Ci sono backup e piani di continuità per ripristinare i servizi?

Backup e continuità figurano come misura separata nell'articolo 21 comma 2

Sì, questa è una delle dieci misure dell'articolo 21 comma 2 della direttiva NIS2: il punto (c) cita esplicitamente "business continuity, such as backup management and disaster recovery, and crisis management". La domanda su backup e una disposizione di emergenza non è quindi una categoria residuale o un'interpretazione del cliente — figura letteralmente così nella direttiva. Chi riceve questa domanda può dare per scontato che rientri nello stesso blocco di domande delle altre nove misure: politica di gestione del rischio, gestione degli incidenti, sicurezza della catena di approvvigionamento, gestione delle vulnerabilità, verifica, igiene informatica, crittografia, controllo degli accessi e MFA.

Ciò che viene concretamente chiesto di solito si divide in due parti: esistono backup (con quale frequenza, dove sono conservati, quando è stato ultimo testato) e esiste una disposizione di emergenza che mantiene il servizio in funzione o lo ripristina rapidamente dopo un'interruzione — un piano di disaster recovery, strutture alternative, tempi di ripristino. Un rapporto di test di un backup-restore o un piano di continuità con data dell'ultimo test è una prova più solida di un documento politico senza cronologia di test. Se questo ultimo manca, allora "no" o "parzialmente" è una risposta altrettanto utile di "sì" — il cliente vuole soprattutto sapere se corrisponde alla realtà, non che sia tutto verde. Questa misura è spesso collegata a la procedura per la gestione degli incidenti di sicurezza, poiché una disposizione di emergenza è generalmente attivata da un incidente, e a il test periodico delle misure di sicurezza, poiché un backup senza risultati di test dice poco sul tempo effettivo di ripristino.

Dove esattamente figura nella direttiva

L'articolo 21 comma 2 lettera (c) della Direttiva (UE) 2022/2555 cita "business continuity, such as backup management and disaster recovery, and crisis management" come una delle dieci misure tecniche e organizzative che rientrano nella politica di sicurezza di un'entità. La direttiva stessa non specifica una frequenza minima di test o un tempo di ripristino — questa definizione spetta all'entità e, se applicabile, alla normativa nazionale di recepimento o ai requisiti settoriali del cliente.