Клиентът пита какво е времето ни за възстановяване след прекъсване, какво попълвам там

Времето за възстановяване не е число на RTO/RPO, а описание на процес

Това, което обикновено се пита тук, не е едно число, а дали съществува процес за непрекъснатост на дейността: има ли резервна подготовка, е ли тя тестирана и колко бързо се възстановява услугата. Поэтому не попълвайте конкретно време за възстановяване, ако това не е документирано никъде — например в BCP (business continuity plan) или DRP (disaster recovery plan) с установена RTO (recovery time objective) и RPO (recovery point objective). Ако това не е посочено, то "не, още не е формално установено" е честният отговор, евентуално с уточнение, че резервните копия съществуват, но без тестирано време за възстановяване.

Много клиенти комбинират този въпрос с въпрос относно самата процедура за инциденти: има ли процес за откриване на сбой и неговото отразяване нагоре, преди възстановяването да може да започне. Проверете следователно също процедурата за обработка на инциденти в областта на сигурността, защото без този процес времето на възстановяване не може да се докаже твърдо. Ако сте определили RTO/RPO, доказателството обикновено е самия BCP/DRP документ или тестов доклад от последния тест на failover или restore. Ако липсва тестовият доклад, вместо това посочете по-скоро "не" отколкото неопроверено предположение.

Откъде произтича това: член 21, параграф 2 и Приложение A

Член 21, параграф 2 на Директива NIS2 назовава експлицитно сред десетте мерки "business continuity, such as backup management and disaster recovery" като задължителна част от политиката на сигурност на организацията. ISO/IEC 27001 разработва това в Приложение A под мерките за управление на наличността и непрекъснатостта на съоръженията за обработка на информация. За въпроса дали вашето предприятие само по себе си е задължено да има този процес, първо е от значение дали попадате под обхвата на директивата — проверете това чрез дали предприятието самостоятелно попада под NIS2 директивата. Холандския закон за киберсигурност транспонира това задължение, влизащо в сила на 15 август 2026 г.; до тази дата клиентите често вече го исват, в очакване на своите собствени задължения в допълвателната верига.