RTO und RPO

RTO und RPO sind die beiden zentralen Wiederanlaufkennzahlen des Notfallmanagements. Das Recovery Time Objective beschreibt, wie lange ein Geschäftsprozess oder IT-System nach einer Störung höchstens ausfallen darf, bevor der Schaden für die Organisation nicht mehr akzeptabel ist – es ist also eine Zeitvorgabe für die Wiederherstellung. Das Recovery Point Objective beschreibt dagegen, wie viele Daten im Ernstfall verloren gehen dürfen: Ein RPO von vier Stunden bedeutet, dass im schlimmsten Fall die Arbeitsergebnisse der letzten vier Stunden nicht mehr rekonstruierbar sind. Beide Werte sind Zielvorgaben des Managements, keine technischen Messwerte – sie geben vor, was die IT-Architektur leisten muss, und nicht umgekehrt.

Abgeleitet werden RTO und RPO aus der Business-Impact-Analyse. Dort wird je kritischem Prozess ermittelt, ab wann ein Ausfall welche finanziellen, rechtlichen und reputationsbezogenen Folgen hat; daraus ergibt sich die maximal tolerierbare Ausfallzeit (MTPD beziehungsweise MTA), innerhalb derer die RTO liegen muss. Ergänzend werden häufig weitere Kennzahlen geführt, etwa die RTA (Recovery Time Actual) als tatsächlich im Test gemessene Wiederanlaufzeit und das WRT (Work Recovery Time) für die Nacharbeit bis zur vollständigen Betriebsbereitschaft. Wichtig ist die Kopplung an die Technik: Ein RPO von 15 Minuten lässt sich mit einer nächtlichen Vollsicherung nicht erreichen, sondern verlangt kurze Sicherungsintervalle, Transaktionsprotokolle oder Replikation; eine RTO von zwei Stunden erfordert vorbereitete Ersatzsysteme statt einer Neubeschaffung im Schadensfall.

Regulatorisch sind Wiederanlaufziele fest verankert. Die NIS2-Richtlinie verlangt in Artikel 21 Absatz 2 Buchstabe c Maßnahmen zur Aufrechterhaltung des Betriebs einschließlich Backup-Management und Notfallwiederherstellung; konkrete Zahlenwerte gibt sie nicht vor, sondern verlangt Angemessenheit zum Risiko. Für Finanzunternehmen fordert die DORA-Verordnung (EU) 2022/2554 in Artikel 12 ausdrücklich, für jede Funktion Wiederherstellungszeit- und Wiederherstellungspunktziele festzulegen. Methodisch beschreiben der BSI-Standard 200-4 sowie ISO 22301 und ISO/IEC 27031 die Herleitung und Prüfung dieser Kennzahlen. Entscheidend für die Nachweisfähigkeit ist, dass die Ziele nicht nur dokumentiert, sondern durch Wiederanlauftests regelmäßig belegt und bei Abweichungen nachgeschärft werden.