η ερώτηση ζητά πληροφορίες για τον χρόνο ανάκαμψης μας μετά από ένα κυβερνοεπεισόδιο

Ο χρόνος ανάκαμψης εμπίπτει στη συνέχεια δραστηριοτήτων, όχι στην αντιμετώπιση περιστατικών

Αυτή η ερώτηση εμπίπτει στο μέτρο συνέχειας δραστηριοτήτων του άρθρου 21 παράγραφος 2 της NIS2, όχι στη διαχείριση περιστατικών. Ο πελάτης θέλει να γνωρίζει πόσο καιρό μπορεί να διακοπεί η παροχή υπηρεσιών μετά από ένα κυβερνο-περιστατικό πριν ξαναρχίσουν να λειτουργούν οι κρίσιμες διεργασίες — συχνά η λίστα το ζητά ως RTO (recovery time objective) και μερικές φορές και το RPO (recovery point objective, πόση απώλεια δεδομένων είναι αποδεκτή). Αυτά δεν είναι αριθμοί που τροποποιείς αυθαίρετα· πρέπει να προέρχονται από το σχέδιο συνέχειας που υπάρχει ήδη, ή αλλιώς από το σχέδιο ανάκαμψης της δευτερεύουσας προμήθειας.

Εάν δεν έχεις καθορίσει αυτές τις τιμές επισήμως, τότε το «ακόμη να καθοριστεί» είναι η σωστή απάντηση εδώ — μην συμπληρώσεις μια εκτίμηση που δεν μπορείς να υποστηρίξεις. Η ανακοίνωση ενός RTO χωρίς να υπάρχει ένα δοκιμασμένο σχέδιο ανάκαμψης πίσω του είναι μια υπόσχεση που θα ληφθεί υπόψη στο επόμενο περιστατικό. Ελέγχει πρώτα αν υπάρχουν δευτερεύουσες και μια έκτακτη διάταξη για την αποκατάσταση της παροχής υπηρεσιών; εάν υπάρχουν, ο χρόνος ανάκαμψης είναι συνήθως ήδη εκεί ή μπορεί να εξαχθεί με μια άσκηση tabletop. Εάν αυτή η διάταξη δεν υπάρχει ακόμη, τότε αυτή είναι μια από τις δέκα ενέργειες του άρθρου 21 παράγραφος 2 που πρέπει ακόμη να εφαρμοστεί.

Όπου προέρχεται αυτό: άρθρο 21 παράγραφος 2 και Παράρτημα A

Το άρθρο 21 παράγραφος 2 στοιχείο γ της NIS2 ονομάζει τη συνέχεια δραστηριοτήτων, στην οποία περιλαμβάνεται η διαχείριση δευτερευόντων και η έκτακτη ανάκαμψη, ρητώς ως ένα από τα δέκα υποχρεωτικά μέτρα· σύμφωνα με το Νόμο περί Κυβερνοασφάλειας — τη ολλανδική εναρμόνιση, που θα ισχύσει στις 15 Αυγούστου 2026 — ισχύει η ίδια κατηγοριοποίηση για οργανισμούς που υπάγονται στο νόμο. Όποιος εφαρμόζει το ISO/IEC 27001, θα βρει τη σχετική ενέργεια ελέγχου στο Παράρτημα A υπό την κατηγορία συνέχειας ασφάλειας πληροφοριών. Προσοχή: ο χρόνος ανάκαμψης δεν εμφανίζεται σε κανέναν από τους δύο πόρους ως αριθμός — ο κανόνας αυτός καθορίζεται από την ίδια την οργάνωση με βάση τη δική της ανάλυση κινδύνου. Εάν δεν είναι ακόμη σαφές εάν αυτό το θέμα είναι υποχρεωτικό για την ίδια την επιχείρηση, τότε μπορεί να εξαχθεί μέσω της ερώτησης αν εάν η επιχείρηση αυτή υπόκειται στην Οδηγία NIS2 ή στη διαθέσιμη εθνική υλοποίηση αυτής.