lista de perguntas questiona nosso tempo de recuperação após um incidente cibernético

O tempo de recuperação situa-se sob continuidade, não sob resposta a incidentes

Esta pergunta enquadra-se na medida de continuidade empresarial do artigo 21.º, n.º 2 da NIS2, não no tratamento de incidentes. O cliente quer saber quanto tempo o serviço pode estar inoperante após um incidente de cibersegurança antes de os processos críticos voltarem a funcionar — frequentemente a lista coloca isto como RTO (recovery time objective) e por vezes também pergunta sobre o RPO (recovery point objective, quanto tempo de perda de dados é aceitável). Estes não são números soltos que inventes no momento; devem provir do plano de continuidade que já existe, ou caso contrário do plano de recuperação associado ao provision de cópia de segurança.

Se não tens esses valores formalmente documentados, então "ainda a determinar" é a resposta correta aqui — não preencher uma estimativa que não consegues fundamentar. Especificar um RTO sem ter um plano de recuperação testado por trás é uma promessa que será exigida na próxima falha. Verifica primeiro se existem cópias de segurança e um provision de emergência para restaurar o serviço; se existem, o tempo de recuperação normalmente já está aí ou pode ser deduzido com um exercício de mesa. Se esta provision ainda falta, então esta é uma das dez medidas do artigo 21.º, n.º 2 que ainda tem de ser implementada.

Origem desta informação: artigo 21.º, n.º 2 e Anexo A

O artigo 21.º, n.º 2, alínea c da NIS2 menciona expressamente continuidade empresarial, incluindo gestão de cópias de segurança e recuperação de emergência, como uma das dez medidas obrigatórias; sob a Lei de Cibersegurança — a transposição holandesa, que entra em vigor em 15 de agosto de 2026 — aplica-se a mesma classificação para entidades abrangidas pela lei. Quem aplica ISO/IEC 27001 encontra a medida de gestão correspondente no Anexo A sob a categoria continuidade da segurança da informação. Atenção: o próprio tempo de recuperação não aparece em nenhuma das duas fontes como um número — essa norma é estabelecida pela própria organização com base na sua própria análise de risco. Se ainda não está claro se este assunto é obrigatório para a própria empresa, isso pode ser determinado através da pergunta sobre se a empresa se enquadra na Diretiva NIS2 ou na sua transposição nacional.