Dotazník se ptá, zda byl plán kontinuity podnikání testován, jak mám odpovědět

Testováno zde znamená: vycvičeno, ne pouze napsáno

Ne, plán, který existuje pouze na papíře a nebyl nikdy vycvičen, nevyhovuje tomu, co se zde požaduje. Otázka týkající se testovaného plánu kontinuity podnikání se týká řízení krizí a obnovy po incidentech, jež je jedním z deseti opatření uvedených v čl. 21 odst. 2 nařízení NIS2. Testování lze provádět na více úrovních: cvičení za stolem, při kterém tým projde scénář, technický test převzetí služeb při selhání, kdy se skutečně přepne na nouzové zařízení, nebo úplná simulace s obnovou ze zálohy. Co si zákazník přesně přeje vidět, obvykle není uvedeno v samotné otázce, ale v připojeném vysvětlení — pokud tam stojí "důkaz poslední zkoušky", samostatný dokument o politice nestačí.

Pokud má podnik plán kontinuity, ale nebyl ještě testován, nejupřímněji lze odpovědět "ne" s vysvětlením o plánovaném datu testu, pokud existuje. Vyplnit "ano" proto, že plán existuje, zatímco nikdo nikdy necvičil nebo se neopravdu nevrátil ze zálohy, je právě ten typ odpovědi, která se při pozdější kontrole nebo incidentu opět vynoří. Toto téma přímo se dotýká zálohách a nouzovém zajištění pro obnovení poskytování služeb — tam je uvedeno, co se považuje za důkaz na straně kontinuity téže otázky.

Odkud to pochází: článek 21 a povinnost ověření

Článek 21 odst. 2 směrnice NIS2 uvádí "kontinuitu podnikání, jako je správa záloh a zotavení po havárii, a řízení krizí" jako jedno z deseti povinných opatření; ISO/IEC 27001 to rozpracovává v opatřeních přílohy A týkajících se řízení kontinuity, přičemž testování a vyhodnocování jsou standardní součástí opatření, nikoli samostatný krok. Zda je testované kontinuitní plánování povinné i pro vlastní podnik podle české Zákona o kybernetické bezpečnosti, závisí na tom, zda podnik sám spadá do oblasti použití — viz zda podnik sám spadá pod směrnici NIS2Samostatně od této povinnosti zákazník často toto požaduje jednoduše proto, že netestovaný plán v praxi představuje předpoklad, nikoli jistotu.