spørgeskemaet spørger, om forretningskontinuitetsplanen er blevet testet, hvad skal jeg svare

Testet betyder her: praktiseret, ikke blot skriftligt fastlagt

Nej, en plan der kun eksisterer på papir og aldrig er blevet praktiseret, opfylder ikke det, der efterspørges her. Spørgsmålet om en testet forretningskontinuitetsplan omhandler krisestyring og genopretning efter hændelser, en af de ti foranstaltninger i artikel 21, stk. 2 i NIS2-direktivet. Testning kan foregå på flere niveauer: en desktop-øvelse, hvor holdet gennemgår et scenarie, en teknisk failover-test, hvor der faktisk skiftes til en nødløsning, eller en fuldstændig simulering med genopretning fra backup. Hvad kunden præcis ønsker at se, fremgår normalt ikke af selve spørgsmålet, men af tillægget dertil — hvis der står "bevis for seneste test", er et løst politikdokument ikke tilstrækkeligt.

Hvis virksomheden har en kontinuitetsplan, men denne endnu ikke er testet, er det mest ærligt svar "nej" med en forklaring på den planlagte testdato, såfremt denne foreligger. At udfylde "ja", fordi planen eksisterer, mens ingen nogensinde har praktiseret eller verificeret, at backuppen faktisk kan gendannes, er den type svar, der alligevel kommer frem under en senere revision eller hændelse. Dette emne er direkte relevant for sikkerhedskopier og en nødprocedure til gendannelse af serviceydelsen — hvor det fremgår, hvad der tæller som bevis på kontinuitetssiden af det samme spørgsmål.

Hvor dette stammer fra: artikel 21 og vurderingspligten

Artikel 21, stk. 2 i NIS2-direktivet nævner "forretningskontinuitet, såsom backupstyring og noodherstel, og krisestyring" som en af ti obligatoriske foranstaltninger; ISO/IEC 27001 specificerer dette i Annex A-kontrolforanstaltninger omkring kontinuitetsstyring, hvor testning og evaluering er en standarddel af foranstaltningen, ikke et separat trin. Hvorvidt testet kontinuitetspolitik også er obligatorisk for egen virksomhed ifølge den nederlandske cybersikkerhedslov afhænger af, om virksomheden selv falder inden for anvendelsesområdet — se for det formål eller om virksomheden selv falder under NIS2-direktivet. Udover denne forpligtelse anmoder en kunde ofte simpelthen herom, fordi en utest plan i praksis er en antagelse, ikke en sikkerhed.