upitnik pita imamo li plan nadzora kriznih situacija za kibernetički incident

Plan kriznog upravljanja spada pod kontinuitet poslovanja, ne pod odgovor na incident

Pitanje o "planu kriznog upravljanja u slučaju hakovanja" u praksi postavlja dva pitanja istovremeno, a odgovor ovisi o tome koje od dvoje imate. Prvo je plan kontinuiteta: kako nastaviti ili obnoviti pružanje usluge, neovisno o tome što se točno dogodilo. Drugo je plan odgovora na incident: tko što radi čim se hack detektira, koga se obavještava, kako se incident zaustavlja. Mnogi poduzetnici imaju drugo, ali nemaju prvo, ili obrnuto, pa upišu "da" na pitanje koje zapravo postavlja oba.

Ako imaš samo neformalan plan — nekoliko dogovora koje svi znaju, ali koji nigdje nisu napisani — tada je "ne" obično najiskrenije odgovore, s napomenom da pristup postoji, ali nije zabilježen. Ako imaš plan kontinuiteta bez posebne cyber komponente, provjeri spiše li taj plan eksplicitno cyber incident kao scenarij; ako ne, to je rupa koju klijent često označava. Ova tema je snažno povezana sa postoje li sigurnosne kopije i nužna opskrba za obnovu pružanja usluge i sa postoji li postupak za rukovanje incidentima povezanim sa zaštitom — odgovori prvo na ta dva pitanja, onda se ovo pitanje obično samo razvije.

Gdje se ovo javlja u članku 21 stavak 2 NIS2

Članak 21 stavak 2 Direktive (EU) 2022/2555 spominje "kontinuitet poslovanja, poput upravljanja sigurnosnim kopijama i oporavka od katastrofe, te upravljanja krizama" kao jednu od deset obaveznih mjera — tako da kontinuitet i upravljanje krizama stoje zajedno, ne kao dvije odvojene zahtjeve. Prilog A standarda ISO/IEC 27001 ima slično kontrolnu mjeru za ICT spremnost tijekom prekida poslovanja. Nizozemski Zakon o cybersigurnosti, koji pretvara ovu obvezu, stupa na snagu 15. srpna 2026.