vragenlijst vraagt naar onze hersteltijd na een cyberincident

Hersteltijd zit onder continuïteit, niet onder incidentrespons

Deze vraag valt onder de bedrijfscontinuïteitsmaatregel van artikel 21 lid 2 NIS2, niet onder de incidentafhandeling. De klant wil weten hoe lang de dienstverlening plat kan liggen na een cyberincident voordat kritieke processen weer draaien — vaak vraagt de lijst dit als RTO (recovery time objective) en soms ook naar de RPO (recovery point objective, hoeveel dataverlies acceptabel is). Dat zijn geen losse getallen die je ter plekke verzint; ze horen uit het continuïteitsplan te komen dat al bestaat, of anders uit het herstelplan bij de back-upvoorziening.

Heb je die waarden niet formeel vastgelegd, dan is "nog te bepalen" hier het juiste antwoord — niet een schatting invullen die je niet kunt onderbouwen. Een RTO opgeven zonder dat er een getest herstelplan achter zit, is een belofte die bij de volgende storing wordt afgerekend. Kijk eerst of er back-ups en een noodvoorziening zijn om de dienstverlening te herstellen; als die er zijn, staat de hersteltijd daar meestal al in of is die met een tabletop-oefening te herleiden. Ontbreekt die voorziening nog, dan is dit een van de tien maatregelen uit artikel 21 lid 2 die nog moet worden ingericht.

Waar dit vandaan komt: artikel 21 lid 2 en Annex A

Artikel 21 lid 2 sub c van NIS2 noemt bedrijfscontinuïteit, waaronder back-upbeheer en noodherstel, expliciet als een van de tien verplichte maatregelen; onder de Cyberbeveiligingswet — de Nederlandse omzetting, die op 15 augustus 2026 in werking treedt — geldt dezelfde indeling voor entiteiten die onder de wet vallen. Wie ISO/IEC 27001 toepast, vindt de bijbehorende beheersmaatregel in Annex A onder de categorie continuïteit van informatiebeveiliging. Let op: de hersteltijd zelf staat in geen van beide bronnen als getal — die norm stelt de organisatie zelf vast op basis van haar eigen risicoanalyse. Is nog niet duidelijk of dit onderwerp voor de eigen onderneming verplicht is, dan is dat te herleiden via de vraag of de onderneming zelf onder de NIS2-richtlijn of de nationale omzetting daarvan valt.