il questionario chiede il nostro tempo di ripristino dopo un incidente informatico

Il tempo di ripristino rientra nella continuità, non nella risposta agli incidenti

Questa domanda rientra nella misura di continuità aziendale dell'articolo 21 paragrafo 2 NIS2, non nella gestione degli incidenti. Il cliente vuole sapere per quanto tempo il servizio può essere interrotto dopo un incidente informatico prima che i processi critici riprendano a funzionare — spesso l'elenco lo chiede come RTO (recovery time objective) e talvolta anche come RPO (recovery point objective, quale perdita di dati è accettabile). Questi non sono numeri isolati che improvvisi al momento; devono provenire dal piano di continuità che già esiste, o altrimenti dal piano di ripristino in caso di guasto alla fornitura di backup.

Se non hai formalizzato questi valori, allora "ancora da determinare" è la risposta corretta qui — non inserire una stima che non puoi sostenere. Indicare un RTO senza che ci sia un piano di ripristino testato dietro, è una promessa che verrà rivendicata al prossimo guasto. Verifica prima se esistono backup e un sistema di emergenza per ripristinare il servizio; se ci sono, il tempo di ripristino di solito è già indicato lì o può essere dedotto con un esercizio da tavolo. Se questa fornitura manca ancora, allora questa è una delle dieci misure dell'articolo 21 paragrafo 2 che ancora deve essere implementata.

Fonte: articolo 21 paragrafo 2 e Allegato A

L'articolo 21 paragrafo 2 lettera c di NIS2 menziona esplicitamente la continuità aziendale, compresi la gestione dei backup e il ripristino di emergenza, come una delle dieci misure obbligatorie; secondo la Legge sulla cibersicurezza — l'attuazione olandese, che entra in vigore il 15 agosto 2026 — la stessa classificazione vale per le entità soggette alla legge. Chi applica ISO/IEC 27001 trova la relativa misura di controllo in Annex A sotto la categoria di continuità della sicurezza delle informazioni. Attenzione: il tempo di ripristino stesso non è indicato come numero in nessuna delle due fonti — questo standard è stabilito dall'organizzazione stessa sulla base della propria analisi dei rischi. Se non è ancora chiaro se questo argomento è obbligatorio per la propria azienda, è possibile determinarlo dalla domanda se l'organizzazione stessa ricade sotto la direttiva NIS2 o sotto la sua trasposizione nazionale.