le questionnaire demande notre temps de rétablissement après un incident cyber

Le délai de rétablissement relève de la continuité, non de la réponse aux incidents

Cette question relève de la mesure de continuité de service de l'article 21 paragraphe 2 NIS2, et non de la gestion des incidents. Le client souhaite connaître la durée pendant laquelle la prestation de services peut être interrompue après un incident de cybersécurité avant que les processus critiques ne reprennent — souvent, la liste pose cette question en tant qu'RTO (objectif de temps de rétablissement) et parfois aussi en termes de RPO (objectif de point de récupération, quelle perte de données est acceptable). Ce ne sont pas des chiffres arbitraires que vous inventez sur place ; ils doivent provenir du plan de continuité qui existe déjà, ou sinon du plan de rétablissement associé à la provision de secours.

Si vous n'avez pas formellement défini ces valeurs, alors « à déterminer » est la bonne réponse ici — ne pas remplir une estimation que vous ne pouvez pas justifier. Spécifier un RTO sans un plan de rétablissement testé derrière, c'est faire une promesse qui sera facturée lors de la prochaine panne. Vérifiez d'abord si il existe des sauvegardes et une provision de secours pour rétablir la prestation de services; si elles existent, le délai de rétablissement y est généralement indiqué ou peut être déduit par un exercice de simulation. Si cette provision fait encore défaut, il s'agit là de l'une des dix mesures de l'article 21 paragraphe 2 qui doit encore être mise en place.

D'où cela provient : article 21, paragraphe 2 et Annexe A

L'article 21 paragraphe 2 point c de NIS2 mentionne explicitement la continuité de service, y compris la gestion des sauvegardes et la reprise après sinistre, comme l'une des dix mesures obligatoires ; selon la Cybersecurity Act — la transposition néerlandaise, qui entrera en vigueur le 15 août 2026 — la même classification s'applique aux entités relevant de la loi. Ceux qui appliquent ISO/IEC 27001 trouveront la mesure de contrôle associée dans l'Annexe A sous la catégorie continuité de la sécurité de l'information. Attention : le délai de rétablissement lui-même ne figure comme chiffre dans aucune de ces deux sources — cette norme est fixée par l'organisation elle-même sur la base de sa propre analyse des risques. S'il n'est pas encore clair si ce sujet est obligatoire pour l'entreprise elle-même, cela peut être déduit de la question de savoir si l'entreprise elle-même relève de la directive NIS2 ou de sa transposition nationale.