Списъкът пита за нашето време за възстановяване след кибератака

Времето за възстановяване попада под непрекъснатостта на дейността, а не под отговора на инцидентите

Този въпрос попада под мярката за непрекъснатост на бизнеса на член 21 алинея 2 на NIS2, а не под управлението на инцидентите. Клиентът желае да знае колко дълго могат да бъдат прекратени услугите след кибератака, преди критичните процеси да възобновят работа — списъкът често задава този въпрос като RTO (recovery time objective) и понякога и като RPO (recovery point objective, колко загуба на данни е приемлива). Това не са произволни числа, които измисляш на място; те трябва да произтичат от плана за непрекъснатост на дейността, който вече съществува, или в противен случай от плана за възстановяване към системата за резервни копия.

Ако тези стойности не са официално установени, то „остава да се определи е правилният отговор тук — не попълвай оценка, която не можеш да обоснова. Задаването на RTO без проверен план за възстановяване е обещание, което ще бъде събрано при следващо прекъсване. Първо проверете далиима резервни копия и система за аварийно възстановяване, за да се възстанови услугата; ако съществуват, времето за възстановяване обикновено е там или може да бъде определено чрез упражнение при маса. Ако тази система все още липсва, то това е една от десетте мерки от член 21 алинея 2, която все още трябва да бъде въведена.

Откъде идва това: член 21, параграф 2 и Приложение А

Член 21 алинея 2 буква в на NIS2 изрично споменава непрекъснатостта на бизнеса, включително управлението на резервни копия и аварийното възстановяване, като една от десетте задължителни мерки; според Закона за киберсигурност — холандския транспонирането, който влиза в сила на 15 август 2026 г. — отнася се същия раздел за обекти, попадащи под закона. Който прилага ISO/IEC 27001, намира съответната управленска мярка в Приложение А под категорията непрекъснатост на информационната сигурност. Внимание: самото време за възстановяване не е посочено като число в никой от двата източника — организацията сама установява този стандарт на базата на своя собствена анализ на риска. Ако все още не е ясно дали този предмет е задължителен за собствената организация, то може да бъде определено чрез въпроса дали организацията попада под Директивата NIS2 или национално прилагане на същата.