Existem cópias de segurança e um plano de continuidade para restaurar o serviço?

Cópia de segurança e continuidade figuram como medida individual no artigo 21.º, n.º 2

Sim, trata-se de uma das dez medidas do artigo 21.º, n.º 2 da Diretiva NIS2: a alínea (c) menciona explicitamente "continuidade de negócio, como gestão de cópias de segurança e recuperação de desastres, e gestão de crises". A questão sobre cópias de segurança e provisões de emergência não é, portanto, uma categoria residual ou uma interpretação do cliente — está literalmente assim na diretiva. Quem receber esta questão pode assumir que ela faz parte do mesmo bloco de questões que as outras nove medidas: política de risco, tratamento de incidentes, segurança da cadeia de suprimentos, gestão de vulnerabilidades, testes, cibernética, criptografia, controlo de acesso e MFA.

O que concretamente se pergunta divide-se normalmente em duas partes: existem cópias de segurança (com que frequência, onde são armazenadas, quando foi testado pela última vez) e existe uma provisão de emergência que permite que a prestação de serviços continue ou se recupere rapidamente após uma interrupção — um plano de recuperação de desastres, instalações de retaguarda, tempos de recuperação. Um relatório de teste de uma restauração de cópia de segurança ou um plano de continuidade com data do último teste é uma prova mais forte do que um documento de política sem histórico de testes. Se este último não existir, então "não" ou "parcialmente" é uma resposta tão útil como "sim" — o cliente quer saber principalmente se é exato, não se está tudo verde. Esta medida está frequentemente relacionada com o procedimento para o tratamento de incidentes de segurança, porque uma provisão de emergência é normalmente acionada por um incidente, e com os testes periódicos de medidas de segurança, porque uma cópia de segurança sem resultados de teste diz pouco sobre o tempo de recuperação real.

Onde isto está precisamente estabelecido na diretiva

O artigo 21.º, n.º 2, alínea (c) da Diretiva (UE) 2022/2555 menciona "continuidade de negócio, como gestão de cópias de segurança e recuperação de desastres, e gestão de crises" como uma das dez medidas técnicas e organizacionais que fazem parte da política de segurança de uma entidade. A diretiva em si não estabelece uma frequência mínima de testes ou um tempo de recuperação — essa determinação compete à entidade e, quando aplicável, à regulamentação nacional ou aos requisitos setoriais do cliente.