A kérdőív azt kérdezi, hogy tesztelve volt-e a vállalati üzletmenet-folytonossági terv, mit válaszoljak

Tesztelés itt azt jelenti: gyakorolva, nem csak írásban rögzítve

Nem, egy olyan terv, amely csak papíron létezik és soha nem volt gyakorolva, nem felel meg annak, amit itt kérnek. A tesztelt üzletmenet-folytonossági terv iránti kérdés a válságkezelésre és az incidensek utáni helyreállításra vonatkozik, amely az NIS2 irányelv 21. cikk 2. bekezdéséből származó tíz intézkedés egyike. A tesztelés több szinten is történhet: egy asztali gyakorlat, amelyen a csapat egy forgatókönyvet megvitatnak, egy technikai failover-teszt, amelyben ténylegesen egy noodvoorziening-re vált, vagy egy teljes szimuláció biztonsági mentésből való helyreállítással. Mit szeretne pontosan látni az ügyfél, általában nem magában a kérdésben van, hanem a hozzá tartozó magyarázatban — ha ott "az utolsó teszt bizonyítéka" szerepel, egy önálló szabályzati dokumentum nem elég.

Ha a vállalat rendelkezik folytonossági tervvel, de azt még nem tesztelték, akkor a legőszintébb válasz az "nem" a tervezett tesztdátum ismertetésével, amennyiben az létezik. Az "igen" válasz bejelöléséhez azért, mert a terv létezik, miközben senki sem gyakorolt, vagy a biztonsági mentés valódi visszaállítása nem volt tesztelve, olyan válasz típusa, amely később egy auditnál vagy incidensnél még felszínre kerülhet. Ez a téma közvetlenül érinti biztonsági másolatokra és a vészhelyzeti támogatásra vonatkozó pontot aktiválja a szolgáltatás helyreállításához — ott van feltüntetve, ami az ugyanaz kérdés folytonossági oldalára vonatkozó bizonyítékként számít.

Ennek forrása: a 21. cikk és az értékelési kötelezettség

A NIS2-irányelv 21. cikk (2) bekezdése az "üzletmenet-folytonosság, mint például a biztonsági másolatok kezelése és a vészhelyzeti helyreállítás, valamint a kríziskezelés" felsorolja a tíz kötelező intézkedés egyikeként; az ISO/IEC 27001 ezt az Annex A ellenőrzési intézkedéseiben fejti ki az üzletmenet-folytonosság kezelésére vonatkozóan, ahol a tesztelés és az értékelés az intézkedés szabványos része, nem pedig egy külön lépés. Az hogy a tesztelt üzletmenet-folytonossági politika az adott vállalkozás számára is kötelező-e a holland Kiberbiztonsági törvény értelmében, attól függ, hogy a vállalkozás maga a hatályos terület alá tartozik-e — lásd ezzel kapcsolatban a vagy a vállalkozás maga az NIS2-irányelv hatálya alá tartozik-e". E kötelezettségen kívül az ügyfél ezt gyakran egyszerűen azért kérdezi meg, mert egy nem tesztelt terv a gyakorlatban feltételezés, nem biztonság.