Διαθέτει η επιχείρηση σχέδιο συνέχειας δραστηριοτήτων για σοβαρή διακοπή;

Συνέχεια επιχειρησιακής δραστηριότητας ως ξεχωριστό μέτρο στο άρθρο 21 παράγραφος 2

Αυτή η ερώτηση αφορά τη διαχείριση της συνέχειας της επιχειρησιακής δραστηriότητας: έχει η επιχείρηση σχέδιο για τη συνέχιση της επιχειρησιακής δραστηriότητας εάν ένα περιστατικό διαταράξει την κανονική ροή των εργασιών. Πρόκειται για ένα εκ των δέκα μέτρων που αναφέρει το άρθρο 21 παράγραφος 2 της Οδηγίας NIS2, παράλληλα με την ανάλυση κινδύνων, την αντιμετώπιση περιστατικών και την πολιτική πρόσβασης, μεταξύ άλλων. Το κείμενο αυτής της παραγράφου αναφέρει ρητά τη διαχείριση αντιγράφων ασφαλείας, την ανάκαμψη από καταστροφές και τη διαχείριση κρίσεων ως συστατικά στοιχεία αυτού του θέματος — δεν πρόκειται επομένως μόνο για ένα γραπτό σχέδιο, αλλά για ένα συνεκτικό σύνολο διατάξεων ανάκαμψης.

Μια πλήρης απάντηση «ναι» υποθέτει περισσότερα από μια δήλωση προθέσεων. Οι θέτοντες ερωτήματα συνήθως αναμένουν ότι υπάρχει σχέδιο συνέχειας, ότι έχει δοκιμαστεί ή εξασκηθεί, και ότι περιέχει συγκεκριμένα στοιχεία: ένα εναλλακτικό σημείο ή εγκατάσταση, μια στρατηγική αντιγράφων ασφαλείας με σημεία ανάκαμψης, και μια οργάνωση κρίσης με ρόλους και γραμμές κλιμάκωσης. Εάν λείπει ένα εκ των στοιχείων αυτών, τότε το «ακόμη προς προσδιορισμό» ή το «εν μέρει» είναι συχνά μια πιο ακριβής απάντηση από ένα πλήρες «ναι» — ιδιαίτερα δεδομένου ότι πολλές διεπαφές πελατών θέτουν τις ακόλουθες ερωτήσεις με αίτημα ανεβάσματος του σχεδίου ή ενός συνοπτικού κειμένου του.

Τι ζητείται ως απόδειξη

Η τεκμηρίωση προκύπτει άμεσα από το άρθρο 21 παράγραφος 2 στοιχείο γ της Οδηγίας (ΕΕ) 2022/2555: συνέχεια επιχειρησιακής δραστηριότητας, όπως η διαχείριση αντιγράφων ασφαλείας και η ανάκαμψη από καταστροφές, και η διαχείριση κρίσεων. Πρόκειται για ένα εκ των δέκα συγκεκριμένων μέτρων που η οδηγία αναφέρει ως μέρος της διαχείρισης κινδύνων που πρέπει να λάβουν οι οντότητες. Όποιος τεκμηριώνει την απάντηση, συνήθως το κάνει με το ίδιο το σχέδιο συνέχειας, έκθεση δοκιμής της τελευταίας άσκησης, ή επισκόπηση των διατάξεων αντιγράφων ασφαλείας και εναλλακτικών σημείων. Αυτό ευθυγραμμίζεται με το πώς ο κλάδος στον οποίο δραστηριοποιείται η επιχείρηση επηρεάζει το τι ένας θέτων ερωτήματα θεωρεί «επαρκές»: ένας κρίσιμος τομέας συχνά λαμβάνει αυστηρότερες ακόλουθες ερωτήσεις από ό,τι μια επιχείρηση που προμηθεύει μόνο περιστασιακά μεγαλύτερους αγοραστές. Το ερώτημα σχετικά με τον αριθμό των υπαλλήλων της επιχείρησης παίζει επίσης ρόλο ορισμένες φορές, καθώς το μέγεθος του οργανισμού σταθμίζεται σε ό,τι περιλαμβάνει ένα ρεαλιστικό σχέδιο συνέχειας — ένας μικρός επιχειρηματίας με ένα εξωτερικό partner φιλοξενίας έχει προφανώς διαφορετικές ανάγκες εναλλακτικής λύσης από μια επιχείρηση με δικό της serverpark.