Zijn er back-ups en een noodvoorziening om de dienstverlening te herstellen?

Backup en continuïteit staan als losse maatregel in artikel 21 lid 2

Ja, dit is een van de tien maatregelen uit artikel 21 lid 2 van de NIS2-richtlijn: onderdeel (c) noemt expliciet "business continuity, zoals backupbeheer en disaster recovery, en crisisbeheer". De vraag naar back-ups en een noodvoorziening is dus geen restcategorie of interpretatie van de klant — die staat letterlijk zo in de richtlijn. Wie deze vraag krijgt, kan er vanuit gaan dat hij hoort bij hetzelfde vragenblok als de andere negen maatregelen: risicobeleid, incidentafhandeling, ketenbeveiliging, kwetsbaarhedenbeheer, toetsing, cyberhygiëne, cryptografie, toegangsbeheer en MFA.

Wat concreet gevraagd wordt, valt meestal in twee delen uiteen: zijn er back-ups (hoe vaak, waar bewaard, wanneer voor het laatst getest) en is er een noodvoorziening die de dienstverlening laat doordraaien of snel herstelt na een verstoring — een disaster recovery-plan, uitwijkvoorzieningen, hersteltijden. Een testrapport van een backup-restore of een continuïteitsplan met laatste testdatum is sterker bewijs dan een beleidsdocument zonder testhistorie. Ontbreekt dat laatste, dan is "nee" of "gedeeltelijk" een net zo bruikbaar antwoord als "ja" — de klant wil vooral weten of het klopt, niet dat het overal groen is. Deze maatregel hangt vaak samen met de procedure voor het behandelen van beveiligingsincidenten, omdat een noodvoorziening meestal wordt getriggerd door een incident, en met de periodieke toetsing van beveiligingsmaatregelen, omdat een backup zonder testresultaat weinig zegt over de werkelijke hersteltijd.

Waar dit precies staat in de richtlijn

Artikel 21 lid 2 sub (c) van Richtlijn (EU) 2022/2555 noemt "business continuity, such as backup management and disaster recovery, and crisis management" als een van de tien technische en organisatorische maatregelen die onder het beveiligingsbeleid van een entiteit vallen. De richtlijn zelf geeft geen minimale testfrequentie of hersteltijd — die invulling ligt bij de entiteit en, waar van toepassing, bij nationale uitvoeringsregelgeving of sectorale eisen van de klant.