Czy istnieją kopie zapasowe i nadzwyczajne środki umożliwiające przywrócenie usług?

Kopia zapasowa i ciągłość działalności stanowią oddzielny środek w artykule 21 ust. 2

Tak, jest to jeden z dziesięciu środków z artykułu 21 ust. 2 dyrektywy NIS2: punkt (c) wyraźnie wymienia "ciągłość działalności, taką jak zarządzanie kopiami zapasowymi i odzyskiwanie danych po awarii, oraz zarządzanie kryzysowe". Pytanie o kopie zapasowe i przepisy dotyczące nadzwyczajnych sytuacji nie jest zatem kategorią reztkową ani interpretacją klienta — dokładnie tak jest sformułowane w dyrektywie. Kto otrzyma to pytanie, może założyć, że wchodzi w skład tego samego bloku pytań co pozostałe dziewięć środków: polityka ryzyka, obsługa incydentów, bezpieczeństwo łańcucha dostaw, zarządzanie lukami w zabezpieczeniach, testy, higiena cybernetyczna, kryptografia, kontrola dostępu i MFA.

To, co konkretnie się pyta, zwykle dzieli się na dwie części: czy istnieją kopie zapasowe (jak często, gdzie są przechowywane, kiedy ostatnio przetestowano) i czy istnieje przepis dotyczący nadzwyczajnych sytuacji, który zapewnia ciągłość świadczenia usług lub jego szybkie przywrócenie po zakłóceniu — plan odzyskiwania danych po awarii, przepisy dotyczące stanów awaryjnych, czasy przywrócenia. Raport z testu przywrócenia kopii zapasowej lub plan ciągłości z ostatnią datą testu stanowi silniejszy dowód niż dokument dotyczący polityki bez historii testów. Jeśli brakuje tego ostatniego, "nie" lub "częściowo" jest równie użyteczną odpowiedzią co "tak" — klient chce przede wszystkim wiedzieć, czy to jest prawidłowe, a nie czy wszędzie jest zielone. Środek ten jest często powiązany z procedurą obsługi incydentów bezpieczeństwa, ponieważ przepis dotyczący nadzwyczajnych sytuacji zwykle jest uruchamiany przez incydent, i z okresowymi testami środków bezpieczeństwa, ponieważ kopia zapasowa bez wyników testów mówi niewiele o rzeczywistym czasie przywrócenia.

Gdzie dokładnie to znajduje się w dyrektywie

Artykuł 21 ust. 2 lit. (c) dyrektywy (UE) 2022/2555 wymienia "ciągłość działalności, taką jak zarządzanie kopiami zapasowymi i odzyskiwanie danych po awarii, oraz zarządzanie kryzysowe" jako jeden z dziesięciu środków technicznych i organizacyjnych, które wchodzą w skład polityki bezpieczeństwa jednostki. Sama dyrektywa nie określa minimalnej częstotliwości testowania ani czasu przywrócenia — to wypełnienie leży po stronie jednostki i, jeśli ma zastosowanie, po stronie krajowych przepisów wykonawczych lub sektorowych wymogów klienta.