Sunt disponibile copii de rezervă și o prevedere de urgență pentru restabilirea serviciilor?

Backup și continuitate sunt menționate ca măsură separată în articolul 21 alineatul 2

Da, aceasta este una dintre cele zece măsuri din articolul 21 alineatul 2 al Directivei NIS2: punctul (c) menționează în mod explicit "continuitatea activității, cum ar fi gestionarea copiilor de siguranță și recuperarea după dezastru, și gestionarea crizelor". Prin urmare, întrebarea despre copii de siguranță și o prevedere de urgență nu este o categorie reziduală sau o interpretare a clientului — aceasta apare literal în directivă. Oricine primește această întrebare poate presupune că face parte din același bloc de întrebări ca celelalte nouă măsuri: politica de risc, gestionarea incidentelor, securitatea lanțului de aprovizionare, gestionarea vulnerabilităților, testare, igienă cibernetică, criptografie, control al accesului și MFA.

Ceea ce se solicită în mod concret, se împarte de obicei în două părți: există copii de siguranță (cât de des, unde sunt stocate, când au fost testate ultima dată) și există o prevedere de urgență care permite serviciul să continue sau să se restabilească rapid după o întrerupere — un plan de recuperare după dezastru, facilități de urgență, timpii de restabilire. Un raport de test al unui backup-restore sau un plan de continuitate cu data ultimei teste este o dovadă mai puternică decât un document de politică fără istoric de teste. Dacă aceasta din urmă lipsește, atunci "nu" sau "parțial" este un răspuns la fel de util ca "da" — clientul vrea mai ales să știe dacă este corect, nu că totul este în ordine. Această măsură este adesea legată de procedura de gestionare a incidentelor de securitate, deoarece o prevedere de urgență este de obicei declanșată de un incident, și de testarea periodică a măsurilor de securitate, deoarece o copie de siguranță fără rezultate de teste spune puțin despre timpul real de restabilire.

Unde se află exact în directivă

Articolul 21 alineatul 2 litera (c) din Directiva (UE) 2022/2555 menționează "continuitatea activității, cum ar fi gestionarea copiilor de siguranță și recuperarea după dezastru, și gestionarea crizelor" ca una dintre cele zece măsuri tehnice și organizatorice care se încadrează în politica de securitate a unei entități. Directiva în sine nu stabilește o frecvență minimă de testare sau un timp de restabilire — această determinare aparține entității și, dacă este cazul, reglementărilor de implementare naționale sau cerințelor sectoriale ale clientului.