Kas on olemas varukoopiad ja hädaabi teenuse taastamiseks?

Varukoopia ja järjepidevus on eraldi meetmena artiklites 21 lõige 2

Jah, see on üks kümme meetmest artiklist 21 lõige 2 NIS2-direktiivist: punkt (c) nimetab selgesõnaliselt "ärikontinuiteeti, nagu varukoopiate haldus ja katastroofijärgne taastamine, ning kriisijuhtimine". Küsimus varukoopiate ja hädaolukorra ettevalmistuse kohta ei ole seega jääkkategooria või kliendi tõlgendus — see on juhises sõna-sõnalt nii kirjas. Kellel see küsimus on, võib eeldada, et see kuulub samasse küsimustikusse kui üheksa muud meetme: riskipoliitika, intsidentide käsitlemine, tarneahela turvamine, haavatavuste haldus, testimine, kuberturvalisuse hügieen, krüptimine, juurdepääsukontroll ja MFA.

Mis konkreetselt küsitakse, jaotatakse tavaliselt kaheks osaks: kas varukoopiad on olemas (kui sageli, kus hoitakse, millal testiti viimati) ja kas olemas on hädaolukorra ettevalmistus, mis lubab teenuse jätkumist või kiiret taastamist häirete järel — katastroofijärgne taastamisplaan, hädaolukorra pakkumised, taastetajad. Varukoopia taastamise testraporti või järjepidevusplaani koos viimase testikuupäevaga on tugevam tõend kui poliitikadokument ilma testiajalugu — kui see on puudu, siis "ei" või "osaliselt" on sama kasulik vastus kui "jah" — klient soovib teada, kas see on õige, mitte et kõik on roheline. See meetme on sageli seotud turvalisusincidendi käsitlemise menetlusest, sest hädaolukorra ettevalmistus käivitatakse tavaliselt intsidendi tulemusena, ja koos julgeolek­meetmete perioodilise kontrollimise puhul, sest varukoopia ilma testitulemusteta ütleb vähe tegelikust taastetajast.

Kus see täpselt richtlinis asub

Direktiivi (EL) 2022/2555 artikli 21 lõige 2 punkt (c) nimetab "ärikontinuiteeti, nagu varukoopiate haldus ja katastroofijärgne taastamine, ning kriisijuhtimine" kui ühte kümme tehnilisest ja organisatsioonilisest meetmest, mis kuuluvad üksuse turvalisuspoliitikasse. Direktiiv ise ei määra minimaalseid testimissagedusi või taastetajaid — nende sisustamine on üksuse ja vajaduse korral riigi tegevusõiguslike määruste või kliendi sektoriseaduste kohustus.