Onko yrityksellä suunnitelma liiketoiminnan jatkamiseksi vakavan häiriön sattuessa?

Liiketoiminnan jatkuvuus erillisena toimenpiteenä artiklan 21 kohdan 2 nojalla

Tämä kysymys koskee liiketoiminnan jatkuvuudenhallintaa: onko yrityksellä suunnitelma liiketoiminnan jatkumisesta tilanteissa, joissa poikkeama häiritsee normaalia toimintaa. Tämä on yksi kymmenestä toimenpiteestä, jotka mainitaan NIS2-direktiivin 21 artiklan 2 kohdassa, muiden muassa riskianalyysin, poikkeamien hallinnon ja pääsynhallinnon ohella. Kyseisen kohdan kirjainkieli mainitsee nimenomaaisesti varmuuskopioiden hallinnon, katastrofista palautumisen ja kriisinhallinnon osina tästä aiheesta — kysymys ei siis ole pelkästään kirjallisesta suunnitelmasta, vaan yhtenäisestä palautumistoimenpiteiden kokonaisuudesta.

Täysin myöntävä "kyllä" olettaa muuta kuin aikomuksen ilmaisun. Kysyjät odottavat yleensä, että jatkuvuussuunnitelma on olemassa, että se on testattu tai harjoiteltu, ja että se sisältää konkreettisia osia: varajärjestelyn tai -palvelun, varmuuskopiostrategian palautuspisteillä, ja kriisiorganisaation selkeine tehtävät ja eskalointiketjuineen. Jos jokin näistä osista puuttuu, "vielä määritettävä" tai "osittain" on usein rehellisempi vastaus kuin täysin "kyllä" — erityisesti siksi, että monet asiakasportaalit esittävät tämän seuraavina kysymyksinä ja pyytävät suunnitelman tai sen yhteenvedon lataamista.

Mikä pyydetään todisteeksi

Perustelu tulee suoraan direktiivin (EU) 2022/2555 21 artiklan 2 kohdan c alakohdasta: liiketoiminnan jatkuvuus varmuuskopioiden hallinnon ja noodhäiriön palautumisen sekä kriisinhallinnon osalta. Tämä on yksi kymmenestä konkreettisesta toimenpiteestä, jotka direktiivi mainitsee osana riskienhallintaa, jonka yhteisöjen on toteutettava. Joka perustelee vastauksen, tekee niin tavallisesti jatkuvuussuunnitelmalla itsellään, viimeisimmän harjoituksen testauksella, tai varmuuskopiointi- ja varajärjestelyjen yhteenvedolla. Tämä on yhdenmukainen sen kanssa, miten ala, jolla yritys toimii vaikuttaa siihen, mitä kysyjä pitää "riittävänä": kriittisen sektorin yritys saa usein tiukempia jatkovastauksia kuin yritys, joka ainoastaan satunnaisesti toimittaa suuremmille ostajille. Myös kysymys yrityksen työntekijöiden määrästä on joskus merkityksellinen, koska organisaation koko vaikuttaa siihen, mitä realistinen jatkuvuussuunnitelma sisältää — yksinyrittäjä, jolla on ulkoinen hosting-kumppani, on selvästi eri asemassa kuin yritys, jonka omalla palvelinhuoneella on omat laitteet.