la lista di domande chiede se il piano di continuità aziendale è stato testato cosa rispondo

Testato significa qui: esercitato, non solo scritto

No, un piano che esiste solo sulla carta e non è mai stato esercitato non soddisfa ciò che viene richiesto qui. La domanda su un piano di continuità aziendale testato riguarda la gestione delle crisi e il ripristino dopo gli incidenti, una delle dieci misure dell'articolo 21 paragrafo 2 di NIS2. Il test può avvenire a più livelli: un esercizio tabletop in cui il team esamina uno scenario, un test di failover tecnico in cui si passa effettivamente a una fornitura di emergenza, o una simulazione completa con ripristino da backup. Ciò che il cliente vuole effettivamente vedere di solito non è nella domanda stessa ma nella spiegazione allegata — se dice "prova dell'ultimo test", un documento di policy isolato non è sufficiente.

Se l'azienda ha un piano di continuità ma non è stato ancora testato, la risposta più onesta è "no" con una spiegazione sulla data di test programmata, se esiste. Rispondere "sì" perché il piano c'è, mentre nessuno ha mai esercitato o il backup non è mai stato effettivamente ripristinato, è il tipo di risposta che emerge ancora in un successivo audit o durante un incidente. Questo argomento tocca direttamente copie di backup e una misura di emergenza per ripristinare la fornitura del servizio — qui è indicato cosa conta come prova per il lato continuità della stessa domanda.

Da dove viene: articolo 21 e l'obbligo di valutazione

L'articolo 21 paragrafo 2 della direttiva NIS2 menziona "continuità aziendale, come la gestione dei backup e il ripristino di emergenza, e la gestione delle crisi" come una delle dieci misure obbligatorie; ISO/IEC 27001 lo sviluppa nelle misure di controllo Annex A relative alla gestione della continuità, dove il test e la valutazione sono parte standard della misura, non un passaggio separato. Se una politica di continuità testata è obbligatoria anche per l'azienda stessa secondo la Legge olandese sulla cibersicurezza dipende dal fatto che l'azienda rientri nell'ambito di applicazione — vedere se l'azienda stessa rientra nella direttiva NIS2. A parte questo obbligo, un cliente spesso lo chiede semplicemente perché un piano non testato in pratica è un'assunzione, non una certezza.