popis pitanja pita je li plan kontinuiteta poslovanja testiram što trebam odgovoriti

Testirano ovdje znači: vježbano, ne samo napisano

Ne, plan koji postoji samo na papiru i nikad nije vježban ne zadovoljava ono što se ovdje traži. Pitanje o testiranom planu poslovne kontinuiranosti odnosi se na upravljanje krizama i oporavak nakon incidenata, jedan od deset mjera iz članka 21. stavka 2. NIS2-a. Testiranje može biti na više razina: tabletop-vježba gdje tim diskutira scenario, tehnički failover-test gdje se stvarno prebacuje na nuždu, ili potpuna simulacija s oporavkom iz sigurnosne kopije. Što točno klijent želi vidjeti obično ne stoji u samom pitanju već u priloženoj objavi — ako tamo piše "dokaz posljednjeg testa", samo jedan dokument o politici nije dovoljan.

Ako podjetje ima plan kontinuiranosti ali taj još nije testiran, najiskreitiji je odgovor "ne" s objašnjenjem o planiranom datumu testiranja, ako postoji. Upisati "da" jer plan postoji, dok nitko nikad nije vježbao ili ostvario vraćanje iz sigurnosne kopije, vrsta je odgovora koja se pri kasnijoj reviziji ili incidentu može ponovno pojaviti. Ova tema izravno dodiruje sigurnosnim kopijama i nužnom pružanju usluge za oporavak pružanja usluge — tamo piše što broji kao dokaz za dio kontinuiranosti istog pitanja.

Odakle ovo dolazi: članak 21 i obaveza provjere

Članak 21. stavak 2. NIS2-direktive spominje "poslovnu kontinuiranost, kao što je upravljanje sigurnosnim kopijama i nužda, te upravljanje krizama" kao jednu od deset obaveznih mjera; ISO/IEC 27001 ovo razrađuje u Annex A-mjerama kontrole oko upravljanja kontinuiranosti, gdje su testiranje i vrednovanje standardni dio mjere, ne odvojen korak. Jesu li testirane mjere kontinuiranosti politike obavezne i za samo poduzeće prema nizozemskom Zakonu o kibernetskoj sigurnosti ovisi o tome pada li samo poduzeće u obuhvat primjene — vidjeti jesu li poduzećem predmet Direktive NIS2Odvojena od te obaveze klijent ovo često pita jednostavno jer je netestitani plan u praksi pretpostavka, ne sigurnost.