klient pyta, jaki jest nasz czas przywrócenia po awarii, co tam wpisuję

Czas przywrócenia to nie liczba RTO/RPO, ale opis procesu

To, co zwykle się tu pyta, to nie jedna liczba, ale czy istnieje proces ciągłości: czy jest rozwiązanie awaryjne, czy zostało ono przetestowane i jak szybko usługa zostaje wznowiona. Nie wpisuj więc konkretnego czasu przywrócenia, jeśli nigdzie nie został on ustalony — na przykład w BCP (business continuity plan) lub DRP (disaster recovery plan) z ustaloną RTO (recovery time objective) i RPO (recovery point objective). Jeśli tego tam nie ma, to "nie, nie ustalono jeszcze formalnie" to uczciwa odpowiedź, ewentualnie z wyjaśnieniem, że kopie zapasowe istnieją, ale bez przetestowanego czasu przywrócenia.

Wielu klientów łączy to pytanie z pytaniem dotyczącym samej procedury incydentu: czy istnieje proces wykrywania awarii i eskalacji, zanim przywrócenie w ogóle może się rozpocząć. Sprawdź również procedurą obsługi incydentów bezpieczeństwa, ponieważ bez tego procesu czas przywrócenia i tak nie jest niezawodny. Jeśli zdefiniowałeś RTO/RPO, dowodem jest zwykle sam dokument BCP/DRP lub raport z ostatniego testu failover lub restore. Jeśli brakuje tego raportu z testu, lepiej odpowiedz "nie" niż nieprzetestowane założenie.

Gdzie to wynika: artykuł 21 ust. 2 i Załącznik A

Artykuł 21 ust. 2 dyrektywy NIS2 wymienia wśród dziesięciu środków explicite "business continuity, such as backup management and disaster recovery" jako obowiązkową część polityki bezpieczeństwa podmiotu. ISO/IEC 27001 rozwinęła to w Załączniku A w ramach środków kontrolnych dotyczących dostępności i ciągłości funkcjonowania urządzeń przetwarzających informacje. Aby określić, czy Twoje przedsiębiorstwo samo zobowiązane jest do wdrożenia tego procesu, najpierw istotne jest ustalenie, czy podlegasz dyrektywnie — sprawdź to poprzez czy przedsiębiorstwo samo podlega dyrektywie NIS2. Holenderska ustawa o cyberbezpieczeństwie wdraża ten obowiązek, z wejściem w życie 15 sierpnia 2026 r.; do tego czasu klienci często pytają o nią wcześniej, w oczekiwaniu na swoje własne obowiązki łańcuchowe.