Onko varmuuskopiot ja hätäpalvelun järjestely palvelun palauttamiseksi?

Varmuuskopiointi ja jatkuvuus ovat erillinen toimenpide artiklan 21 kohdan 2 mukaisesti

Kyllä, tämä on yksi kymmenestä toimenpiteestä, jotka sisältyvät NIS2-direktiivin artiklan 21 kohtaan 2: alakohta (c) mainitsee nimenomaisen "business continuity, such as backup management and disaster recovery, and crisis management". Kysymys varmuuskopioista ja häätövaruksesta ei siis ole jäännösluokka tai asiakkaan tulkinta — se on kirjaimellisesti direktiivissä. Jokainen, joka saa tämän kysymyksen, voi olettaa, että se kuuluu samaan kysymysryhmään kuin yhdeksän muuta toimenpidettä: riskipolitiikka, poikkeamien käsittely, ketjuturvallisuus, haavoittuvuuksien hallinta, testaus, kyberhygienia, salaus, pääsynhallinta ja MFA.

Se, mitä käytännössä pyydetään, jakautuu yleensä kahteen osaan: ovatko saatavilla varmuuskopiot (kuinka usein, missä säilytetään, milloin viimeksi testattu) ja onko olemassa häätövaraus, joka mahdollistaa palvelun jatkamisen tai nopean palautumisen häiriön jälkeen — disaster recovery-suunnitelma, varajärjestelyt, palautumisajat. Varmuuskopion palauttamisen testiraportti tai jatkuvuussuunnitelma, jossa on viimeisin testipäivä, on vahvempi todiste kuin politiikka-asiakirja ilman testauksesta pitävää historiaa. Jos jälkimmäinen puuttuu, niin "ei" tai "osittain" on yhtä käyttökelpoinen vastaus kuin "kyllä" — asiakas haluaa ennen kaikkea tietää, ovatko asiat oikein, ei sitä, että kaikki näyttää vihreältä. Tämä toimenpide liittyy usein turvallisuuspoikkeamien käsittelystä johtuvaan menettelyyn, koska häätövaraus käynnistyy yleensä poikkeaman seurauksena, ja turvallisuustoimenpiteiden säännölliseen testaukseen, koska varmuuskopiointi ilman testituloksia kertoo vähän varsinaisesta palautumisajasta.

Missä tämä sijaitsee direktiivissä

Direktiivin (EU) 2022/2555 artiklan 21 kohdan 2 alakohta (c) mainitsee "business continuity, such as backup management and disaster recovery, and crisis management" yhtenä kymmenestä teknis-organisatorisesta toimenpiteestä, jotka kuuluvat yhteisön turvallisuuspolitiikkaan. Direktiivi itse ei aseta vähimmäistestausfrekvenssiä tai palautumisaikaa — nämä täsmentävät yhteisö ja tarvittaessa kansalliset täytäntöönpanosäädökset tai asiakkaan alasektorin vaatimukset.