le client demande notre temps de rétablissement après une interruption de service, que remplir là

Le temps de rétablissement n'est pas un chiffre RTO/RPO mais une description de processus

Ce qui est généralement demandé ici, ce n'est pas un seul chiffre mais plutôt l'existence d'un processus de continuité : y a-t-il une provision d'urgence, a-t-elle été testée et à quelle vitesse le service est-il rétabli. N'indiquez donc pas un temps de rétablissement concret si celui-ci n'est nulle part documenté — par exemple dans un BCP (business continuity plan) ou un DRP (disaster recovery plan) avec un RTO (recovery time objective) et un RPO (recovery point objective) définis. Si ce n'est pas le cas, alors « non, pas encore formellement documenté » est la réponse honnête, éventuellement accompagnée d'une explication que des sauvegardes existent mais sans un temps de rétablissement testé.

De nombreux clients combinent cette question avec une question sur la procédure d'incident elle-même : existe-t-il un processus pour détecter et escalader une panne avant même que la restauration puisse commencer. Vérifiez donc aussi la procédure de traitement des incidents de cybersécuritécar sans ce processus, un temps de rétablissement ne peut de toute façon pas être solide. Si vous avez défini un RTO/RPO, la pièce justificative est généralement le document BCP/DRP lui-même, ou un rapport de test du dernier test de basculement ou de restauration. Si ce rapport de test manque, préférez alors « non » à une hypothèse non testée.

D'où cela découle : article 21 paragraphe 2 et Annexe A

L'article 21, paragraphe 2 de la directive NIS2 énumère parmi les dix mesures explicitement « la continuité de l'activité, comme la gestion des sauvegardes et la reprise après sinistre » comme élément obligatoire de la politique de sécurité d'une entité. ISO/IEC 27001 développe cela dans l'Annexe A sous les mesures de contrôle pour la disponibilité et la continuité des installations de traitement de l'information. Pour déterminer si votre propre entreprise est obligée d'avoir ce processus, il est d'abord important de vérifier si vous êtes couvert par la directive — vérifiez cela via ou si l'entreprise elle-même relève de la directive NIS2. La loi néerlandaise sur la cybersécurité transpose cette obligation, avec une date d'entrée en vigueur le 15 août 2026 ; jusqu'à cette date, les clients demandent souvent déjà, en anticipant leurs propres obligations en matière de chaîne.