kund frågar efter vår återställningstid efter ett driftavbrott, vad fyller jag i

Återställningstiden är ingen RTO/RPO-siffra utan en procesbeskrivning

Det som brukar frågas här är inte ett tal utan huruvida det finns en kontinuitetsberedskapsprocess: finns det en nödfallslösning, har den testats och hur snabbt återupptas tjänsten. Fyll därför inte i en konkret återställningstid om den inte är dokumenterad någonstans — till exempel i en BCP (business continuity plan) eller DRP (disaster recovery plan) med ett fastställt RTO (recovery time objective) och RPO (recovery point objective). Om det inte står det, då är "nej, ännu inte formellt fastställt" det ärliga svaret, eventuellt med en anmärkning om att säkerhetskopior finns men utan en testad återställningstid.

Många kunder kombinerar denna fråga med en fråga om själva incidentproceduren: finns det en process för att upptäcka och eskalera ett avbrott innan återställning överhuvudtaget kan börja. Kontrollera därför också förfarandet för hantering av säkerhetstillbudeftersom utan denna process är en återställningstid i alla fall inte hårdgjord. Har du definierat ett RTO/RPO är bevisningen vanligtvis själva BCP/DRP-dokumentet eller en testrapport från det senaste failover- eller restore-testet. Om testrapportens saknas, gör hellre "nej" än ett otestað antagande.

Var detta följer från: artikel 21 punkt 2 och Annex A

Artikel 21 stycke 2 i NIS2-direktivet nämner explicit "business continuity, such as backup management and disaster recovery" bland de tio åtgärderna som en obligatorisk del av en enhets säkerhetspolicy. ISO/IEC 27001 utvecklar detta i Annex A under kontrollåtgärderna för tillgänglighet och kontinuitet för informationsbehandlingsfaciliteter. För att avgöra om ditt företag själv är skyldigt att ha denna process är det först relevant att kontrollera om du omfattas av direktivet — kontrollera det via eller om företaget självt omfattas av NIS2-direktivet. Den nederländska cybersäkerhetslagens implementerar denna förpliktelse, med ikraftträdande den 15 augusti 2026; fram till dess frågar kunder ofta redan om det, i förväntning på sina egna kedjerestriktioner.