lista kontrolna pyta, czy mamy plan ciągłości działalności

BCP jest wypełnieniem artykułu 21 ust. 2 lit. c

Plan ciągłości biznesu jest odpowiedzią na pytanie, jak usługa pozostaje dostępna w przypadku awarii, i to jest dokładnie to, o co pyta artykuł 21 ust. 2 lit. c dyrektywy NIS2: zarządzanie ciągłością, z kopiami zapasowymi, przywracaniem po awarii (disaster recovery) i zarządzaniem kryzysowym. Kto ma BCP, zwykle może wpisać "tak" — ale dokument musi naprawdę obejmować te trzy elementy, a nie tylko harmonogram kopii zapasowych. Sama kopia polityki kopii zapasowych zwykle nie wystarczy jako dowód; lista pytań dotyczy planu przywracania, a nie techniki za nim. Sprawdź zatem, czy rozwiązania dotyczące kopii zapasowych i przygotowania na wypadek awarii, które ma na myśli twój klient są zgodne z tym, co faktycznie udokumentowałeś.

Jeśli nie masz osobnego dokumentu BCP, ale masz działające kopie zapasowe i nieformalną umowę dotyczącą tego, kto co robi w przypadku awarii, wtedy "nie" z wyjaśnieniem jest szczersze niż "tak" z w połowie pasującym dokumentem. W praktyce wielu klientów akceptuje certyfikat ISO 27001 jako dowód zastępczy dla całego tego bloku, ponieważ ciągłość jest częścią Aneksu A. Czy to dotyczy twojej sytuacji, powołaj się wtedy na certyfikat ISO 27001 jako ogólny dowód zamiast konstruować BCP, który nie istnieje.

Gdzie to znajduje się: artykuł 21 ust. 2 lit. c i Aneks A.5.29/5.30

Artykuł 21 ust. 2 dyrektywy NIS2 wymienia dziesięć kategorii środków, które są obowiązkowe w ramach dyrektywy dla jednostek przez nią objętych; lit. c dotyczy konkretnie zarządzania ciągłością, z zarządzaniem kopiami zapasowymi, przywracaniem po awarii i zarządzaniem kryzysowym jako wymienionymi elementami. W ISO/IEC 27001 znajduje się to w Aneksie A, wśród środków kontroli bezpieczeństwa informacji w przypadku zakłóceń (ciągłość biznesu) i związanego z tym środka dotyczącego kopii zapasowych. Holenderska ustawa o cyberbezpieczeństwie (Cyberbeveiligingswet) implementuje to zobowiązanie w przepisy krajowe i ma wejść w życie w oczekiwanym terminie 15 sierpnia 2026 r.; do tego dnia sama dyrektywa NIS2 jest źródłem zawartości wymogu.