Má podnik plán pro pokračování podnikatelské činnosti při závažné poruše?

Kontinuita podnikání jako samostatné opatření v rámci článku 21 odst. 2

Tato otázka se týká řízení kontinuity podnikání: má podnik plán na pokračování podnikatelské činnosti v případě, že incident narušuje normální chod věcí. Jedná se o jedno z deseti opatření, která zmiňuje článek 21 odst. 2 směrnice NIS2, vedle analýzy rizik, řešení incidentů a politiky přístupu. Text tohoto odstavce explicitně jmenuje správu záloh, zotavení po havárii a krizové řízení jako součásti tohoto tématu — nejde tedy pouze o písemný plán, ale o soubor provázaných opatření k obnově.

Zcela kladná odpověď "ano" předpokládá více než pouze prohlášení o úmyslu. Tazatelé obvykle očekávají, že existuje plán kontinuity, že byl testován nebo procvičen, a že obsahuje konkrétní prvky: lokaci nebo zařízení pro náhradní provoz, strategii zálohování s body obnovení a krizovou organizaci s definovanými rolemi a eskalačními postupy. Pokud některá z těchto součástí chybí, je odpověď "ještě se určuje" nebo "částečně" často poctivější než plné "ano" — zvláště proto, že mnoho portálů odběratelů na to navazuje s žádostí o nahrání samotného plánu nebo jeho shrnutí.

Jaké důkazy se požadují

Odůvodnění vychází přímo z článku 21 odst. 2 písm. c) Směrnice (EU) 2022/2555: kontinuita podnikání, jako je správa záloh a nouzové zotavení, a krizové řízení. Jedná se o jedno z deseti konkrétních opatření, která směrnice uvádí jako součást řízení rizik, která musí subjekty přijmout. Kdo své odpovědi zdůvodňuje, obvykle tak činí pomocí samotného plánu kontinuity, zprávy o posledním testu cvičení nebo přehledu zálohování a vybavení pro náhradní provoz. To odpovídá tomu, jak sektor, ve kterém je podnik činný ovlivňuje to, co tazatel považuje za "dostatečné": kritický sektor často dostane přísnější doplňující otázky než podnik, který občas dodává pouze větším odběratelům. V některých případech hraje roli i otázka na počet zaměstnanců podniku protože velikost organizace se zohledňuje v tom, co obsahuje realistický plán kontinuity — jednoosobní podnikatel s externí hostingovou službou má zkrátka jiné potřeby pro náhradní provoz než podnik s vlastním serverovým centrem.