chestionarul întreabă despre timpul nostru de recuperare după un incident cibernetic

Timp de restabilire se situează sub continuitate, nu sub răspuns la incidente

Această întrebare se încadrează în măsura de continuitate a activității prevăzută de articolul 21 alineatul 2 NIS2, nu în gestionarea incidentelor. Clientul dorește să știe cât timp poate fi întreruptă furnizarea serviciilor după un incident de securitate cibernetică înainte ca procesele critice să funcționeze din nou — adesea lista o pune sub formă de RTO (recovery time objective) și uneori și sub RPO (recovery point objective, cât de multă pierdere de date este acceptabilă). Acestea nu sunt numere aleatorii pe care le inventezi pe loc; trebuie să provin din planul de continuitate care există deja, sau în caz contrar din planul de restabilire din cadrul dispozitivului de backup.

Dacă nu ai formalizat acele valori, atunci "încă de determinat" este răspunsul corect aici — nu completa o estimare pe care nu poți să o susții. Indicarea unui RTO fără un plan de restabilire testat pe spate este o promisiune care va fi evaluată la următoarea defecțiune. Verifică mai întâi dacă există copii de siguranță și o soluție de urgență pentru a restabili furnizarea serviciilor; dacă acestea există, timpul de restabilire se află de obicei acolo sau poate fi dedus cu o exercițiu de simulare pe masă. Dacă această soluție lipsește în continuare, aceasta este una dintre cele zece măsuri din articolul 21 alineatul 2 care trebuie încă să fie implementate.

De unde vine asta: articolul 21 alineatul 2 și Anexa A

Articolul 21 alineatul 2 litera c din NIS2 menționează continuitatea activității, incluzând gestionarea copiilor de siguranță și recuperarea din urgență, în mod explicit ca una dintre cele zece măsuri obligatorii; conform Legii privind securitatea cibernetică — transpunerea olandeză, care intră în vigoare la 15 august 2026 — se aplică aceeași clasificare pentru entitățile care se încadrează în domeniul de aplicare al legii. Cine aplică ISO/IEC 27001 găsește măsura de control asociată în Anexa A sub categoria continuității securității informației. Atenție: timpul de restabilire în sine nu este indicat în niciuna dintre cele două surse ca număr — această normă este stabilită de organizație în mod independent, pe baza propriei sale analize de risc. Dacă nu este încă clar dacă acest subiect este obligatoriu pentru propria întreprindere, aceasta poate fi dedusă din întrebarea dacă organizația propriu-zisă se încadrează în Directiva NIS2 sau în transpunerea acesteia la nivel național.