Finns det säkerhetskopior och en beredskapsplan för att återställa tjänsterna?

Säkerhetskopiering och kontinuitet utgör en separat åtgärd i artikel 21 punkt 2

Ja, detta är en av de tio åtgärderna i artikel 21 punkt 2 i NIS2-direktivet: punkt (c) nämner uttryckligen "affärskontinuitet, såsom säkerhetskopieringshantering och disaster recovery, samt krishantering". Frågan om säkerhetskopior och en beredskapslösning är alltså inte en restcategori eller kundinterpretation — den finns bokstavligen så i direktivet. Den som får denna fråga kan utgå från att den ingår i samma frageblock som de övriga nio åtgärderna: riskpolicy, incidenthantering, leverantörskedjans säkerhet, sårbarhetshantering, testning, cyberhygien, kryptografi, åtkomstkontroll och MFA.

Vad som konkret efterfrågas delas vanligtvis in i två delar: finns det säkerhetskopior (hur ofta, var de lagras, när de senast testades) och finns det en beredskapslösning som gör att tjänsten kan fortsätta eller återställas snabbt efter en störning — en disaster recovery-plan, redundanslösningar, återställningstider. En testrappport från en säkerhetskopiering-återställning eller en kontinuitetsplan med senast testdatum är starkare bevis än ett policydokument utan testhistorik. Om det senare saknas är "nej" eller "delvis" ett lika användbart svar som "ja" — kunden vill i första hand veta om det stämmer, inte att allt är grönt. Denna åtgärd är ofta kopplad till förfarandet för hantering av säkerhetstillbud, eftersom en beredskapslösning vanligtvis utlöses av ett incident, och till den periodiska testningen av säkerhetskontroller, eftersom en säkerhetskopia utan testresultat säger lite om den faktiska återställningstiden.

Var detta exakt står i direktivet

Artikel 21 punkt 2 bokstav (c) i direktiv (EU) 2022/2555 nämner "affärskontinuitet, såsom säkerhetskopieringshantering och disaster recovery, samt krishantering" som en av de tio tekniska och organisatoriska åtgärder som faller under en enhets säkerhetspolicy. Direktivet själv anger ingen minsta testfrekvens eller återställningstid — denna utformning ligger på enheten och, där det är tillämpligt, på nationell genomförandelagstiftning eller kundens sektorsspecifika krav.