Fragebogen fragt nach unserer Wiederherstellungszeit nach einem Cybervorfall

Wiederherstellungszeit fällt unter Geschäftskontinuität, nicht unter Incident Response

Diese Frage fällt unter die Maßnahme zur Geschäftskontinuität nach Artikel 21 Absatz 2 NIS2, nicht unter die Incident-Behandlung. Der Kunde möchte wissen, wie lange die Dienstleistung nach einem Cybervorfall ausfallen kann, bevor kritische Prozesse wieder laufen — häufig fragt die Liste dies als RTO (Recovery Time Objective) ab und manchmal auch nach dem RPO (Recovery Point Objective, wie viel Datenverlust akzeptabel ist). Das sind keine willkürlichen Zahlen, die du spontan erfindest; sie sollten aus dem bereits vorhandenen Geschäftskontinuitätsplan stammen oder andernfalls aus dem Wiederherstellungsplan der Backup-Lösung.

Hast du diese Werte nicht formal festgelegt, dann ist "noch zu bestimmen" hier die richtige Antwort — keine Schätzung eintragen, die du nicht belegen kannst. Ein RTO angeben ohne einen getesteten Wiederherstellungsplan dahinter ist ein Versprechen, das bei der nächsten Störung eingefordert wird. Überprüfe zuerst, ob es Backups und eine Notfallvorsorge gibt, um die Dienstleistung wiederherzustellen; falls diese vorhanden sind, ist die Wiederherstellungszeit dort normalerweise bereits angegeben oder kann durch eine Tischübung hergeleitet werden. Fehlt diese Vorkehrung noch, dann ist dies eine der zehn Maßnahmen aus Artikel 21 Absatz 2, die noch eingerichtet werden muss.

Woher das kommt: Artikel 21 Absatz 2 und Anlage A

Artikel 21 Absatz 2 Buchstabe c der NIS2 nennt Geschäftskontinuität, einschließlich Sicherungsverwaltung und Notfallwiederherstellung, ausdrücklich als eine der zehn verbindlichen Maßnahmen; gemäß des Cybersicherheitsgesetzes — der niederländischen Umsetzung, die am 15. August 2026 in Kraft tritt — gilt die gleiche Einteilung für Einrichtungen, die unter das Gesetz fallen. Wer ISO/IEC 27001 anwendet, findet die entsprechende Managementmaßnahme in Annex A unter der Kategorie Kontinuität der Informationssicherheit. Hinweis: die Wiederherstellungszeit selbst ist in keiner der beiden Quellen als Zahlenwert angegeben — diese Norm legt die Organisation selbst auf der Grundlage ihrer eigenen Risikoanalyse fest. Ist noch nicht klar, ob dieses Thema für das eigene Unternehmen verbindlich ist, dann lässt sich das herleiten über die Frage, ob das Unternehmen selbst unter die NIS2-Richtlinie oder deren nationale Umsetzung fällt.