η λίστα ερωτήσεων ρωτά αν έχουμε ένα σχέδιο κρίσης για ένα περιστατικό κυβερνοασφάλειας

Το σχέδιο κρίσης υπάγεται στη συνέχεια δραστηριοτήτων, όχι στην αντιμετώπιση περιστατικών

Το ερώτημα σχετικά με ένα «σχέδιο κρίσης σε περίπτωση hack» αφορά στην πράξη δύο πράγματα ταυτόχρονα, και η απάντηση εξαρτάται από το ποιο από τα δύο έχετε. Το πρώτο είναι ένα σχέδιο συνέχειας: πώς παραμένει η παροχή υπηρεσιών σε λειτουργία ή πώς την αποκαθιστάτε, ανεξάρτητα από το τι ακριβώς συνέβη. Το δεύτερο είναι ένα σχέδιο αντιμετώπισης περιστατικών: ποιος κάνει τι μόλις ανακαλυφθεί ένα hack, ποιος ενημερώνεται, πώς περιορίζεται το περιστατικό. Πολλοί επιχειρηματίες έχουν το δεύτερο αλλά όχι το πρώτο, ή αντίστροφα, και συμπληρώνουν «ναι» σε μια ερώτηση που στην πραγματικότητα ζητά και τα δύο.

Εάν έχετε μόνο ένα άτυπο σχέδιο — μερικές συμφωνίες που όλοι γνωρίζουν αλλά που δεν είναι καταγεγραμμένες — τότε το «όχι» είναι συνήθως η πιο ειλικρινής απάντηση, με μια εξήγηση ότι η προσέγγιση υπάρχει αλλά δεν έχει τεκμηριωθεί. Εάν έχετε ένα σχέδιο συνέχειας χωρίς ξεχωριστό στοιχείο κυβερνασφάλειας, ελέγξτε αν αναφέρει ρητά ένα περιστατικό κυβερνασφάλειας ως σενάριο. Εάν όχι, τότε υπάρχει ένα κενό που ο πελάτης σηματοδοτεί συχνότερα. Το θέμα αυτό σχετίζεται στενά με υπάρχουν αντίγραφα ασφαλείας και κατάσταση έκτακτης ανάγκης για την αποκατάσταση της παροχής υπηρεσιών και με υπάρχει διαδικασία για τη διαχείριση περιστατικών ασφαλείας — απαντήστε πρώτα αυτά τα δύο, τότε αυτό το ερώτημα συχνά τοποθετείται στη σωστή του θέση.

Όπου αυτό επανεμφανίζεται στο άρθρο 21 παράγραφος 2 NIS2

Το άρθρο 21 παράγραφος 2 της Οδηγίας (ΕΕ) 2022/2555 αναφέρει «business continuity, such as backup management and disaster recovery, and crisis management» ως ένα από τα δέκα υποχρεωτικά μέτρα — επομένως η συνέχεια και η διαχείριση κρίσης είναι εκεί μαζί, όχι ως δύο ξεχωριστές απαιτήσεις. Το Παράρτημα Α του ISO/IEC 27001 έχει ένα παρόμοιο μέτρο ελέγχου για την ετοιμότητα ICT σε διακοπή δραστηριοτήτων. Ο Κώδικας Κυβερνασφάλειας της Ολλανδίας, ο οποίος μεταφέρει αυτή την υποχρέωση, ισχύει από 15 Αυγούστου 2026.