spørgeskemaet spørger, om vi har en krisenplan for en cyberincident

Kriseberedskabsplan falder under forretningskontinuitet, ikke under hændelseshåndtering

Spørgsmålet om en "kriseberedskabsplan ved hackerangreb" spørger i praksis om to ting på samme tid, og svaret afhænger af, hvilken af de to du har. Den første er en kontinuitetsplan: hvordan forbliver driftssikkerheden ved drift, eller hvordan genopretter du den, uafhængigt af hvad der præcist er gået galt. Den anden er en hændelsesresponplan: hvem gør hvad, så snart et hackerangreb opdages, hvem bliver underrettet, hvordan indkredses hændelsen. Mange virksomhedsledere har den anden vel og den første ikke, eller omvendt, og udfylder derefter "ja" på et spørgsmål, der faktisk beder om begge dele.

Hvis du kun har en uformel plan — nogle få aftaler, som alle kender, men som ikke står på skrift nogen steder — så er "nej" normalt det mest ærlige svar, med en præcisering af, at fremgangsmåden eksisterer, men ikke er fastlagt. Hvis du har en kontinuitetsplan uden separat cyberkomponent, så se efter, om den eksplicit nævner cyberincidens som scenarium; hvis ikke, så er det et hul, som kunden oftere signalerer. Dette emne vedrører stærkt findes der sikkerhedskopier og en nødløsning til at genoprette driftssikkerheden og til findes der en procedure for behandlingen af sikkerhedshændelser — besvær de to først, så falder dette spørgsmål ofte af sig selv på plads.

Hvor dette vender tilbage i artikel 21 stk. 2 NIS2

Artikel 21 stk. 2 i Direktiv (EU) 2022/2555 nævner "forretningskontinuitet, såsom sikkerhedskopieringsledelse og katastrofegenopretning, og krisebehåndtering" som en af de ti obligatoriske foranstaltninger — således at kontinuitet og krisebehåndtering står der sammen, ikke som to separate krav. Bilag A til ISO/IEC 27001 har en lignende kontrolmåling for IT-paratheden ved forretningsafbrydelse. Den nederlandske Cybersikkerhedsloven, som gennemfører denne forpligtelse, træder i kraft den 15. august 2026.