Postoje li sigurnosne kopije i havarijsko plan za vraćanje u pogon usluge?

Sigurnosne kopije i kontinuitet nalaze se kao odvojena mjera u članku 21. stavak 2

Da, ovo je jedna od deset mjera iz članka 21. stavak 2. NIS2 direktive: točka (c) izričito navodi "kontinuitet poslovanja, kao što su upravljanje sigurnosnim kopijama i oporavak od katastrofe, te upravljanje krizama". Pitanje o sigurnosnim kopijama i hitnoj zaštiti nije dakle ostatna kategorija ili tumačenje klijenta — to doslovno tako stoji u direktivi. Tko dobije ovo pitanje, može biti siguran da pripada istom bloku pitanja kao i ostalih devet mjera: politika rizika, rukovanje incidentima, sigurnost u lancu opskrbe, upravljanje ranjivostima, testiranje, cyber higijena, kriptografija, upravljanje pristupom i MFA.

Ono što se konkretno traži obično se dijeli na dva dijela: postoje li sigurnosne kopije (koliko često, gdje se čuvaju, kada su zadnje testirane) i postoji li hitna zaštita koja omogućuje kontinuitet pružanja usluge ili brz oporavak nakon prekida — plan oporavka od katastrofe, backup stanice, vremena oporavka. Izvještaj o testu sigurnosne kopije ili plan kontinuiteta s datumom zadnjeg testa bolji je dokaz nego dokument s politikom bez istorije testiranja. Ako ovo nedostaje, tada je "ne" ili "dijelomično" jednako koristan odgovor kao "da" — klijent želi prije svega znati je li to točno, ne da je svugdje zeleno. Ova mjera često je povezana s postupkom rukovanja incidentima sigurnosti, jer se hitna zaštita obično aktivira kada dođe do incidenta, i s povremenim testiranjem mjera sigurnosti, jer sigurnosna kopija bez rezultata testiranja malo govori o stvarnom vremenu oporavka.

Gdje se ovo točno nalazi u direktivi

Članak 21. stavak 2. točka (c) Direktive (EU) 2022/2555 navodi "kontinuitet poslovanja, kao što su upravljanje sigurnosnim kopijama i oporavak od katastrofe, te upravljanje krizama" kao jednu od deset tehničkih i organizacijskih mjera koje spadaju pod politiku sigurnosti subjekta. Sama direktiva ne propisuje minimalnu frekvenciju testiranja ili vrijeme oporavka — to prepušteno je samom subjektu i, gdje je primjenjivo, nacionalnom zakonodavstvu ili sektoralnim zahtjevima klijenta.