enkäten frågar efter vår återställningstid efter en cyberincident

Återställningstid omfattas av kontinuitet, inte av incidenthantering

Denna fråga faller under åtgärden för affärskontinuitet i artikel 21 stycke 2 NIS2, inte under incidenthantering. Kunden vill veta hur länge tjänsten kan vara nere efter en cyberincident innan kritiska processer är i gång igen — listan efterfrågar ofta detta som RTO (recovery time objective) och ibland också RPO (recovery point objective, hur mycket dataverlust som är acceptabel). Det är inte lösa siffror som du hittar på utan grund; de bör komma från den kontinuitetsplan som redan finns, eller från återställningsplanen för säkerhetskopieringsåtgärden.

Om du inte har formellt fastställt dessa värden är "ännu ej bestämt" det korrekta svaret här — fyll inte i en uppskattning som du inte kan underbygga. Att ange en RTO utan en testad återställningsplan bakom sig är ett löfte som kommer att granskas vid nästa avbrott. Kontrollera först om det finns säkerhetskopior och en nödberedskap för att återställa tjänsten; om de finns är återställningstiden vanligtvis redan angiven eller kan härledas genom en bordsspelsövning. Om denna åtgärd ännu saknas är detta en av de tio åtgärderna i artikel 21 stycke 2 som ännu måste genomföras.

Varifrån detta kommer: artikel 21 punkt 2 och bilaga A

Artikel 21 stycke 2 punkt c i NIS2 nämner affärskontinuitet, inklusive säkerhetskopieringsstyrning och katastrofberedskap, uttryckligt som en av tio obligatoriska åtgärder; enligt cybersäkerhetslag — den nederländska genomförandet som träder i kraft den 15 augusti 2026 — gäller samma struktur för enheter som omfattas av lagen. Den som tillämpar ISO/IEC 27001 finner motsvarande kontrollåtgärd i Annex A under kategorin kontinuitet för informationssäkerhet. Observera: återställningstiden i sig är inte angiven som ett tal i någondera källan — organisationen fastställer själv denna standard utifrån sin egen riskanalys. Om det ännu inte är klart om detta ämne är obligatoriskt för den egna verksamheten kan detta härledas via frågan om företaget själv omfattas av NIS2-direktivet eller dess nationella genomförande.