kunde spørger om vores genoprettelsestid efter en nedbrud, hvad udfylder jeg der

Gendannelsestid er ikke et RTO/RPO-tal, men en procesbeskrivelse

Det, der sædvanligvis stilles spørgsmål om her, er ikke ét tal, men om der eksisterer en kontinuitetskontrolproces: er der en nødforsyning, er den testet, og hvor hurtigt genoptages tjenesten. Indfyld derfor ikke en konkret gendannelsestid, hvis den ikke er dokumenteret andetsteds — for eksempel i en BCP (business continuity plan) eller DRP (disaster recovery plan) med en fastlagt RTO (recovery time objective) og RPO (recovery point objective). Hvis det ikke er angivet, er "nej, endnu ikke formelt dokumenteret" det ærlige svar, eventuelt med en bemærkning om, at sikkerhedskopier eksisterer, men uden en testet gendannelsestid.

Mange kunder kombinerer dette spørgsmål med et spørgsmål om selve incidentproceduren: er der en proces til at opdage og eskalere en fejl, før gendannelse overhovedet kan begynde. Tjek derfor også proceduren for håndtering af sikkerhedshændelser, for uden denne proces er en gendannelsestid ikke holdbar. Hvis du har defineret RTO/RPO, er beviserne normalt BCP/DRP-dokumentet selv eller en testrapport fra den seneste failover- eller restore-test. Hvis denne testrapport mangler, er det bedre at svare "nej" end at komme med en utestet antagelse.

Hvor dette følger fra: artikel 21, stk. 2 og Annex A

Artikel 21, stk. 2 i NIS2-direktivet nævner blandt de ti foranstaltninger eksplicit "forretningskontinuitet, såsom sikkerhedskopiering og katastrofeberedskab" som et obligatorisk element i en enheds sikkerhedspolitik. ISO/IEC 27001 udarbejder dette i bilag A under kontrolforanstaltningerne for tilgængelighed og kontinuitet af informationsbehandlingsfaciliteter. For spørgsmålet om, hvorvidt din virksomhed selv skal have denne proces, er det først relevant at kontrollere, om du falder ind under direktivet — tjek det via eller om virksomheden selv falder under NIS2-direktivet. Den nederlandske cybersikkerhedslov implementerer denne forpligtelse med ikrafttræden den 15. august 2026; indtil da spørger kunder ofte allerede om det, i forventning om deres egne kædeforpligtelser.