En säkerhetskopia räknas endast om du också har testat att du kan återställa från den — inte bara om filen finns där, utan om källkoden, utvecklingsprocessen och relaterade hemligheter återkommer i funktionsdugligt skick efter en incident. Vid mjukvaruutveckling handlar det inte bara om ett arkiv som du kan återställa, utan om en helt kedja: versionskontroll, build-servrar, pipelines, testmiljöer och nycklar och tokens som hör till dessa. Utan en testad återställningsprocedur vet du först under en incident om det fungerar, och det är det sämsta tillfället att få reda på det.
NIS2-ansvaret för minskad risk nämner kontinuitet och återställning uttryckligen som en del av de tio åtgärderna i artikel 21. Riktlinjen föreskriver ingen fast testfrekvens och ingen konkret form — det fylls i per organisation, och den landsspecifika genomförandet kan ge egna betoning. Det som alltid återkommer, i checklistor från köpare och i vad tillsynsmyndigheter anser vara rimligt, är skillnaden mellan att ha en säkerhetskopia och en säkerhetskopia som du har återställt och som du vet att resultatet fungerar.
Vad 'testat' exakt betyder
En test är inte detsamma som en grön bock i säkerhetskopieringsprogramvaran. Testat betyder att någon faktiskt har återställt säkerhetskopian i en separat miljö, verifierat att koden kompileras, att bygget lyckas och att programmet fungerar som förväntat. Först då vet du om återställningsmomentet är användbart och hur lång tid det tar. En säkerhetskopia som skapas men aldrig återställs är i praktiken ett antagande om återställning, inte bevisad återställning.
Vad du specifikt återställer i utvecklingsprocessen
Vid mjukvaruutveckling är källkoden sällan det enda du kan förlora. Tänk på CI/CD-pipelinekonfigurationen, build-skripten, beroenden från externa paket, åtkomstnycklar för registrer och molnmiljöer, och historiken i versionskontrollsystemet själv. En återställningsplan som endast täcker koden men inte pipelinen eller hemligheterna lämnar en organisation fortfarande stilla efter en incident. Det är därför lämpligt att för var och en av dessa komponenter separat bestämma: var finns säkerhetskopian, vem kan återställa den, och har det någonsin övats.
Hur ofta testning är rimlig
Det finns ingen fast tidsperiod i riktlinjen för hur ofta du måste utföra en återställningstest. Det som i praktiken anses rimligt hänger samman med hur ofta miljön förändras: en utvecklingsprocess som veckovis byter pipeline-konfiguration kräver oftare testning än en stabil miljö som förblir oförändrad i månader. Många organisationer väljer en fast kalenderrytm — till exempel varje kvartal — kombinerat med en test efter varje större förändring av infrastrukturen. Viktigare än frekvensen är att det överhuvudtaget har funnits ett tillfälle, och att du kan ange när.
Vad du dokumenterar som bevis
En köpare som skickar en säkerhetskontrolllista frågar sällan efter tekniken bakom din säkerhetskopia. Frågan är vanligtvis enklare: när testades det senast, av vem, och vad var resultatet. För det svaret räcker det att dokumentera tre saker: datumet för senaste återställningstest, vem som utförde testet, och vilken komponent som återställdes — kod, pipeline, hemligheter, eller allt tre. Utan denna dokumentation förblir svaret på checklistans fråga en minnesbild istället för ett bevis, och det är exakt den skillnad som en bedömare på andra sidan bordet vill se.
Sammanhanget med resten av dossén
Säkerhetskopior och återställning står sällan på egen hand. Vem som får utföra återställningsproceduren beror på åtkomstkontrollen till utvecklingskedjan; vad som gick fel under ett avbrott hör till samma incidentregistrering som också används för andra åtgärder. Att sätta upp ett sådant register behöver inte vara ett separat projekt: de tio åtgärderna uppdelat per situation visar var säkerhetskopior och återställning passar in exakt i helheten, och vilka andra åtgärder som direkt påverkas.
Huruvida säkerhetskopior och återställning är en skyldig åtgärd för er organisation beror på om ni själva omfattas av NIS2 eller om ni får denna fråga via en beställare som gör det. i några få frågor se var ni står ger en första indikation med förklaring till varför. Hur vi kommer fram till denna indikation och vilka källor som ligger till grund för det förklaras på sidan om vår arbetsmetod.
En säkerhetskopia som aldrig har återställts är ingen garanti — det är en fråga som väntar på ett svar. Vill ni veta om och hur denna åtgärd är relevant för er organisation, och vad som vidare hör till det? Gör den kostnadsfria snabbkontrollen eller bläddra igenom de vanligaste frågorna om NIS2 för frågor som andra företagare redan ställde.