Има ли резервни копия и резервна система за възстановяване на услугата?

Резервното копиране и преемствеността са отделна мярка в член 21, параграф 2

Да, това е една от десетте мерки от член 21, параграф 2 на Директива NIS2: подточка (c) изрично споменава "преемственост на бизнеса, като управление на резервни копия и възстановяване след катастрофа, и управление на кризи". Въпросът относно резервните копия и извънредната разпоредба е следователно не остатъчна категория или интерпретация на клиента — той е буквално така във Директивата. Всеки, който получи този въпрос, може да предположи, че той е част от същия вопросник като другите девет мерки: политика за управление на рисковете, обработка на инциденти, сигурност на веригата, управление на уязвимостите, проверка, кибер хигиена, криптография, управление на достъпа и MFA.

Това, което конкретно се пита, обикновено се разделя на две части: има ли резервни копия (колко често, където се съхраняват, кога е последният път тестирано) и има ли извънредна разпоредба, която позволява услугата да продължи или да бъде възстановена бързо след смущение — план за възстановяване след катастрофа, разпоредби за преместване, времена за възстановяване. Тестов доклад на резервно копие-възстановяване или план за преемственост с последна дата на тестиране е по-силно доказателство от документ за политика без история на тестиране. Ако липсва последното, тогава "не" или "частично" е толкова полезен отговор, колкото "да" — клиентът преди всичко иска да знае дали е правилно, не че всичко е зелено. Тази мярка често е свързана с процедурата за обработка на инциденти в областта на сигурността, защото извънредна разпоредба обикновено се задейства от инцидент, и с периодична проверка на мерките за сигурност, защото резервно копие без резултати от тестиране казва малко за действителното време за възстановяване.

Където точно това стои във Директивата

Член 21, параграф 2, буква (c) на Директива (ЕС) 2022/2555 споменава "преемственост на бизнеса, такава как управление на резервни копия и възстановяване след катастрофа, и управление на кризи" като една от десетте технически и организационни мерки, които попадат под политиката за сигурност на един субект. Самата Директива не определя минимална честота на тестиране или време за възстановяване — това попълване е на субекта и, където е приложимо, на национално законодателство за прилагане или секторни изисквания на клиента.