stranka sprašuje o našem času obnovitve po izpadu, kaj izpolnim

Čas obnovitve ni številka RTO/RPO temveč opis postopka

Tisto, kar se tu običajno sprašuje, ni eno število, temveč ali obstaja proces kontinuitete: ali obstaja nujna oskrba, ali je bila testirana in kako hitro se storitev ponovno vzpostavi. Zato ne vnesite konkretnega časa obnovitve, če ni nikjer dokumentirano — na primer v BCP (načrt poslovne kontinuitete) ali DRP (načrt obnove po katastrofi) s določenim RTO (ciljem časa obnovitve) in RPO (ciljem točke obnovitve). Če tega ni, je »ne, še ni formalno dokumentirano« pošten odgovor, po potrebi s pojasnilom, da sicer obstajajo varnostne kopije, vendar ne s testiranim časom obnovitve.

Mnogi naročniki to vprašanje kombinirajo s vprašanjem o samem postopku incidenta: ali obstaja proces za odkrivanje in eskalacijo motnje, preden sploh lahko začne obnova. Zato tudi preverite postopkom za obravnavo varnostnih incidentov, kajti brez tega procesa čas obnovitve tako ali tako ni mogoče trdno določiti. Če ste že določili RTO/RPO, je dokazilo običajno samo BCP/DRP-dokument ali testno poročilo zadnjega testa failoverja ali ponovne vzpostavitve. Če tega testnega poročila manjka, rajši odgovorite »ne« kot neiztestena predpostavka.

Od koder to sledi: člen 21(2) in Prilog A

Člen 21 odstavek 2 direktive NIS2 med desetimi ukrepi izrecno navaja "poslovna kontinuiteta, kot so upravljanje varnostnih kopij in okrevanje po katastrofi" kot obvezni del varnostne politike subjekta. ISO/IEC 27001 to podrobno obdela v Prilogo A pod nadzornimi ukrepi za razpoložljivost in kontinuiteto obratov za obdelavo informacij. Glede vprašanja, ali je vaše podjetje samo po sebi zavezano imeti ta proces, je najprej relevantno, ali spadate pod direktivo — to preverite prek ali podjetje samo spada pod Direktivo NIS2. Nizozemski zakon o kibernetski varnosti to transponira, z začetkom veljave 15. avgusta 2026; do tega datuma stranke že pogosto sprašujejo zanj, v pričakivanju svojih lastnih obveznosti v dobavni verigi.