¿Hay copias de seguridad y un plan de contingencia para restaurar la prestación de servicios?

La copia de seguridad y la continuidad figuran como medida independiente en el artículo 21, apartado 2

Sí, se trata de una de las diez medidas del artículo 21, apartado 2 de la Directiva NIS2: el apartado (c) menciona explícitamente "continuidad empresarial, como gestión de copias de seguridad y recuperación ante desastres, y gestión de crisis". Por lo tanto, la pregunta sobre copias de seguridad y una provisión de emergencia no es una categoría residual o una interpretación del cliente — aparece literalmente así en la Directiva. Quien recibe esta pregunta puede asumir que forma parte del mismo bloque de preguntas que las otras nueve medidas: política de riesgos, tratamiento de incidentes, seguridad de la cadena de suministro, gestión de vulnerabilidades, pruebas, ciberhigiene, criptografía, control de acceso y MFA.

Lo que se pregunta concretamente suele dividirse en dos partes: ¿existen copias de seguridad (con qué frecuencia, dónde se conservan, cuándo se probaron por última vez) y existe una provisión de emergencia que mantenga la prestación del servicio funcionando o lo restaure rápidamente tras una interrupción — un plan de recuperación ante desastres, instalaciones de derivación, tiempos de recuperación. Un informe de prueba de una restauración de copia de seguridad o un plan de continuidad con fecha de última prueba es prueba más sólida que un documento de política sin historial de pruebas. Si falta esto último, entonces "no" o "parcialmente" es una respuesta igual de útil que "sí" — el cliente principalmente quiere saber si es correcto, no que todo esté en verde. Esta medida a menudo está relacionada con el procedimiento para el tratamiento de incidentes de seguridad, porque una provisión de emergencia generalmente se activa por un incidente, y con las pruebas periódicas de las medidas de seguridad, porque una copia de seguridad sin resultados de pruebas dice poco sobre el tiempo real de recuperación.

Dónde aparece esto exactamente en la Directiva

El artículo 21, apartado 2, letra (c) de la Directiva (UE) 2022/2555 menciona "continuidad empresarial, como gestión de copias de seguridad y recuperación ante desastres, y gestión de crisis" como una de las diez medidas técnicas y organizativas que forman parte de la política de seguridad de una entidad. La Directiva en sí no establece una frecuencia mínima de pruebas ni un tiempo de recuperación — esa definición corresponde a la entidad y, cuando sea aplicable, a la normativa nacional de transposición o a los requisitos sectoriales del cliente.