{
  "bam_id": "NIS2-021c-BCM",
  "regulation": "NIS-2",
  "article": "Art. 21 §2c",
  "status": "ausstehend",
  "tags": [
    "bcm",
    "backup",
    "wiederherstellung",
    "continuity"
  ],
  "cross_refs": [
    "DORA Art. 11",
    "ISO 27001 A.17.1"
  ],
  "requirement": {
    "text": "Aufrechterhaltung des Betriebs – Business Continuity Management, Backup-Management, Wiederherstellung und Krisenmanagement.",
    "source": "NIS-2 Art. 21 §2c",
    "priority": "hoch"
  },
  "gap_check": {
    "question": "Sind Backup-Wiederherstellungen regelmäßig getestet und RTO/RPO je kritischem System definiert und dokumentiert?",
    "if_yes": "Gut – sicherstellen dass Tests protokolliert und Ergebnisse kommuniziert werden.",
    "if_no": "Backups ohne getestete Wiederherstellung sind kein Backup. Sofort testen.",
    "if_partial": "Backups vorhanden, aber kein definiertes RTO/RPO oder keine Tests. Ergänzen."
  },
  "remediation": {
    "summary": "Business Continuity und Backup-Management mit RTO/RPO und Tests etablieren",
    "steps": [
      "Kritische Systeme identifizieren und RTO/RPO je System festlegen",
      "Backup-Strategie 3-2-1 implementieren (3 Kopien, 2 Medien, 1 extern)",
      "Quartalsweise Wiederherstellungstests durchführen und protokollieren",
      "BCP-Dokument erstellen und jährlich überprüfen"
    ],
    "effort": "mittel",
    "deadline": "kurzfristig",
    "tools": [
      "BCP-Template",
      "Backup-Policy",
      "Wiederherstellungsprotokoll"
    ],
    "book_reference": {
      "book": "NIS-2 Survival Kit",
      "chapter": "Kap. 6 – Business Continuity und Backup"
    },
    "cost_estimate": {
      "pt_min": 4,
      "pt_max": 10,
      "note": "Backup-Strategie + RTO/RPO + erster Test"
    }
  },
  "risk": {
    "likelihood": 3,
    "impact": 5,
    "score": 8,
    "description": "Nicht testbare Backups sind im Ernstfall wertlos – häufige Ursache für Betriebsausfälle.",
    "regulatory_fine": {
      "max_eur": 10000000,
      "max_pct": "2% Jahresumsatz",
      "basis": "NIS-2 Art. 34 – je nachdem was höher ist"
    }
  },
  "control": {
    "measure": "3-2-1-Backup mit quartalsweisen Wiederherstellungstests und dokumentierten RTO/RPO",
    "priority": "sofort",
    "type": "technisch"
  },
  "evidence": {
    "type": "Backup-Policy + Testprotokolle",
    "template": "Backup & Recovery Policy",
    "audit_ready": true
  },
  "iso27001_mapping": {
    "controls": [
      "A.12.3.1",
      "A.17.1.1",
      "A.17.1.2"
    ],
    "coverage": "vollständig"
  },
  "iso27001_2022_controls": [
    "5.29",
    "5.30",
    "7.10",
    "7.11",
    "7.5",
    "8.13",
    "8.14",
    "8.6"
  ],
  "_bam_uri": "https://bam.brain-media.de/id/NIS2-021c-BCM",
  "_model_version": "2.0",
  "_service": "Compliance Trace",
  "_license": "CC BY-SA 4.0 (see LICENSE-DATA)",
  "_attribution": "Brain-Media Audit Model (BAM), Dr. Holger Reibold, brain-media.de"
}