klant vraagt naar onze hersteltijd na een storing, wat vul ik daar in

Hersteltijd is geen RTO/RPO-getal maar een procesbeschrijving

Wat hier meestal wordt gevraagd, is niet één cijfer maar of er een continuïteitsproces bestaat: is er een noodvoorziening, is die getest en hoe snel wordt de dienst hervat. Vul dus geen concrete hersteltijd in als die nergens is vastgelegd — bijvoorbeeld in een BCP (business continuity plan) of DRP (disaster recovery plan) met een vastgestelde RTO (recovery time objective) en RPO (recovery point objective). Staat dat er niet, dan is "nee, nog niet formeel vastgelegd" het eerlijke antwoord, met eventueel een toelichting dat back-ups wel bestaan maar niet met een geteste hersteltijd.

Veel klanten combineren deze vraag met een vraag over de incidentprocedure zelf: is er een proces om een storing te detecteren en te escaleren voordat herstel überhaupt kan beginnen. Check dus ook de procedure voor het behandelen van beveiligingsincidenten, want zonder dat proces is een hersteltijd sowieso niet hard te maken. Heb je wel een RTO/RPO gedefinieerd, dan is het bewijsstuk meestal het BCP/DRP-document zelf, of een testrapport van de laatste failover- of restore-test. Ontbreekt dat testrapport, geef dan liever "nee" dan een ongeteste aanname.

Waar dit uit volgt: artikel 21 lid 2 en Annex A

Artikel 21 lid 2 van de NIS2-richtlijn noemt onder de tien maatregelen expliciet "business continuity, such as backup management and disaster recovery" als verplicht onderdeel van het beveiligingsbeleid van een entiteit. ISO/IEC 27001 werkt dit uit in Annex A onder de beheersmaatregelen voor beschikbaarheid en continuïteit van informatieverwerkende faciliteiten. Voor de vraag of jouw onderneming zelf verplicht is dit proces te hebben, is eerst relevant of je onder de richtlijn valt — check dat via of de onderneming zelf onder de NIS2-richtlijn valt. De Nederlandse Cyberbeveiligingswet zet deze verplichting om, met inwerkingtreding op 15 augustus 2026; tot die datum vragen klanten er vaak al wel naar, vooruitlopend op hun eigen ketenverplichtingen.