léteznek-e biztonsági mentések és noodellátási terv a szolgáltatás helyreállításához?

A biztonsági másolatok és a folyamatosság a 21. cikk 2. bekezdésében önálló intézkedésként szerepel

Igen, ez a NIS2-irányelv 21. cikk 2. bekezdésének tíz intézkedésének egyike: a (c) pont kifejezetten az "üzletmenet folytonossága, például biztonsági másolatkezelés és katasztrófa-helyreállítás, valamint válságkezelés" kifejezéseket említi. A biztonsági másolatokra és vészhelyzeti rendelkezésekre vonatkozó kérdés tehát nem maradék kategória vagy az ügyfél értelmezése — olyan formában áll a irányelvben. Aki ezt a kérdést kapja, feltételezheti, hogy ugyanabba a kérdéscsoportba tartozik, mint a másik kilenc intézkedés: kockázatpolitika, incidenskezelés, lánc biztonsága, sebezhetőség-kezelés, auditálás, kibernetikus higiénia, kriptográfia, hozzáférés-ellenőrzés és MFA.

Az, amit konkrétan kérdeznek, általában két részre oszlik: vannak-e biztonsági másolatok (milyen gyakran, hol tárolják, mikor tesztelték utoljára) és van-e olyan vészhelyzeti rendelkezés, amely lehetővé teszi a szolgáltatás fenntartását vagy a gyors helyreállítást zavar után — egy katasztrófa-helyreállítási terv, feladatátvételi lehetőségek, helyreállítási idők. A biztonsági másolat helyreállításának tesztjelentése vagy egy helyreállítási tervnek az utolsó tesztdátummal való dokumentálása erősebb bizonyíték, mint egy teszthistória nélküli irányelvdokumentum. Ha ez utóbbi hiányzik, akkor a "nem" vagy "részlegesen" ugyanolyan hasznos válasz, mint az "igen" — az ügyfél főként azt szeretné tudni, hogy helyes-e, nem azt, hogy mindenütt zöld-e a jelzés. Ez az intézkedés gyakran kapcsolódik a biztonsági incidensek kezelésének eljárásához, mivel a vészhelyzeti rendelkezés általában egy incidens miatt aktiválódik, és a a biztonsági intézkedések rendszeres auditálásához, mivel egy teszteredmény nélküli biztonsági másolat keveset mond az aktuális helyreállítási időről.

Hol található ez pontosan az irányelvben

Az (EU) 2022/2555 irányelv 21. cikk 2. bekezdésének (c) pontja az "üzletmenet folytonossága, például biztonsági másolatkezelés és katasztrófa-helyreállítás, valamint válságkezelés" kifejezéseket az entitás biztonsági politikájára vonatkozó tíz technikai és szervezeti intézkedés egyikeként említi. Az irányelv maga nem határozza meg a minimális tesztgyakorisággal vagy helyreállítási idővel kapcsolatban — ennek kitöltése az entitás, ahol alkalmazható, a nemzeti végrehajtási előírások vagy az ügyfél szektoriális követelményei feladata.