upitnik pita o našem vremenu oporavka nakon kibernetičkog incidenta

Vrijeme oporavka spada pod kontinuitet poslovanja, a ne pod odgovor na incidente

Ovo pitanje spada pod mjeru kontinuiteta poslovanja iz članka 21. stavka 2. NIS2, a ne pod rukovanje incidentima. Klijent želi znati kako dugo usluga može biti prekinuta nakon incidenta sigurnosti u kibernetskom prostoru prije nego što kritični procesi ponovno počnu raditi — često popis to pita kao RTO (recovery time objective) i ponekad i RPO (recovery point objective, koliko gubitka podataka je prihvatljivo). To nisu samostalni brojevi koje improviziraš; trebali bi dolaziti iz plana kontinuiteta poslovanja koji već postoji, ili inače iz plana oporavka pri osiguravanju sigurnosnih kopija.

Ako nemaš te vrijednosti formalno utvrđene, tada je "preostaje odrediti" ovdje pravi odgovor — ne treba popunjavati procjenu koju ne možeš potkrijepiti. Navođenje RTO-a bez testiranog plana oporavka iza toga je obećanje koje će biti provjeravano pri sljedećem kvaru. Prvo provjeri jesu li dostupne sigurnosne kopije i noodna oprema za oporavak usluge; ako postoje, vrijeme oporavka obično je već tamo navedeno ili se može zaključiti iz praktične vježbe. Ako ta mjera još nedostaje, tada je to jedna od deset mjera iz članka 21 stavka 2 koju je potrebno implementirati.

Odakle ovo dolazi: članak 21 stavak 2 i Prilog A

Članak 21 stavak 2 točka c Direktive NIS2 eksplicitno navodi poslovnu kontinuitet, uključujući upravljanje sigurnosnim kopijama i oporavak u slučaju nesreće, kao jednu od deset obveznih mjera; prema Zakonu o kibernetskoj sigurnosti — hrvatskom provedenom zakonu koji stupa na snagu 15. kolovoza 2026. — ista je podjela primjenjiva na subjekte koji spadaju pod zakon. Tko primjenjuje ISO/IEC 27001, relevantnu mjeru upravljanja nalazi u Prilogu A pod kategorijom kontinuiteta sigurnosti informacija. Napomena: vrijeme oporavka kao takvo nije navedeno kao broj u niti jednom od oba izvora — taj standard određuje sama organizacija na temelju svoje analize rizika. Ako još nije jasno je li ovaj predmet obavezan za vlastitu organizaciju, to se može zaključiti iz pitanja je li poduzće samo pod Direktivom NIS2 ili njezinom nacionalnom provedbom.