ügyfelem azt kérdezi, mekkora a helyreállítási időnk egy üzemszünet után, mit írjak oda

A helyreállítási idő nem RTO/RPO-szám, hanem egy folyamatleírás

Amit itt általában kérdeznek, az nem egyetlen szám, hanem az, hogy létezik-e egy üzletmenet-folytonossági folyamat: van-e vészhelyzeti intézmény, azt tesztelték-e, és milyen gyorsan áll vissza a szolgáltatás. Ne adjon meg konkrét helyreállítási időt tehát, ha azt sehol nem rögzítették — például egy BCP (business continuity plan) vagy DRP (disaster recovery plan) dokumentumban egy meghatározott RTO (recovery time objective) és RPO (recovery point objective) értékkel. Ha ez nem szerepel, akkor az "nem, még nem hivatalosan rögzítve" a tiszta válasz, esetleg azzal a megjegyzéssel, hogy biztonsági másolatok ugyan léteznek, de nincs tesztelt helyreállítási idejük.

Számos ügyfél ezt a kérdést összekapcsolja az incidenskezelési folyamatra vonatkozó kérdéssel: van-e egy folyamat a meghibásodás észlelésére és eszkalálására, mielőtt maga a helyreállítás elkezdődhetne. Ellenőrizze tehát biztonsági incidensek kezelésének eljárásáhozis, mivel meghatározott helyreállítási idő nélkül ez az érték nem lehet hiteles. Ha meghatározott RTO/RPO értékkel rendelkezik, a bizonyíték általában maga a BCP/DRP-dokumentum vagy a legutóbbi failover- vagy restore-teszt jelentése. Ha ez a tesztjelentés hiányzik, akkor inkább adjon "nem" választ, mintsem egy nem tesztelt feltételezésre hagyatkozzon.

Ennek alapja: 21. cikk 2. bekezdés és A melléklet

A NIS2-irányelv 21. cikkének (2) bekezdése a tíz intézmény közül explicit módon említi az "üzletmenet-folytonosságot, például a biztonsági másolatok kezelésére és a katasztrófa helyreállítására" vonatkozó kötelezettséget egy entitás biztonsági politikájának kötelező részeként. Az ISO/IEC 27001 ezt az A mellékletben dolgozza ki az információs feldolgozó létesítmények rendelkezésre állására és folytonosságára vonatkozó kontrollintézkedések között. Annak megállapításához, hogy saját vállalkozása alanya-e ennek a folyamatnak, először fontos annak meghatározása, hogy az irányelv alá tartozik-e — ezt a vagy a vállalkozás maga az NIS2-irányelv hatálya alá tartozik-esegítségével ellenőrizze. A holland Cyberbevédelmi törvény ezt az előírást szabályozza, mely 2026. augusztus 15-én lép hatályba; addig az ügyfelek gyakran már előre rákérdeznek, saját ketenkötelezettségeik előtt járva.