el cliente pregunta sobre nuestro tiempo de recuperación ante una interrupción, qué relleno ahí

El tiempo de recuperación no es una cifra de RTO/RPO sino una descripción del proceso

Lo que generalmente se pregunta aquí no es una única cifra, sino si existe un proceso de continuidad: ¿hay una disposición de emergencia, ha sido probada y con qué rapidez se reanuda el servicio? Por lo tanto, no indiques un tiempo de recuperación concreto si no está documentado en ningún lugar — por ejemplo, en un BCP (business continuity plan) o DRP (disaster recovery plan) con un RTO (recovery time objective) y RPO (recovery point objective) establecidos. Si no está documentado, entonces "no, aún no formalmente establecido" es la respuesta honesta, posiblemente con una aclaración de que existen copias de seguridad pero sin un tiempo de recuperación probado.

Muchos clientes combinan esta pregunta con una pregunta sobre el procedimiento del incidente en sí: ¿existe un proceso para detectar y escalar una interrupción antes de que siquiera pueda comenzar la recuperación? Por lo tanto, verifica también el procedimiento para el tratamiento de incidentes de seguridad, porque sin ese proceso, un tiempo de recuperación de todos modos no se puede garantizar. Si tienes un RTO/RPO definido, la prueba generalmente es el documento BCP/DRP en sí, o un informe de prueba de la última prueba de failover o restauración. Si falta ese informe de prueba, entonces es mejor responder "no" que una suposición no probada.

De dónde surge esto: artículo 21, apartado 2 y Anexo A

El artículo 21, apartado 2, de la Directiva NIS2 menciona explícitamente entre las diez medidas "business continuity, such as backup management and disaster recovery" como parte obligatoria de la política de seguridad de una entidad. ISO/IEC 27001 lo desarrolla en el Anexo A entre las medidas de control para la disponibilidad y continuidad de las instalaciones de procesamiento de información. Para determinar si tu empresa está obligada a tener este proceso, primero es relevante si caes bajo la directiva — verifica esto a través de si la empresa se incluye de forma independiente en la Directiva NIS2. La Ley de Ciberseguridad Holandesa implementa esta obligación, con entrada en vigor el 15 de agosto de 2026; hasta esa fecha, los clientes a menudo ya preguntan por ello, anticipándose a sus propias obligaciones de cadena.