a kérdőív a kiberbiztonsági incidens utáni helyreállítási időnkre kérdez rá

A helyreállítási idő az üzletmenet-folytonossági intézkedések közé tartozik, nem az incidenskezeléshez

Ez a kérdés a NIS2-irányelv 21. cikk (2) bekezdésének üzletmenet-folytonossági intézkedésébe tartozik, nem az incidensmegkezelésbe. Az ügyfél azt szeretné tudni, hogy egy kibertámadás után a szolgáltatás meddig lehet szüneteltetett, mielőtt a kritikus folyamatok újra futnak — gyakran ezt a lista RTO-ként (recovery time objective) kérdezi, és néha RPO-ként (recovery point objective, mekkora adatvesztés elfogadható) is. Ezek nem olyan önkényes számok, amelyeket helyből kitalálsz; az már létező üzletmenet-folytonossági tervből, vagy annak hiányában a biztonsági mentési intézkedésekhez tartozó helyreállítási tervből kell hogy származzanak.

Ha ezeket az értékeket nem rögzítetted formálisan, akkor az „még meghatározandó a helyes válasz — ne írj be egy becslést, amelyet nem tudsz alátámasztani. Egy RTO megadása anélkül, hogy tesztelt helyreállítási terv állt volna mögötte, egy ígéret, amelyért a következő meghibásodáskor elszámolnak. Először ellenőrizd, hogyvannak-e biztonsági mentések és egy szükséghelyzeti intézmény a szolgáltatás helyreállításához; ha megvannak, a helyreállítási idő általában már benne van, vagy egy asztali gyakorlattal levezethető. Ha az intézmény még hiányzik, akkor ez az egyik tíz intézkedés az NIS2 21. cikk (2) bekezdéséből, amelyet még be kell állítani.

Ezek forrása: a 21. cikk (2) bekezdése és az A melléklet

A NIS2 21. cikk (2) bekezdésének c) pontja kifejezetten az üzletmenet-folytonossági intézkedéseket — ideértve a biztonsági mentési felügyeletet és a vészhelyzeti helyreállítást — említi az egyik kötelező intézkedésként; a Kiberbiztonsági törvény — a holland megvalósítás, amely 2026. augusztus 15-én lép hatályba — azonos besorolást alkalmaz a törvény alá tartozó szervezetek vonatkozásában. Az ISO/IEC 27001 alkalmazói az A mellékletnél találják meg a megfelelő irányítási intézkedéseket az információbiztonsági folytonossági kategória alatt. Megjegyzés: a helyreállítási idő maga egyik forrásban sem jelenik meg számként — ezt a szabványt az szervezet maga határozza meg, saját kockázatelemzése alapján. Ha még nem világos, hogy ez a téma az adott szervezetnél kötelező-e, az a kérdésből vezethető le, hogy a vállalkozás maga a NIS2-irányelv vagy annak nemzeti átültetése hatálya alá tartozik-e.