asiakas kysyy palautumisajastamme käyttökatkon jälkeen, mitä vastaan

Palautumisaika ei ole RTO/RPO-luku vaan prosessinkuvaus

Mitä täällä yleensä kysytään, ei ole yksi numero vaan olemassa jatkuvuusprosessi: onko hätävaraus olemassa, onko se testattu ja kuinka nopeasti palvelu palautetaan. Älä siis anna konkreettista palautumisaikaa, jos sitä ei ole mistään dokumentoitu — esimerkiksi BCP:ssä (business continuity plan) tai DRP:ssä (disaster recovery plan), joissa on määritetty RTO (recovery time objective) ja RPO (recovery point objective). Jos sitä ei ole, niin "ei, ei vielä muodollisesti dokumentoitu" on rehellinen vastaus, mahdollisesti sillä huomautuksella, että varmuuskopiot olemme, mutta testattua palautumisaikaa ei ole.

Monet asiakkaat yhdistävät tämän kysymyksen hätätilanneprotokollan kysymykseen: onko prosessi häiriön havaitsemiseksi ja siirtämiseksi ennen kuin palautus voi edes alkaa. Tarkista siis myös turvallisuuspoikkeamien käsittelystä johtuvaan menettelyyn, sillä ilman tuota prosessia palautumisaika ei joka tapauksessa ole perusteltu. Jos olet määrittänyt RTO/RPO:n, todiste on yleensä BCP/DRP-asiakirja itse tai viimeisimmän failover- tai restore-testin testiraportti. Jos testiraportti puuttuu, anna mieluummin "ei" kuin testaamaton olettamus.

Mistä tämä johtuu: artiklat 21 kohta 2 ja liite A

NIS2-direktiivin 21 artiklan 2 kohta mainitsee kymmenen toimenpiteen joukossa nimenomaisesti "liiketoiminnan jatkuvuus, kuten varmuuskopiointi ja katastrofin palautus" yhteisön tietoturvapolitiikan pakollisena osana. ISO/IEC 27001 käsittelee tätä liitteessä A hallintotoimenpiteiden osalta, jotka koskevat tietojen käsittelyä mahdollistavien laitteiden saatavuutta ja jatkuvuutta. Kun selvitetään, onko yrityksesi itse velvollinen tähän prosessiin, on ensin tärkeää, kuuluuko se direktiivin soveltamisalaan — tarkista se tai kuuluuko yritys itse NIS2-direktiivin soveltamisalaan. Alankomaiden kyberturvallisuuslaki sisällyttää tämän velvoitteen, voimaantuloaika on 15. elokuuta 2026; siihen saakka asiakkaat usein kuitenkin jo kysyvät siitä omien ketjuvelvoitteidensa mukaisesti.