vprašalnik sprašuje o našem času obnovitve po ciber incidentu

Čas obnovitve spada pod poslovno kontinuiteto, ne pod odziv na incidente

To vprašanje spada pod ukrep poslovne kontinuitete iz člena 21(2) NIS2, ne pod obravnavo incidentov. Stranka želi vedeti, kako dolgo lahko storitev miruje po kibernetski grožnji, preden se kritični procesi spet izvajajo — seznam to pogosto vprašuje kot RTO (recovery time objective) in včasih tudi kot RPO (recovery point objective, koliko izgube podatkov je sprejemljivo). To niso poljubna števila, ki si jih improviziraš; izhajati morajo iz načrta kontinuitete, ki že obstaja, ali iz načrta obnovitve pri varnostni kopiji.

Če teh vrednosti nisi formalno opredelil, je »še se mora določiti« pravilen odgovor — ne izpolni ocene, ki je ne moreš podpreti. Navedba RTO brez testiranega načrta obnovitve je obljuba, ki se ob naslednji motnji obračuna. Najprej preverite, ali obstajajo varnostne kopije in nujni ukrepi za obnovitev storitve; če obstajajo, je čas obnovitve tam običajno že navedel ali ga je mogoče pridobiti s tabletop vajo. Če ta ukrep še manjka, je to eden od desetih ukrepov iz člena 21(2) NIS2, ki ga je treba še vzpostaviti.

Izvor: člen 21(2) in Annex A

Član 21(2) točka c NIS2 izrecno navaja poslovno kontinuiteto, vključno z upravljanjem varnostnih kopij in nujnim okrevanjem, kot enega od desetih obveznih ukrepov; po Zakonu o kibernetski varnosti — nizozemski prenos, ki začne veljati 15. avgusta 2026 — enaka razdelitev velja za subjekte, na katere se zakon uporablja. Kdor uporablja ISO/IEC 27001, najde ustrezen ukrep v Dodatku A v kategoriji kontinuitete varnosti informacij. Pozor: sam čas obnovitve v nobeni od obeh virov ni navedel kot številka — to normo določi sama organizacija na podlagi svoje lastne analize tveganja. Če še ni jasno, ali je ta tema za lastno podjetje obvezna, je to mogoče ugotoviti prek vprašanja, ali je podjetje samo pod direktivo NIS2 ali njeno nacionalno izvedbo.