vragenlijst vraagt of wij een business continuity plan hebben

BCP is de invulling van artikel 21 lid 2 sub c

Een business continuity plan is het antwoord op de vraag hoe de dienstverlening blijft draaien bij uitval, en dat is precies wat artikel 21 lid 2 sub c van NIS2 vraagt: continuïteitsbeheer, met back-ups, noodherstel (disaster recovery) en crisisbeheersing. Wie een BCP heeft, kan meestal "ja" invullen — maar dan moet het document ook echt die drie onderdelen dekken, niet alleen een back-upschema. Een kopie van het back-upbeleid alleen is meestal niet genoeg als bewijsstuk; de vragenlijst vraagt naar het plan voor herstel, niet naar de techniek erachter. Kijk daarom of de back-up- en noodvoorzieningen die je klant bedoelt aansluiten bij wat je daadwerkelijk hebt vastgelegd.

Heb je geen apart BCP-document maar wel werkende back-ups en een informele afspraak over wie wat doet bij uitval, dan is "nee" met een toelichting eerlijker dan "ja" met een half passend document. Veel klanten accepteren in de praktijk een ISO 27001-certificaat als vervangend bewijs voor dit hele blok, omdat continuïteit onderdeel is van Annex A. Is dat bij jou het geval, verwijs dan naar het ISO 27001-certificaat als algemeen bewijsstuk in plaats van een los BCP te construeren dat er niet is.

Waar dit staat: artikel 21 lid 2 sub c en Annex A.5.29/5.30

Artikel 21 lid 2 van de NIS2-richtlijn noemt tien categorieën maatregelen die onder de richtlijn verplicht zijn voor de entiteiten die erdoor geraakt worden; sub c is specifiek continuïteitsbeheer, met back-upbeheer, disaster recovery en crisisbeheersing als genoemde onderdelen. In ISO/IEC 27001 komt dit terug in Annex A, onder de beheersmaatregelen voor informatiebeveiliging bij verstoringen (business continuity) en de bijbehorende back-upmaatregel. De Nederlandse Cyberbeveiligingswet zet deze verplichting om in nationale regelgeving en treedt naar verwachting op 15 augustus 2026 in werking; tot die datum is NIS2 zelf de vindplaats voor de inhoud van de eis.