ankieta pyta, czy mamy plan kryzysowy na wypadek incydentu cybernetycznego

Plan kryzysowy należy do ciągłości działania, a nie do reagowania na incydenty

Pytanie o "plan kryzysowy w przypadku ataku hakerskiego" w praktyce odnosi się do dwóch rzeczy jednocześnie, a odpowiedź zależy od tego, które z nich posiadasz. Pierwszym jest plan ciągłości: jak usługa będzie działać lub jak ją przywrócić, niezależnie od tego, co dokładnie się stało. Drugim jest plan reagowania na incydenty: kto robi co zaraz po odkryciu ataku, kto zostaje powiadomiony, jak incydent zostaje powstrzymany. Wielu przedsiębiorców ma drugi plan, ale nie ma pierwszego, lub odwrotnie, a następnie wpisują "tak" na pytanie, które faktycznie dotyczy obydwu.

Jeśli masz jedynie nieoficjalny plan — kilka ustaleń, które wszyscy znają, ale które nigdzie nie są zapisane — to "nie" jest zwykle najbardziej uczciwą odpowiedzią, wraz z wyjaśnieniem, że podejście istnieje, ale nie zostało udokumentowane. Jeśli masz plan ciągłości bez odrębnego składnika dotyczącego bezpieczeństwa cybernetycznego, sprawdź, czy explicite wymienia incydent cybernetyczny jako scenariusz; jeśli nie, to jest to luka, którą klient często sygnalizuje. Ten temat silnie wiąże się z istnieniem kopii zapasowych i planu awaryjnego pozwalającego na przywrócenie usługi oraz z procedurą postępowania z incydentami bezpieczeństwa — odpowiedz na te dwa pytania najpierw, a wtedy ta kwestia sama się wyjaśni.

Gdzie to pojawia się w artykule 21 ust. 2 dyrektywy NIS2

Artykuł 21 ust. 2 dyrektywy (UE) 2022/2555 wymienia "business continuity, such as backup management and disaster recovery, and crisis management" jako jedną z dziesięciu obowiązkowych środków — zatem ciągłość i zarządzanie kryzysowe są tam wymienione razem, a nie jako dwa oddzielne wymogi. Załącznik A normy ISO/IEC 27001 zawiera porównywalne środki kontroli dla gotowości ICT w przypadku przerwania działalności. Holenderska Cyberbezpieczeństwo Ustawa, która transpozycję tego obowiązku, wchodzi w życie 15 sierpnia 2026 roku.