Ali obstajajo varnostne kopije in nujni ukrepi za obnovitev storitve?

Varnostne kopije in kontinuiteta delovanja so samostojni ukrep v členu 21(2)

Ja, to je eden od desetih ukrepov iz člena 21(2) Direktive NIS2: točka (c) izrecno navaja "kontinuiteto poslovanja, kot je upravljanje varnostnih kopij in obnovitev po katastrofi ter upravljanje kriz". Vprašanje o varnostnih kopijah in zasilnem ukrepu torej ni rezidualna kategorija ali interpretacija naročnika — to je dobesedno navedeno v direktivi. Kdor prejme to vprašanje, lahko predpostavlja, da je del iste vrste vprašanj kot ostalih devet ukrepov: politika tveganja, obravnava incidentov, varnost verige, upravljanje ranljivosti, testiranje, kibernetska higijena, kriptografija, nadzor dostopa in MFA.

Konkretno se vprašanja običajno delijo na dva dela: ali obstajajo varnostne kopije (kako pogosto, kje se hranijo, kdaj so bile nazadnje testirane) in ali obstaja zasilni ukrep, ki omogoči nadaljevanje storitve ali hitro obnovitev po motnji — načrt obnovitve po katastrofi, nadomestni ukrepi, čas obnovitve. Testno poročilo o obnovitvi varnostne kopije ali načrt kontinuitete s časom zadnjega testiranja je bolj trdno dokazilo kot politični dokument brez zgodovine testiranja. Če to manjka, je odgovor "ne" ali "delno" prav tako uporaben kot "ja" — naročnik želi predvsem vedeti, ali je to res, ne pa, da je povsod zeleno. Ta ukrep je pogosto povezan z postopkom za obravnavo varnostnih incidentov, ker je zasilni ukrep običajno sproščen s strani incidenta, in z periodičnim testiranjem varnostnih ukrepov, ker varnostna kopija brez rezultatov testiranja malo pove o dejanskem času obnovitve.

Kje je to točno navedeno v direktivi

Člen 21(2)(c) Direktive (EU) 2022/2555 navaja "kontinuiteto poslovanja, kot je upravljanje varnostnih kopij in obnovitev po katastrofi ter upravljanje kriz" kot eden od desetih tehničnih in organizacijskih ukrepov, ki so del varnostne politike subjekta. Direktiva sama ne predpisuje najmanjše pogostnosti testiranja ali časa obnovitve — to je odvisno od subjekta in, kjer je primerno, od nacionalnih izvršilnih predpisov ali posebnih zahtev naročnika.