Jautājumā tiek jautāts par mūsu atveseļošanas laiku pēc kiberincidenta

Atveseļošanās laiks ietilpst nepārtrauktības jomā, nevis incidentu reaģēšanā

Šis jautājums ietilpst NIS2 21. panta 2. punkta uzņēmējdarbības nepārtrauktības pasākumā, nevis incidentu apstrādē. Klients vēlas zināt, cik ilgi pakalpojumu sniegšana var būt pārtraukta pēc kiberuzbrukuma, pirms atkal darbojas kritiskie procesi — bieži šajā sarakstā to uzdod kā RTO (recovery time objective) un dažkārt arī RPO (recovery point objective, cik daudz datu zuduma ir pieņemams). Tie nav brīvs cipari, ko tu izdomā uz vietas; tie ir jāņem no jau esošā nepārtrauktības plāna vai citādi no atveseļošanās plāna, kas ir saistīts ar dublēšanas nodrošinājumu.

Ja šīs vērtības nesi formāli noteicis, tad "vēl jānosaka" šeit ir pareizā atbilde — nevis nepamatota aprēķināta vērtība. RTO noteikšana bez testēta atveseļošanās plāna aizmugurē ir solījums, par kuru nākamā pārrāvuma laikā tiks prasīts atskaitīt. Vispirms pārbaudi, vai ir dublējumi un noodherstelmaatregelen pakalpojumu sniegšanas atveseļošanai; ja tie pastāv, atveseļošanās laiks parasti tur jau norādīts vai to var noteikt ar galda augšanas vingrinājumu. Ja šis nodrošinājums vēl jāieņem, tad tas ir viens no desmit pasākumiem no NIS2 21. panta 2. punkta, kas vēl jāīsteno.

No kurienes tas nāk: 21. pants, 2. punkts un Pielikums A

NIS2 21. panta 2. punkta c. apakšpunkts nosaka uzņēmējdarbības nepārtrauktību, tai skaitā dublēšanas pārvaldību un noodherzeļ, kā vienu no desmit obligātajiem pasākumiem; saskaņā ar Kiberveiligheidsactie — Nīderlandes transponēšanu, kas stājas spēkā 2026. gada 15. augustā — viena un tā pati klasifikācija attiecas uz tiesību akta darbības jomā ietilpstošajām entitātēm. Iestādes, kas izmanto ISO/IEC 27001, attiecīgo kontroles pasākumu atradīs A pielikumā informācijas drošības nepārtrauktības kategorijā. Pievērs uzmanību: pats atveseļošanās laiks nevienā no abiem avotiem nav norādīts kā skaitlis — šo normu nosaka pati organizācija, pamatojoties uz savu riska analīzi. Ja vēl nav skaidrs, vai šis jautājums attiecas uz pašas uzņēmējdarbības jomā, to var noskaidrot, pamatojoties uz jautājumu, vai uzņēmums pats ir pakļauts NIS2 direktīvai vai tās nacionālai pārtransformācijai.