lista kontrolna pyta o nasz czas przywrócenia po incydencie cybernetycznym

Czas przywrócenia znajduje się pod ciągłością, a nie pod reagowaniem na incydenty

To pytanie podlega mierze zapewnienia ciągłości biznesu z artykułu 21 ust. 2 NIS2, a nie postępowaniu z incydentami. Klient chce wiedzieć, jak długo świadczenie usług może być wznowione po cyberincydencie, zanim procesy krytyczne będą działać ponownie — lista często pyta o to jako RTO (recovery time objective), a czasami również o RPO (recovery point objective, jaka strata danych jest akceptowalna). Nie są to liczby wymyślone na poczekaniu; powinny pochodzić z już istniejącego planu ciągłości, a jeśli go nie ma, z planu odbudowy związanego z zabezpieczeniem kopii zapasowych.

Jeśli nie ustaliłeś tych wartości formalnie, wówczas "do określenia" jest tutaj prawidłową odpowiedzią — nie wypełniaj szacunku, którego nie potrafisz uzasadnić. Podanie RTO bez przetestowanego planu przywracania jest obietnicą, którą będzie się egzekwować przy następnej awarii. Najpierw sprawdź, czy istnieją kopie zapasowe i postanowienia awaryjne do przywracania świadczenia usług; jeśli istnieją, czas przywrócenia jest zwykle tam już określony lub można go ustalić na podstawie ćwiczenia stołowego. Jeśli takie rozwiązanie nie istnieje, jest to jedna z dziesięciu środków z art. 21 ust. 2, którą należy jeszcze wdrożyć.

Skąd to pochodzi: artykuł 21 ust. 2 i Załącznik A

Art. 21 ust. 2 lit. c dyrektywy NIS2 wyraźnie wymienia ciągłość działania, w tym zarządzanie kopiami zapasowymi i odzyskiwanie awaryjne, jako jeden z dziesięciu obowiązkowych środków; w zgodzie z ustawą o cyberbezpieczeństwie — polskim wdrożeniem, które wchodzi w życie 15 sierpnia 2026 — obowiązuje taki sam podział dla podmiotów, na które ustawa się stosuje. W przypadku zastosowania ISO/IEC 27001 odpowiedni środek kontrolny znajduje się w Aneksie A w kategorii ciągłości bezpieczeństwa informacji. Uwaga: sam czas przywrócenia nie jest określony jako liczba w żadnym z tych źródeł — taką normę organizacja ustala sama na podstawie własnej analizy ryzyka. Jeśli nie jest jeszcze jasne, czy ten temat jest obowiązkowy dla danego przedsiębiorstwa, można to ustalić na podstawie pytania, czy przedsiębiorstwo podlega dyrektywnie NIS2 lub jej krajowej implementacji.