Existujú zálohy a núdzové opatrenia na obnovenie poskytovania služieb?

Zálohy a kontinuita sa nachádzajú ako samostatné opatrenie v článku 21 odsek 2

Áno, toto je jedno z desiatich opatrení z článku 21 odsek 2 Smernice NIS2: bod (c) výslovne uvádza "kontinuitu podnikania, ako je správa záloh a obnova po katastrofe, a riadenie kríz". Otázka týkajúca sa záloh a núdzového opatrenia teda nie je reziduálna kategória alebo interpretácia zákazníka — nachádza sa v smernici doslova. Kto dostane túto otázku, môže predpokladať, že patrí k tej istej skupine otázok ako ostatných deväť opatrení: politika rizika, spracovanie incidentov, bezpečnosť reťazca, riadenie zraniteľností, testovanie, kybernetická hygiena, kryptografia, riadenie prístupu a MFA.

To, čo sa konkrétne pýta, sa zvyčajne delí na dve časti: existujú zálohy (ako často, kde sa uchovávajú, kedy boli naposledy testované) a existuje núdzové opatrenie, ktoré umožňuje pokračovanie v poskytovaní služby alebo jej rýchle obnovenie po výpadku — plán obnovy po katastrofe, záložné zariadenia, časy obnovenia. Testovacia správa o obnovení zálohy alebo plán kontinuity s dátumom posledného testovania je silnejším dôkazom ako politický dokument bez histórie testov. Ak to posledné chýba, potom je "nie" alebo "čiastočne" rovnako užitočná odpoveď ako "áno" — zákazník chce hlavne vedieť, či je to pravda, nie aby všetko bolo zelené. Toto opatrenie často súvisí s postupom na spracovanie bezpečnostných incidentov, pretože núdzové opatrenie sa zvyčajne spúšťa incidentom, a s periodickým testovaním bezpečnostných opatrení, pretože záloha bez výsledkov testov hovorí málo o skutočnom čase obnovenia.

Kde je to presne uvedené v smernici

Článok 21 odsek 2 podľa bodu (c) Smernice (EÚ) 2022/2555 uvádza "kontinuitu podnikania, ako je správa záloh a obnova po katastrofe, a riadenie kríz" ako jedno z desiatich technických a organizačných opatrení, ktoré patria pod bezpečnostnú politiku subjektu. Samotná smernica neudáva minimálnu frekvenciu testovania alebo čas obnovenia — tieto určuje subjekt a, ak je to relevantné, národné vykonávacie predpisy alebo sektorové požiadavky zákazníka.