kyselylomake kysyy palautumisajastamme kyberpoikkeaman jälkeen

Palautumisaika kuuluu liiketoiminnan jatkuvuuteen, ei häiriöiden hallintaan

Tämä kysymys koskee liiketoiminnan jatkuvuusvaatimusta artiklan 21 kohdan 2 NIS2 mukaisesti, ei häiriöiden hallintaa. Asiakas haluaa tietää, kuinka kauan palvelun toiminta voi olla keskeytyneenä kyberturvallisuuspoikkeaman jälkeen, ennen kuin kriittiset prosessit jälleen toimivat — usein luettelo kysyy tätä RTO:na (recovery time objective) ja joskus myös RPO:sta (recovery point objective, kuinka paljon tiedon menetys on hyväksyttävää). Nämä eivät ole erillisiä lukuja, jotka keksit paikan päällä; ne on johdettava jo olemassa olevasta jatkuvuussuunnitelmasta tai muuten varmuuskopioinnin palautussuunnitelmasta.

Jos sinulla ei ole näitä arvoja muodollisesti määriteltyä, niin "vielä määritettäväksi" on oikea vastaus — älä täytä arviota, jota et voi perustella. RTO:n ilmoittaminen ilman testattuaa palautussuunnitelmaa on lupaus, joka seuraavan häiriön yhteydessä joudutaan maksamaan. Tarkista ensin, onko varmuuskopioita ja noodin palautuspalvelua palvelun toiminnan palauttamiseksi; jos niitä on, palautumisaika on yleensä jo mainittava niissä tai se voidaan johtaa pöytäharjoituksella. Jos tämä palvelu puuttuu vielä, tämä on yksi artiklan 21 kohdan 2 kymmenestä vaatimuksesta, joka on vielä otettava käyttöön.

Missä tämä tulee: artikla 21 luku 2 ja Liite A

NIS2:n artiklan 21 kohdan 2 alakohdassa c mainitaan liiketoiminnan jatkuvuus, kuten varmuuskopioinnin hallinta ja noodin palautus, nimenomaisesti yhtenä kymmenestä pakollisesta toimenpiteestä; Kyberturvallisuuslain — Alankomaiden täytäntöönpanon, joka astuu voimaan 15. elokuuta 2026 — mukaan sama luokittelu pätee lakiin kuuluviin yhteisöihin. ISO/IEC 27001 -standardia soveltavat löytävät vastaavan hallintotoimenpiteen Liite A:sta tietoturvallisuuden jatkuvuuskategoriassa. Huomio: palautumisajan lukuarvoa ei mainita kummankaan lähteen — organisaatio asettaa tämän standardin itse omaan riskianalyysiin perustuen. Jos ei vielä ole selvää, onko tämä aihe organisaatiolle pakollinen, se voidaan johtaa kysymällä, yritys itse NIS2-direktiivin tai sen kansallisen täytäntöönpanon soveltamisalalla.