klijen pita koje je naše vrijeme oporavka nakon otkazivanja usluge, što popunim

Vrijeme oporavka nije RTO/RPO-broj već opis procesa

Ono što se ovdje obično pita nije jedan broj već postoji li proces kontinuiteta: postoji li nužna pomoć, je li testirana i koliko brzo se usluga nastavlja. Stoga ne unosite konkretno vrijeme oporavka ako nigdje nije zabilježeno — primjerice u BCP-u (business continuity plan) ili DRP-u (disaster recovery plan) s utvrđenim RTO-om (recovery time objective) i RPO-om (recovery point objective). Ako toga nema, tada je "ne, još nije formalno zabilježeno" iskren odgovor, eventualno s napomenom da sigurnosne kopije postoje ali bez testiranog vremena oporavka.

Mnogi klijenti kombiniraju to pitanje s pitanjem o samoj proceduri incident: postoji li proces za detektiranje kvarova i eskalaciju prije nego što uopće može početi oporavak. Stoga provjerite i postupkom rukovanja incidentima sigurnosti, jer bez tog procesa vrijeme oporavka ionako nije moguće osigurati. Ako ste definirali RTO/RPO, dokaz je obično sam BCP/DRP dokument ili izvještaj s testa iz posljednjeg failover ili restore testa. Ako nedostaje taj izvještaj testa, bolje je da odaberete "ne" nego neispitanu pretpostavku.

Gdje iz toga slijedi: članak 21 stavak 2 i Prilog A

Članak 21 stavak 2 Direktive NIS2 eksplicitno navodi među deset mjera "business continuity, such as backup management and disaster recovery" kao obavezni dio sigurnosne politike subjekta. ISO/IEC 27001 to razrađuje u Prilogu A pod mjerama kontrole dostupnosti i kontinuiteta objekata za obradu informacija. Kako bi se odredilo je li tvoje poduzeće samo po sebi obvezno imati ovaj proces, prvo je relevantno provjeriti padaš li pod Direktivu — provjeri to putem jesu li poduzećem predmet Direktive NIS2. Nizozemski Zakon o kibernetskoj sigurnosti uvodi ovu obvezu, sa stupanjem na snagu 15. kolovoza 2026.; do tog datuma kupci to često već sada pitaju, unaprijed očekujući svoje vlastite obaveze u lancu.