dotazník se ptá na naši dobu obnovení po incidentu v oblasti kybernetické bezpečnosti

Čas obnovení spadá pod kontinuitu, nikoli pod řešení incidentů

Tato otázka spadá pod opatření kontinuity činnosti v článku 21 odstavec 2 NIS2, nikoli pod řešení incidentů. Zákazník chce vědět, jak dlouho může být poskytování služby přerušeno po kybernetickém incidentu, než se budou znovu vykonávat kritické procesy — v seznamu se na to často ptá jako na RTO (recovery time objective) a někdy také na RPO (recovery point objective, jaká ztráta dat je přijatelná). Nejde o samostatná čísla, která si vymyslíš na místě; měla by vycházet z plánu kontinuity, který už existuje, nebo z plánu obnovení v záložní službě.

Nemáš-li tyto hodnoty formálně stanoveny, pak je zde "ještě určeno" správnou odpovědí — nevyplňuj odhad, který si nemůžeš zdůvodnit. Zadání RTO bez testovaného plánu obnovení je slib, který bude při příštím výpadku vymáhán. Nejprve si ověř, zda existují zálohy a nouzové opatření k obnovení poskytování služby; pokud ano, čas obnovení tam obvykle už je, nebo se dá odvodit z tabulkového cvičení. Chybí-li toto opatření, je to jedna z deseti povinných opatření z článku 21 odstavec 2, která se ještě musí zavést.

Odkud to pochází: článek 21 odst. 2 a příloha A

Článek 21 odstavec 2 písm. c NIS2 výslovně uvádí kontinuitu činnosti, včetně správy záloh a nouzového obnovení, jako jedno z deseti povinných opatření; v rámci zákona o kybernetické bezpečnosti — českého transpozičního zákona, který vstupuje v účinnost 15. srpna 2026 — platí stejné rozdělení pro subjekty spadající pod zákon. Kdo používá ISO/IEC 27001, najde související správní opatření v Příloze A v kategorii kontinuity bezpečnosti informací. Pozor: čas obnovení sám není v žádném z obou zdrojů stanoven jako číslo — tuto normu si organizace stanoví sama na základě své vlastní analýzy rizik. Není-li jasné, zda je toto téma pro vlastní podnik povinné, je to lze vyvodit z otázky, zda podnik sám spadá pod směrnici NIS2 nebo její национальní implementaci.