Jsou k dispozici zálohy a nouzové opatření pro obnovení poskytování služeb?

Zálohy a kontinuita jsou samostatným opatřením v článku 21 odst. 2

Ano, jedná se o jedno z deseti opatření uvedených v článku 21 odst. 2 Směrnice NIS2: bod (c) explicitně uvádí "kontinuitu podnikání, včetně správy záloh a zotavení po havárii, a krizový management". Otázka na zálohy a havarijní opatření tedy není reziduální kategorií nebo interpretací zákazníka — je doslova uvedena v Směrnici. Každý, kdo obdrží tuto otázku, si může být jist, že patří do stejného bloku otázek jako ostatní devět opatření: politika rizik, řešení incidentů, bezpečnost řetězce, řízení zranitelností, testování, kybernetická hygiena, kryptografie, kontrola přístupu a vícefaktorové ověření.

To, co se konkrétně požaduje, se obvykle dělí na dvě části: existují zálohy (jak často, kde se uchovávají, kdy byla naposledy testována) a existuje havarijní opatření, které zajišťuje pokračování služby nebo její rychlé obnovení po výpadku — plán zotavení po havárii, náhradní zařízení, časy obnovení. Testovací zpráva o zálohování a obnovení nebo plán kontinuity s datem posledního testu je silnějším důkazem než politický dokument bez historie testování. Pokud to chybí, pak je "ne" nebo "částečně" stejně užitečnou odpovědí jako "ano" — zákazník chce především vědět, zda to funguje, ne že je všechno zelené. Toto opatření často souvisí s postupem pro řešení bezpečnostních incidentů, protože havarijní opatření je obvykle spouštěno incidentem, a s periodickým testováním bezpečnostních opatření, protože záloha bez výsledků testů mnoho nevypovídá o skutečné době obnovení.

Kde je to přesně uvedeno v Směrnici

Článek 21 odst. 2 písm. (c) Směrnice (EU) 2022/2555 uvádí "kontinuitu podnikání, včetně správy záloh a zotavení po havárii, a krizový management" jako jedno z deseti technických a organizačních opatření, která spadají pod politiku bezpečnosti subjektu. Samotná Směrnice neurčuje minimální frekvenci testování ani dobu obnovení — jejich vypracování leží na subjektu a, pokud je to relevantní, na národních právních předpisech pro provádění nebo na sektorových požadavcích zákazníka.