clientul întreabă care este timpul nostru de recuperare după o defecțiune, ce completez acolo

Timpul de restabilire nu este un număr RTO/RPO, ci o descriere de proces

Ceea ce se întreabă de obicei aici nu este un singur cifr, ci dacă există un proces de continuitate: există o soluție de urgență, a fost testată și cât de repede este reluată serviciul. Prin urmare, nu completa un timp de restabilire concret dacă acesta nu este stabilit nicăieri — de exemplu într-un BCP (business continuity plan) sau DRP (disaster recovery plan) cu un RTO (recovery time objective) și RPO (recovery point objective) stabilite. Dacă nu este acolo, atunci "nu, nu este încă formalizat" este răspunsul onest, eventual cu o notă că copiile de rezervă există, dar fără un timp de restabilire testat.

Mulți clienți combină această întrebare cu o întrebare despre procedura de incident în sine: există un proces pentru a detecta și a escala o defecțiune înainte ca restabilirea să poată înțelege. Verifică deci și procedura de gestionare a incidentelor de securitate, pentru că fără acel proces un timp de restabilire nu poate fi în niciun caz garantat. Dacă ți-ai definit RTO/RPO, dovada de obicei este documentul BCP/DRP în sine, sau un raport de test din cel mai recent test de failover sau restore. Dacă lipsește acel raport de test, preferi să spui "nu" decât o presupunere netestate.

De unde rezultă aceasta: articolul 21 alineat 2 și Anexa A

Articolul 21 alineatul 2 al Directivei NIS2 enumeră explicit printre cele zece măsuri "continuitatea activității, cum ar fi gestionarea copiilor de rezervă și recuperarea din dezastre" ca parte obligatorie a politicii de securitate a unei entități. ISO/IEC 27001 o detaliază în Anexa A sub măsurile de control pentru disponibilitatea și continuitatea facilităților de prelucrare a informațiilor. Pentru a determina dacă întreprinderea dumneavoastră este obligată în sine să aibă acest proces, este mai întâi relevant să verificați dacă sunteți în sfera de aplicare a directivei — verificați acest lucru prin dacă întreprinderea se încadrează sub Directiva NIS2Legea olandeză de securitate cibernetică transpune această obligație, cu intrarea în vigoare la 15 august 2026; până la acea dată, clienții o solicită adesea deja, anticipând propriile obligații de lanț de aprovizionare.