zákazník sa pýta na nás čas obnovenia po výpadku, čo tam vyplním

Čas obnovy nie je číslo RTO/RPO, ale popis procesu

Čo sa tu zvyčajne pýta, nie je jedno číslo, ale či existuje proces kontinuity: existuje núdzové riešenie, bolo testované a ako rýchlo je služba obnovená. Nezadávajte teda konkrétny čas obnovy, ak nie je nikde zdokumentovaný — napríklad v BCP (plán kontinuity podnikania) alebo DRP (plán obnovy po katastrofe) s definovaným RTO (cieľ času obnovy) a RPO (cieľ bodu obnovy). Ak to tam nie je, potom je "nie, zatiaľ nie je formálne zdokumentované" čestná odpoveď, prípadne s vysvetlením, že zálohované údaje existujú, ale bez testovaného času obnovy.

Mnohí zákazníci kombinujú túto otázku s otázkou o samotnom postupe pri incidente: existuje proces na zistenie a eskaláciu výpadku skôr, ako vôbec môže začať obnova. Skontrolujte teda aj postupom na spracovanie bezpečnostných incidentov, pretože bez tohto procesu nemôže byť čas obnovy v žiadnom prípade garantovaný. Ak máte definované RTO/RPO, dokladom je zvyčajne samotný dokument BCP/DRP, alebo správa z testu posledného prevzatia služby alebo obnovy z zálohy. Ak chýba táto správa z testu, radšej uveďte "nie" ako netestovaný predpoklad.

Odkiaľ to vyplýva: článok 21 odsek 2 a Príloha A

Článok 21 odsek 2 smernice NIS2 explicitne uvádza medzi desiatimi opatreniami "kontinuitu podnikania, napríklad správu záloh a obnovu po katastrofe" ako povinný súčasť bezpečnostnej politiky subjektu. ISO/IEC 27001 to rozpracúva v Prílohe A medzi kontrolnými opatreniami na dostupnosť a kontinuitu zariadení na spracovávanie informácií. Pre otázku, či je vaša vlastná organizácia povinná mať tento proces, je najskôr relevantné, či podliehate tejto smernici — skontrolujte to cez alebo či podnik sám spadá pod smernicu NIS2. Holandský zákon o kybernetickej bezpečnosti transpozuje túto povinnosť s nadobudnutím účinnosti 15. augusta 2026; do tej doby si o to zákazníci často pýtajú dopredu, v súlade so svojimi vlastnými povinnosťami v dodávateľskom reťazci.