въпросникът пита дали имаме план за непрекъснатост на бизнеса

BCP е имплементацията на член 21, параграф 2, буква в

Планът за приемственост на бизнеса е отговорът на въпроса как услугата остава активна при прекъсване, и това е точно това, което член 21, параграф 2, буква в на NIS2 изисква: управление на непрекъснатостта, със резервни копия, аварийно възстановяване (disaster recovery) и управление на криза. Кой има BCP, обикновено може да попълни "да" — но документът трябва наистина да покрива всички три компонента, не само график за резервно копиране. Копие само на политиката за резервно копиране обикновено е недостатъчно като доказателство; въпросникът пита за плана за възстановяване, не за техниката зад него. Затова проверете дали резервните копия и аварийните мерки, които клиентът ви има предвид отговарят на това, което сте действително установили.

Ако нямаш отделен BCP документ, но имаш работещи резервни копия и неофициално споразумение кой какво прави при прекъсване, тогава "не" с обяснение е честно, отколкото "да" с полусъответстващ документ. Много клиенти на практика приемат ISO 27001 сертификат като замествам доказателство за целия този блок, защото непрекъснатостта е част от Приложение А. Ако това е твоя случай, тогава посочи ISO 27001 сертификатът като общо доказателство вместо да се конструира отделен BCP, който не съществува.

Където това се намира: член 21 параграф 2 подточка в и Приложение A.5.29/5.30

Член 21 параграф 2 на Директива NIS2 посочва десет категории мерки, които са задължителни по директивата за засегнатите от нея юридически лица; подточка в е специално управление на непрекъснатостта, със управление на резервни копия, възстановяване след災害 и управление на кризи като посочени компоненти. В ISO/IEC 27001 това се появява в Приложение A, под контролните мерки за информационна сигурност при прекъсвания (бизнес непрекъснатост) и свързаната с това мярка за резервни копия. Холандския закон за кибербезопасност прилага това задължение в национално законодателство и се очаква да влезе в сила на 15 август 2026 г.; до този момент самата NIS2 е източникът на съдържанието на изискването.