spørgeskemaet spørger om vores genoprettelsestid efter en cyberincident

Genoprettelsestid hører under forretningskontinuitet, ikke under hændelsesrespons

Dette spørgsmål falder under foranstaltningen for forretningskontinuitet i artikel 21, stk. 2, NIS2, ikke under hændelseshåndtering. Kunden ønsker at vide, hvor længe tjenesteyderingen kan være nede efter en cyberangreb, før kritiske processer kører igen — listen spørger ofte om dette som RTO (recovery time objective), og nogle gange også om RPO (recovery point objective, hvor meget datatab der er acceptabelt). Det er ikke tilfældige tal, som du finder på stedet; de skal komme fra kontinuitetsplanen, som allerede findes, eller fra genoprettelsesplanen for backup-forsyningen.

Hvis du ikke har formelt dokumenteret disse værdier, er "endnu ikke fastlagt" det rigtige svar her — udfyld ikke et estimat, som du ikke kan underbygge. At angive en RTO uden at have en testet genoprettelsesplan bag ved, er et løfte, der vil blive gjort gældende ved næste driftsforstyrrrelse. Kontroller først, om der findes backups og nødprovision for at gendanne tjenesteyderingen; hvis de findes, er genoprettelsestiden normalt allerede dokumenteret der eller kan udledes gennem en tabletop-øvelse. Hvis denne foranstaltning mangler, er det en af de ti foranstaltninger fra artikel 21, stk. 2, der stadig skal etableres.

Hvor dette kommer fra: artikel 21, stk. 2 og Bilag A

Artikel 21, stk. 2, litra c, i NIS2 nævner forretningskontinuitet, herunder backupforvaltning og nødherstel, eksplicit som en af de ti obligatoriske foranstaltninger; under Cybersikkerhedsloven — den danske gennemførelse, som træder i kraft den 15. august 2026 — gælder samme opdeling for enheder, der falder ind under loven. Hvis du anvender ISO/IEC 27001, finder du den tilsvarende kontrolforanstaltning i Bilag A under kategorien kontinuitet af informationssikkerhed. Bemærk: selve genoprettelsestiden er ikke angivet som et tal i nogen af disse kilder — organisationen fastlægger selv denne norm på grundlag af sin egen risikoanalyse. Hvis det endnu ikke er klart, om dette emne er obligatorisk for organisationen selv, kan det udledes gennem spørgsmålet om virksomheden selv falder ind under NIS2-direktivet eller dets nationale implementering.