въпросникът пита дали плана за непрекъснатост на бизнеса е тестван какво трябва да отговоря

Тестван означава тук: упражнен, не само написан

Не, план който съществува само на хартия и никога не е упражняван, не отговаря на това, което се изисква тук. Въпросът за тестван план за непрекъсната дейност на предприятието се отнася до управление на кризи и възстановяване след инциденти, един от десетте мерки от член 21 параграф 2 на NIS2. Тестването може да се извърши на няколко нива: настолна симулация, при която екипът обсъжда сценарий, технически тест на превключване при отказ, при което наистина се преминава към нодал резервен източник, или пълна симулация с възстановяване от резервна копия. Какво точно иска да види клиентът, обикновено не е посочено в самия въпрос, а в съпровождащото обяснение — ако там пише "доказателство за последния тест", единствено документ на политика не е достатъчен.

Ако предприятието има план за непрекъсната дейност, но той още не е тестван, най-честното отговаряне е "не" с обяснение на планираната дата на тест, ако има такава. Посочване на "да", защото планът съществува, докато никой никога не е упражнявал или възстановяването на резервната копия не е наистина извършено, е вид отговор, който при по-късна проверка или инцидент пак излиза наяве. Тази тема директно засяга резервни копия и мерки за аварийно възстановяване на услугата — там пише какво брои като доказателство за страната на непрекъсната дейност на същия въпрос.

Откъде идва това: член 21 и задължението за оценка

Член 21 параграф 2 на директива NIS2 посочва "непрекъсната дейност на предприятието, както управление на резервни копия и аварийно възстановяване, и управление на кризи" като един от десетте задължителни мерки; ISO/IEC 27001 развива това в Приложение A мерки за управление, касаещи управление на непрекъсната дейност, при което тестването и оценяването са стандартна част от мярката, а не отделна стъпка. Дали тестваната политика за непрекъсната дейност е задължителна и за самото предприятие според холандския Закон за кибербезопасност, зависи от това дали самото предприятие попада в обхвата на прилагане — вижте за това дали предприятието самостоятелно попада под NIS2 директивата— там е посочено. Независимо от това задължение, клиент често пита това просто защото неупражняван план на практика е предположение, а не сигурност.