L'impresa ha un piano per continuare l'attività in caso di grave perturbazione?

Continuità aziendale come misura autonoma nell'ambito dell'articolo 21, paragrafo 2

Questa domanda riguarda la gestione della continuità aziendale: l'impresa dispone di un piano per proseguire le operazioni qualora un incidente interrompa il normale corso delle attività. Questa è una delle dieci misure citate nell'articolo 21, paragrafo 2, della direttiva NIS2, insieme ad altre misure quali l'analisi dei rischi, la gestione degli incidenti e la politica di accesso. Il testo di tale paragrafo menziona esplicitamente la gestione dei backup, il disaster recovery e la gestione della crisi come componenti di questo tema — non si tratta quindi solo di un piano scritto, ma di un insieme coerente di misure di ripristino.

Una risposta completamente affermativa presuppone più di una semplice dichiarazione di intenti. I compilatori delle liste di controllo si aspettano solitamente che esista un piano di continuità, che sia stato testato o esercitato, e che contenga elementi concreti: una sede o una struttura di backup, una strategia di backup con punti di ripristino, e un'organizzazione di crisi con ruoli e linee di escalation. Se manca uno di questi elementi, spesso "da determinare" o "parziale" rappresenta una risposta più onesta di un completamente "sì" — soprattutto perché molti portali dei clienti pongono domande di approfondimento con richiesta di caricamento del piano o di un relativo riassunto.

Ciò che viene richiesto come elemento di prova

La base è direttamente l'articolo 21, paragrafo 2, lettera c), della direttiva (UE) 2022/2555: continuità aziendale, quale gestione dei backup e disaster recovery, e gestione della crisi. Questa è una delle dieci misure concrete che la direttiva prevede come parte della gestione dei rischi che le entità devono adottare. Chi fornisce una risposta documentata lo fa solitamente con il piano di continuità stesso, un rapporto di test dell'ultimo esercizio, o una panoramica delle strutture di backup e di emergenza. Ciò è coerente con il modo in cui il settore in cui l'impresa esercita attività influisce su ciò che un compilatore della lista considera "sufficiente": un settore critico riceve spesso domande di approfondimento più rigorose rispetto a un'impresa che fornisce solo occasionalmente a grandi clienti. Anche la domanda relativa a il numero di dipendenti dell'impresa a volte svolge un ruolo, poiché le dimensioni dell'organizzazione incidono su ciò che un piano di continuità realistico comporta — un'impresa individuale con un provider di hosting esterno ha naturalmente esigenze di emergenza diverse da un'impresa dotata di un proprio data center.