Kunde fragt nach unserer Wiederherstellungszeit nach einem Ausfall, was trage ich dort ein

Wiederherstellungszeit ist kein RTO/RPO-Wert, sondern eine Prozessbeschreibung

Worum es hier üblicherweise geht, ist nicht eine einzelne Kennzahl, sondern ob ein Kontinuitätsprozess vorhanden ist: gibt es eine Notfallvorkehrung, wurde diese getestet und wie schnell wird der Dienst wiederaufgenommen. Geben Sie also keine konkrete Wiederherstellungszeit ein, wenn diese nirgendwo dokumentiert ist — beispielsweise in einem BCP (business continuity plan) oder DRP (disaster recovery plan) mit einer definierten RTO (recovery time objective) und RPO (recovery point objective). Existiert das nicht, dann ist "nein, noch nicht formell festgelegt" die ehrliche Antwort, eventuell mit dem Hinweis, dass Sicherungen zwar vorhanden sind, aber ohne getestete Wiederherstellungszeit.

Viele Kunden verbinden diese Frage mit einer Frage zum Incident-Management-Prozess selbst: gibt es ein Verfahren zur Erkennung und Eskalation eines Ausfalls, bevor die Wiederherstellung überhaupt beginnen kann. Überprüfen Sie also auch dem Verfahren zur Behandlung von Sicherheitsvorfällen, denn ohne diesen Prozess ist eine Wiederherstellungszeit ohnehin nicht verlässlich zu machen. Wenn Sie eine RTO/RPO definiert haben, ist das Nachweisdokument üblicherweise das BCP/DRP-Dokument selbst oder ein Testbericht des letzten Failover- oder Restore-Tests. Fehlt dieser Testbericht, geben Sie lieber "nein" an, als eine ungetestete Annahme zu treffen.

Woher dies folgt: Artikel 21 Absatz 2 und Anhang A

Artikel 21 Absatz 2 der NIS2-Richtlinie nennt unter den zehn Maßnahmen ausdrücklich "business continuity, such as backup management and disaster recovery" als verbindlichen Bestandteil der Sicherheitspolitik einer Einheit. ISO/IEC 27001 konkretisiert dies in Annex A unter den Kontrollmaßnahmen für Verfügbarkeit und Kontinuität von Informationsverarbeitungseinrichtungen. Für die Frage, ob dein Unternehmen selbst verpflichtet ist, diesen Prozess zu haben, ist zunächst relevant, ob du unter die Richtlinie fällst — überprüfe das über oder ob das Unternehmen selbst unter die NIS2-Richtlinie fällt."Das niederländische Cybersicherheitsgesetz setzt diese Verpflichtung um, mit Inkrafttreten am 15. August 2026; bis zu diesem Datum fragen Kunden danach oft bereits, vorausgreifend auf ihre eigenen Kettenverplichtungen.