ihr Wiederherstellungsplan davon ab, auf anderer Infrastruktur neu aufzubauen, testen Sie auch das, denn eine Staging-Wiederherstellung auf demselben Server deckt es nicht ab. Ein heruntergeladenes Backup lokal einzuspielen ist der günstigste Weg für den Fall außerhalb des Servers, und eine Wiederherstellung auf einem frischen Server deckt den Rest ab.

Wir sind eine kleine Agentur. Brauchen wir das überhaupt?

Häufig nicht als unmittelbare gesetzliche Pflicht. Liegt aber einer Ihrer Kunden im Anwendungsbereich, ist mit der Frage über dessen Lieferkettenpflichten zu rechnen. Ein Protokoll über Wiederherstellungstests ist deutlich günstiger, als den Kunden zu verlieren.

Deckt das Backup unseres Hosters das ab?

Es kann die Erstellung und Speicherung von Backups abdecken, je nachdem, was der Hosting-Dienst umfasst. Es liefert nicht automatisch den Nachweis, dass eine vollständige Wiederherstellung der Anwendung getestet wurde, keine Kontrolle über den Testzeitplan und keinen Beleg, dass Ihre Wiederherstellungsziele erreichbar sind. Fragen Sie Ihren Hoster, was er schriftlich vorlegen kann und welche Wiederherstellungsziele er selbst verfolgt.

Wie lange darf eine Wiederherstellung dauern?

Das ist Ihre Entscheidung, die Sie anschließend überprüfen, keine Zahl, die Ihnen jemand vorgeben kann. Legen Sie eine Recovery Time Objective danach fest, was das Unternehmen verkraftet, messen Sie dann die tatsächliche Wiederherstellungszeit in einem Test und sehen Sie, ob beides zusammenpasst.

Quellen

• Richtlinie (EU) 2022/2555 (NIS2)
• Durchführungsverordnung (EU) 2024/2690 der Kommission
• Empfehlung 2003/361/EG der Kommission betreffend die Definition der Kleinstunternehmen sowie der kleinen und mittleren Unternehmen
• ENISA, Technical implementation guidance on cybersecurity risk-management measures

Dieser Artikel ist eine allgemeine Information und keine Rechtsberatung. NIS2 wird über nationales Recht umgesetzt, und die Einzelheiten unterscheiden sich zwischen den Mitgliedstaaten. Ob NIS2 für Ihre Organisation gilt und was daraus folgt, hängt von Ihrem Sektor, Ihrer Größenberechnung, Ihrem Unternehmensverbund und der für Sie geltenden nationalen Umsetzung ab. Prüfen Sie die einschlägige nationale Umsetzung und holen Sie bei Bedarf qualifizierten rechtlichen oder Compliance-Rat ein.