Findes der sikkerhedskopier og en nødordning for at genoprette tjenesten?

Backup og kontinuitet står som en separat foranstaltning i artikel 21, stk. 2

Ja, dette er en af de ti foranstaltninger i artikel 21, stk. 2 i NIS2-direktivet: punkt (c) nævner eksplicit "business continuity, such as backup management and disaster recovery, and crisis management". Spørgsmålet om backups og en nødforsyning er således ikke en restkategori eller kundernes fortolkning — det står ordret sådan i direktivet. Den, der modtager dette spørgsmål, kan forudsætte, at det hører til samme spørgeskemablock som de øvrige ni foranstaltninger: risikopolitik, hændelseshåndtering, kædesikkerhed, håndtering af sårbarheder, test, cyberhygiejne, kryptografi, adgangskontrol og MFA.

Hvad der konkret spørges om, falder normalt i to dele: findes der backups (hvor ofte, hvor opbevares, hvornår blev de sidst testet), og findes der en nødforsyning, der lader tjenesten fortsætte eller gendanner den hurtigt efter en forstyrrelse — en disaster recovery-plan, reserve-faciliteter, genoprettelsestider. En testrapport for en backup-restore eller en kontinuitetsplan med seneste testdato er stærkere bevis end et politikdokument uden testhistorie. Hvis sidstnævnte mangler, er "nej" eller "delvist" et lige så brugbart svar som "ja" — kunden ønsker primært at vide, om det er korrekt, ikke at alt er grønt. Denne foranstaltning er ofte relateret til proceduren for håndtering af sikkerhedshændelser, fordi en nødforsyning normalt udløses af en hændelse, og til den periodiske test af sikkerhedsforanstaltninger, fordi en backup uden testresultater siger lidt om den faktiske genoprettelsestid.

Hvor dette præcist står i direktivet

Artikel 21, stk. 2, litra c) i direktiv (EU) 2022/2555 nævner "business continuity, such as backup management and disaster recovery, and crisis management" som en af de ti tekniske og organisatoriske foranstaltninger, der er en del af en enheds sikkerhedspolitik. Direktivet selv angiver ingen minimumsfrekvens for test eller genoprettelsestid — denne udformning ligger hos enheden og, hvor relevant, hos nationale implementeringsbestemmelser eller kundens sektorspecifikke krav.