Fragebogen fragt, ob wir einen Business-Continuity-Plan haben

BCP ist die Umsetzung von Artikel 21 Absatz 2 Buchstabe c

Ein Business-Continuity-Plan ist die Antwort auf die Frage, wie die Dienstleistung bei Ausfällen aufrechterhalten bleibt, und genau das verlangt Artikel 21 Absatz 2 Buchstabe c der NIS2-Richtlinie: Kontinuitätsmanagement mit Sicherungen, Notfallwiederherstellung (Disaster Recovery) und Krisenmanagement. Wer über einen BCP verfügt, kann in der Regel "ja" eintragen – aber das Dokument muss diese drei Komponenten auch wirklich abdecken, nicht nur ein Sicherungsschema. Eine Kopie der Sicherungsrichtlinie allein reicht in der Regel nicht als Nachweis aus; die Frageliste fragt nach dem Wiederherstellungsplan, nicht nach der Technik dahinter. Prüfen Sie daher, ob die Sicherungs- und Notfallvorkehrungen, die Ihr Kunde beabsichtigt, mit dem übereinstimmen, was Sie tatsächlich festgehalten haben.

Haben Sie kein separates BCP-Dokument, aber funktionierende Sicherungen und eine informelle Abmachung darüber, wer bei Ausfällen was tut, ist "nein" mit einer Erläuterung ehrlicher als "ja" mit einem nur teilweise passenden Dokument. Viele Kunden akzeptieren in der Praxis ein ISO-27001-Zertifikat als Ersatznachweis für diesen gesamten Bereich, da Kontinuität Teil von Annex A ist. Ist das bei Ihnen der Fall, verweisen Sie dann auf das ISO 27001-Zertifikat als allgemeiner Nachweis anstelle eines separaten BCP, das nicht vorhanden ist.

Wo dies steht: Artikel 21 Absatz 2 Buchstabe c und Annex A.5.29/5.30

Artikel 21 Absatz 2 der NIS2-Richtlinie nennt zehn Kategorien von Maßnahmen, die gemäß der Richtlinie für die betroffenen Einrichtungen verbindlich sind; Buchstabe c betrifft speziell die Kontinuitätsverwaltung, mit Backup-Verwaltung, Disaster Recovery und Krisenmanagement als genannte Komponenten. In ISO/IEC 27001 findet sich dies in Annex A unter den Kontrollmaßnahmen zur Informationssicherheit bei Störungen (Business Continuity) und der zugehörigen Backup-Maßnahme. Das niederländische Cybersicherheitsgesetz setzt diese Verpflichtung in nationale Vorschriften um und tritt voraussichtlich am 15. August 2026 in Kraft; bis zu diesem Zeitpunkt ist NIS2 selbst die Quelle für den Inhalt der Anforderung.