küsimustik küsib meie taastamisaega peale küberjulgeoleku intsidenti

Taastumisaeg kuulub ärikontinuaalsuse alla, mitte juhtumireageerimise alla

See küsimus kuulub ärikontinuaalsuse meetme alla vastavalt NIS2 artikli 21 lõike 2, mitte juhtumite käsitlemise alla. Klient soovib teada, kui kaua võib teenuse osutamine küberohjustuse järel seiskuda enne kui kriitilised protsessid jälle jooksevad — sageli küsitakse loendis seda RTO (recovery time objective) ja mõnikord ka RPO (recovery point objective, kui palju andmekadu on vastuvõetav). Need pole üksteist numbrid, mille sa paigal välja mõtled; need peavad pärinema juba olemasolevast ärikontinuaalsuse plaanist, või muul juhul varukoopia varustamise koos käiva taastamisplaanist.

Kui sa neid väärtusi ametlikult ei ole fikseerinud, siis on "veel määratamata" siin õige vastus — ärgu sisestage hinnangut, mida sa ei saa põhjendada. RTO määramine ilma testitatud taastamiskavata on lubadus, mida järgmise häire ajal kontrollitakse. Kontrolli esmalt, kas on olemas varukoopiad ja noodvaru, et taastada teenuse osutamine; kui need on olemas, siis on taastumisaeg seal enamasti juba olemas või selle saab tabletop-harjutusega välja tuletada. Kui see varustus puudub, siis on see üks kümnest meetmest NIS2 artikli 21 lõike 2 alapunktist, mis tuleb veel kehtestada.

Kust see pärineb: artikkel 21 lõige 2 ja Lisa A

NIS2 artikli 21 lõike 2 alapunkt c nimetab ärikontinuaalsust, sealhulgas varukoopia haldurist ja noodrehtsust, selgesõnaliselt ühe kümne kohustusliku meetmena; Küberjulgeoleku seaduse alusel — Hollandi ülevõtmine, mis jõustub 15. augustil 2026 — kehtib sama jaotus üksuste jaoks, kes jäävad seaduse kohaldamisalale. Kes kasutab ISO/IEC 27001, leiab seotud kontrollimeetme Lisas A informatsioonijulgeoleku kontinuaalsuse kategooria all. Tähelepanu: taastumisaeg ise ei seisa kummaski allikas arvuna — selle normi määrab organisatsioon ise oma riskianalüüsi alusel. Kui pole veel selge, kas see teema oma ettevõtte jaoks on kohustuslik, siis selle saab välja tuletada küsimuse abil, kas ettevõte ise kuulub NIS2-direktiivi või selle riikliku rakendamise alla.