el cuestionario pregunta sobre nuestro tiempo de recuperación tras un incidente cibernético

El tiempo de recuperación se incluye en continuidad, no en respuesta a incidentes

Esta pregunta se refiere a la medida de continuidad del negocio del artículo 21 apartado 2 NIS2, no a la gestión de incidentes. El cliente quiere saber cuánto tiempo puede estar interrumpido el servicio después de un ciberincidente antes de que vuelvan a funcionar los procesos críticos — a menudo la lista lo solicita como RTO (recovery time objective) y a veces también como RPO (recovery point objective, cuánta pérdida de datos es aceptable). Estos no son números sueltos que inventes sobre la marcha; deben proceder del plan de continuidad que ya existe, o en su defecto del plan de recuperación de la provisión de respaldo.

Si no has formalizado esos valores, entonces "por determinar" es la respuesta correcta aquí — no completes una estimación que no puedas justificar. Especificar un RTO sin contar con un plan de recuperación probado es una promesa que será cuestionada en la próxima interrupción. Comprueba primero si existen copias de seguridad y una provisión de emergencia para restaurar el servicio; si las hay, el tiempo de recuperación generalmente ya está especificado en ellas o puede deducirse mediante un ejercicio de mesa. Si aún falta esa provisión, entonces esta es una de las diez medidas del artículo 21 apartado 2 que aún debe implementarse.

Procedencia: artículo 21, apartado 2 y Anexo A

El artículo 21 apartado 2 letra c de NIS2 menciona explícitamente la continuidad del negocio, incluida la gestión de copias de seguridad y la recuperación ante desastres, como una de las diez medidas obligatorias; conforme a la Cyberbeveiligingswet — la transposición holandesa, que entra en vigor el 15 de agosto de 2026 — se aplica la misma clasificación para entidades sujetas a la ley. Quien aplica ISO/IEC 27001 encuentra la medida de control correspondiente en el Anexo A bajo la categoría continuidad de la seguridad de la información. Tenga en cuenta: el tiempo de recuperación en sí no aparece como número en ninguna de las dos fuentes — esa norma la establece la organización según su propio análisis de riesgos. Si aún no está claro si este tema es obligatorio para la propia organización, puede determinarse a través de la pregunta de si la empresa está sujeta a la Directiva NIS2 o su transposición nacional.