praca
kopie zapasowe i odtwarzanie
Dla właściciela IT i prezesa: kopia zapasowa liczy się dopiero po tym, jak ją odtworzysz. Jedno odtworzenie z pomiarem czasu mówi więcej niż plan i zostawia zapis, że zabezpieczenie działa.
co to znaczy w praktyce
Z całej tej pracy ta ma najkrótszą drogę od lektury do prawdziwego dowodu. Jeden test odtworzenia jest na tyle mały, że zrobisz go w tym miesiącu. Jego zapis pokazuje, że zabezpieczenie działa, czego sam dokument polityki nie pokaże. Przy okazji dowiesz się, ile trwa odtworzenie, zanim będzie Ci to potrzebne.
Dla zarządu pytanie jest proste: jak długo możemy nie działać i czy ktoś udowodnił, że w tym czasie wrócimy?
podstawa NIS2 art. 21(2)(c); RODO art. 32(1)(c)
co zdecydować
- Jak długo może nie działać każda usługa i ile danych możecie stracić?prezes zarządu, z operacjami
- Co wraca jako pierwsze?prezes zarządu
- Kto prowadzi kryzys, gdy poczta nie działa?prezes zarządu
podstawa NIS2 art. 21(2)(c); DORA art. 11(1). Kto decyduje, to praktyka.
kto decyduje, gdy systemy nie działają
podstawa praktyka
co zbudować
- Zapisz limity przestoju i utraty danych dla pięciu głównych usług.
- Odtwórz jeden prawdziwy system z kopii do czystego środowiska. Zmierz czas i zapisz, czego brakowało.
- Trzymaj jedną kopię poza zasięgiem zwykłych kont administratorów, potem sprawdź, czy jedno skradzione konto administratora mogłoby usunąć wszystkie kopie.
- Napisz krótki plan kryzysowy: kto decyduje, jak się komunikujecie, gdy poczta nie działa, kto mówi do klientów.
- Wydrukuj listę kontaktów i trzymaj egzemplarz poza swoimi systemami.
- Zachowaj zapisy z testów. W Polsce KSC wymaga wdrożenia, udokumentowania, testowania i utrzymywania planów ciągłości działania i odtwarzania.
podstawa NIS2 art. 21(2)(c); DORA art. 12(1); RODO art. 32(1)(c); KSC art. 8(1)(2)(f); IR 2024/2690 załącznik 4.1, 4.2, 4.3 jako punkt odniesienia
kopia zapasowa się liczy, gdy z niej odtworzysz
- 1kopiazakres i częstotliwość zapisane
- 2odtworzeniejeden prawdziwy system, w czystym miejscu
- 3pomiar czasuwzględem tego, co firma uznała za znośne
- 4zapis lukczego brakowało, kto to naprawi
- 5naprawai zmiana planu
znowu według harmonogramu, na innym systemie
podstawa NIS2 art. 21(2)(c); DORA art. 12(1); RODO art. 32(1)(c); KSC art. 8(1)(2)(f)
dowody, które zostają
| co możesz pokazać | kto jest właścicielem | odświeżanie |
|---|---|---|
| zapis testu odtworzenia: data, system, czas, braki | szef IT | co najmniej raz w roku |
| plan ciągłości działania z celami odtwarzania | kierownik operacji | co roku |
| polityka kopii zapasowych: zakres, częstotliwość, retencja | szef IT | co roku |
| zapis ćwiczenia kryzysowego | prezes zarządu | co roku |
podstawa DORA art. 12(1); KSC art. 8(1)(2)(f). Częstotliwości odświeżania to praktyka.
gdzie to się psuje
kopie nigdy nieodtwarzane
Zadanie raportuje sukces od lat i nikt nie sprawdził drogi w przeciwną stronę.
jedno konto kasuje wszystko
Jeśli to samo konto administratora sięga do produkcji i do kopii, jedno skradzione hasło sięga do obu.
plan leży w systemie, który nie działa
Trzymaj papierowy egzemplarz listy kontaktów i pierwszych kroków.
IT samo ustala priorytety
To, co wraca jako pierwsze, jest decyzją biznesową. Podejmij ją, zanim przyjdzie dzień, w którym ma znaczenie.
podstawa praktyka
co przepisy zostawiają otwarte
- Jak często testować i jaki czas odtworzenia jest akceptowalny. NIS2 nie podaje liczb, więc ustal własne na podstawie potrzeb biznesu i zapisz je.
- Jak szczegółowe wymogi DORA stosują się przy Twojej wielkości. Obowiązuje proporcjonalność, a Twój nadzorca będzie miał na ten temat zdanie.
podstawa NIS2 art. 21(2)(c); DORA art. 4(1)
sprawdź sam
co mówi każdy tekst, dla osoby sprawdzającej tę stronę
| tekst | mówi |
|---|---|
| NIS2 art. 21(2)(c) | Ciągłość działania, taka jak zarządzanie kopiami zapasowymi i odtwarzanie po awarii, oraz zarządzanie kryzysowe. |
| IR 2024/2690 załącznik 4.1 | Wymienieni dostawcy usług cyfrowych: plan ciągłości i odtwarzania. Załącznik 4.2 dotyczy kopii zapasowych, załącznik 4.3 zarządzania kryzysowego. |
| DORA art. 11(1) | Polityka ciągłości działania w zakresie ICT. |
| DORA art. 12(1) | Udokumentowane polityki kopii zapasowych, z zakresem i minimalną częstotliwością, oraz procedury odtwarzania. |
| RODO art. 32(1)(c) | Zdolność do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich. |
| KSC art. 8(1)(2)(f) | Polska: wdrożenie, dokumentowanie, testowanie i utrzymywanie planów ciągłości działania i odtwarzania. |
- Dyrektywa (UE) 2022/2555 (NIS2) (EUR-Lex)
- Rozporządzenie wykonawcze Komisji (UE) 2024/2690 (EUR-Lex)
- Rozporządzenie (UE) 2022/2554 (DORA) (EUR-Lex)
- Rozporządzenie (UE) 2016/679 (RODO) (EUR-Lex)
- Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa, Dz.U. 2026 poz. 252 (Dziennik Ustaw)
twój następny krok
Wybierz jeden system i odtwórz go w tym miesiącu, ze stoperem.