il cliente chiede il nostro tempo di ripristino in caso di interruzione, cosa compilo lì

Il tempo di ripristino non è un numero RTO/RPO ma una descrizione del processo

Quello che di solito viene chiesto qui non è un singolo numero, ma se esiste un processo di continuità: c'è un'infrastruttura di emergenza, è stata testata e quanto velocemente viene ripresa la prestazione? Non inserire quindi un tempo di ripristino concreto se non è formalmente documentato da nessuna parte — ad esempio in un BCP (business continuity plan) o DRP (disaster recovery plan) con un RTO (recovery time objective) e RPO (recovery point objective) definito. Se non è documentato, allora "no, non ancora formalmente definito" è la risposta onesta, eventualmente con una nota che i backup esistono ma non con un tempo di ripristino testato.

Molti clienti combinano questa domanda con una domanda sulla procedura di incidente stesso: c'è un processo per rilevare un'interruzione e dare l'escalation prima che il ripristino possa iniziare. Verifica quindi anche la procedura per la gestione degli incidenti di sicurezza, perché senza quel processo un tempo di ripristino non è comunque vincolante. Se hai definito un RTO/RPO, la prova di solito è il documento BCP/DRP stesso, o un rapporto di test dell'ultimo failover o restore-test. Se manca quel rapporto di test, è meglio dare "no" che un'assunzione non testata.

Da dove deriva: articolo 21 paragrafo 2 e Allegato A

L'articolo 21, paragrafo 2, della direttiva NIS2 cita esplicitamente tra le dieci misure "business continuity, such as backup management and disaster recovery" come parte obbligatoria della politica di sicurezza di un'entità. ISO/IEC 27001 lo sviluppa nell'Annex A tra le misure di controllo per la disponibilità e la continuità delle strutture di elaborazione delle informazioni. Per la domanda se la tua azienda stessa è obbligata ad avere questo processo, è prima rilevante se rientri nella direttiva — verifica questo tramite se l'azienda stessa rientra nella direttiva NIS2. La legge olandese sulla sicurezza informatica attua questo obbligo, con entrata in vigore il 15 agosto 2026; fino a quella data i clienti spesso chiedono comunque, in anticipo dei loro stessi obblighi di catena.