cliente pergunta nosso tempo de recuperação após uma interrupção, o que preencho ali

Tempo de recuperação não é um número RTO/RPO, mas uma descrição de processo

O que geralmente se pede aqui não é um único número, mas se existe um processo de continuidade: existe uma provisão de emergência, foi testada e com que rapidez o serviço é retomado. Portanto, não preencha um tempo de recuperação concreto se não estiver documentado em nenhum lugar — por exemplo, num BCP (business continuity plan) ou DRP (disaster recovery plan) com um RTO (recovery time objective) e RPO (recovery point objective) estabelecidos. Se isso não estiver documentado, então "não, ainda não formalmente estabelecido" é a resposta honesta, possivelmente com uma explicação de que existem cópias de segurança, mas sem um tempo de recuperação testado.

Muitos clientes combinam esta pergunta com uma pergunta sobre o próprio procedimento de incidente: existe um processo para detectar e escalar uma falha antes mesmo que a recuperação possa começar. Portanto, verifique também o procedimento para o tratamento de incidentes de segurançapois sem esse processo, um tempo de recuperação não é de todo fiável. Se definiu um RTO/RPO, a prova geralmente é o próprio documento BCP/DRP, ou um relatório de teste do último teste de failover ou restore. Se esse relatório de teste estiver em falta, então prefira "não" a uma suposição não testada.

Onde isto decorre: artigo 21.º n.º 2 e Anexo A

O Artigo 21.º, n.º 2 da Diretiva NIS2 menciona explicitamente "business continuity, such as backup management and disaster recovery" entre as dez medidas como parte obrigatória da política de segurança de uma entidade. A ISO/IEC 27001 desenvolve isto no Anexo A sob as medidas de controlo de disponibilidade e continuidade das instalações de processamento de informação. Para determinar se a sua empresa é obrigada a ter este processo, é primeiro relevante verificar se está abrangida pela diretiva — confirme através de se a empresa está ou não sujeita à directiva NIS2. A Lei Holandesa de Cibersegurança transpõe esta obrigação, com entrada em vigor em 15 de agosto de 2026; até essa data, os clientes muitas vezes já a solicitam, antecipando-se aos seus próprios compromissos na cadeia de abastecimento.