Dotazník se ptá, zda máme plán kontinuity podnikání

BCP je naplnění článku 21 odstavec 2 písmenem c

Plán kontinuity provozu je odpověď na otázku, jak služba zůstane v chodu při výpadku, a to je přesně to, co vyžaduje článek 21 odstavec 2 písmenem c NIS2: řízení kontinuity se zálohami, zotavením z havárie (disaster recovery) a krizovým řízením. Kdo má BCP, obvykle může vyplnit "ano" — ale dokument musí skutečně pokrývat všechny tři komponenty, ne jen plán zálohování. Samotná kopie zásad zálohování obvykle nestačí jako důkazní materiál; seznam otázek se ptá na plán obnovy, ne na techniku za tím. Prověřte proto, zda zálohy a nouzová opatření, která váš zákazník má na mysli odpovídají tomu, co jste skutečně zdokumentovali.

Nemáte-li samostatný dokument BCP, ale máte-li fungující zálohy a neformální dohodu o tom, kdo co dělá při výpadku, pak je "ne" s vysvětlením poctivější než "ano" s částečně vyhovujícím dokumentem. V praxi akceptují mnozí zákazníci certifikát ISO 27001 jako náhradní důkaz pro celý tento blok, protože kontinuita je součástí Přílohy A. Je to váš případ, odkazujte pak na certifikát ISO 27001 jako obecný důkaz místo vytváření samostatného BCP, který neexistuje.

Kde se to nachází: článek 21 odst. 2 písm. c) a Příloha A.5.29/5.30

Článek 21 odst. 2 směrnice NIS2 jmenuje deset kategorií opatření, která jsou v rámci směrnice povinná pro entity, kterých se týkají; písm. c) se konkrétně týká řízení kontinuity činnosti se správou záloh, zotavením po havárii a řízením krizí jako uvedenými součástmi. V ISO/IEC 27001 se to odráží v Příloze A, v rámci kontrolních opatření pro bezpečnost informací při poruchách (kontinuita činnosti) a související záložní opatření. Zákon České republiky o kybernetické bezpečnosti tuto povinnost implementuje do národní legislativy a má podle očekávání vstoupit v platnost 15. srpna 2026; do tohoto data je samotná směrnice NIS2 zdrojem požadavků na obsah.