A empresa tem um plano para continuar as operações durante uma perturbação grave?

Continuidade de negócios como medida isolada no artigo 21.º, n.º 2

Esta pergunta diz respeito à gestão da continuidade de negócios: a empresa tem um plano para manter as operações comerciais quando um incidente perturba o funcionamento normal. Esta é uma das dez medidas mencionadas no artigo 21.º, n.º 2 da Diretiva NIS2, juntamente com análise de riscos, tratamento de incidentes e política de acesso, entre outros. A letra desse número menciona explicitamente gestão de cópias de segurança, recuperação após desastres e gestão de crises como componentes deste tema — não se trata, portanto, apenas de um plano escrito, mas de um conjunto coerente de medidas de recuperação.

Uma resposta completamente afirmativa pressupõe mais do que uma declaração de intenção. Os que colocam as perguntas geralmente esperam que exista um plano de continuidade, que tenha sido testado ou praticado, e que contenha elementos concretos: um local ou instalação de recurso, uma estratégia de cópia de segurança com pontos de restauro, e uma organização de crise com papéis e linhas de escalada. Se faltar um desses componentes, «a ser determinado» ou «parcialmente» é frequentemente uma resposta mais honesta do que um «sim» completo — especialmente porque muitos portais de clientes fazem perguntas de seguimento pedindo o plano ou um resumo do mesmo.

O que se pede como prova

A fundamentação decorre diretamente do artigo 21.º, n.º 2, alínea c), da Diretiva (UE) 2022/2555: continuidade de negócios, como gestão de cópias de segurança e recuperação após desastres, e gestão de crises. Esta é uma das dez medidas concretas mencionadas na diretiva como parte da gestão de riscos que as entidades devem implementar. Quem fundamenta a resposta fá-lo geralmente com o próprio plano de continuidade, um relatório de teste do último exercício, ou um resumo das medidas de cópia de segurança e recurso. Isto está alinhado com a forma como o sector em que a empresa opera influencia o que uma pessoa que coloca perguntas considera como «suficiente»: um setor crítico recebe frequentemente questões de seguimento mais rigorosas do que uma empresa que apenas fornece ocasionalmente a empresas maiores. Também a pergunta sobre o número de colaboradores da empresa desempenha aqui por vezes um papel, porque o tamanho da organização influencia o que um plano de continuidade realista implica — uma microempresa com um parceiro de alojamento externo tem naturalmente necessidades de recurso diferentes das de uma empresa com seu próprio parque de servidores.