jautājumā tiek vaicāts, vai uzņēmuma nepārtrauktības plāns ir pārbaudīts - ko es atbildu

Pārbaudīts šeit nozīmē: treniņi, nevis tikai uz papīra uzrakstīts

Nē, plāns, kas pastāv tikai uz papīra un nekad nav pārbaudīts praktiski, neatbilst tam, kas šeit tiek prasīts. Jautājums par pārbaudītu uzņēmējdarbības nepārtrauktības plānu attiecas uz krīžu vadību un atveseļošanu pēc incidentiem, kas ir viens no desmit pasākumiem saskaņā ar NIS2 direktīvas 21. panta 2. punktu. Pārbaudi var veikt vairākos līmeņos: galda virsmas vingrinājums, kurā komanda apspriež scenāriju, tehniska failovera pārbaude, kurā faktiski tiek pārslēgts uz avārijas risinājumu, vai pilnā simulācija ar datu atveseļošanu no rezerves kopijas. To, ko klients vēlas redzēt, parasti norāda nevis pašā jautājumā, bet paskaidrojumā pie tā — ja tur rakstīts "pēdējās pārbaudes pierādījums", tad atsevišķs politikas dokuments nav pietiekams.

Ja uzņēmumam ir nepārtrauktības plāns, bet tas vēl nav pārbaudīts, tad godīgākā atbilde ir "nē" ar paskaidrojumu par plānotajiem pārbaudes datumiem, ja tādi pastāv. "Jā" norādīšana tikai tāpēc, ka plāns ir pieejams, bet neviens nav veicis praktisku apmācību vai pārliecinājies, ka rezerves kopija patiesām tiek atjaunota, ir tāds atbilžu tips, kas vēlāk audita vai incidenta laikā atkal var izrādīties problēmātisks. Šis jautājums tieši skar rezerves kopijas un avārijas nodrošinājumu pakalpojuma sniegšanas atjaunošanai — tur norādīts, kas ir ticams pierādījums tās pašas jautājuma nepārtrauktības daļai.

No kurienes tas nāk: 21. pants un pārbaudes pienākums

NIS2 direktīvas 21. panta 2. punkts nosaka "uzņēmējdarbības nepārtrauktību, piemēram, rezerves kopiju un avārijas atveseļošanas pārvaldību, un krīžu vadību" kā vienu no desmit obligātajiem pasākumiem; ISO/IEC 27001 to detalizē Annex A kontroles pasākumos par nepārtrauktības pārvaldību, kur testēšana un novērtēšana ir standarta pasākuma daļa, nevis atsevišķa darbība. To, vai pārbaudīta nepārtrauktības politika ir obligāta arī pašam uzņēmumam saskaņā ar Nīderlandes Kibervērtības likumu, nosaka tas, vai uzņēmums pats ietilpst piemērojamības jomā — skaitīt vai uzņēmums atsevišķi ietilpst NIS2 direktīvas darbības jomā— tur. Neatkarīgi no šī pienākuma klients to bieži jautā vienkārši tāpēc, ka nepārbaudīts plāns praksē ir pieņēmums, nevis pārliecība.