chestionarul întreabă dacă avem un plan de criză pentru un incident de securitate cibernetică

Planul de criză se încadrează în continuitatea activității, nu în răspunsul la incidente

Întrebarea cu privire la un "plan de criză la caz de atac cibernetic" se referă în practică la două lucruri simultan, iar răspunsul depinde de care dintre acestea dețineți. Primul este un plan de continuitate: cum rămâne serviciul în funcțiune sau cum îl restaurați, indiferent de ceea ce s-a întâmplat exact. Al doilea este un plan de răspuns la incidente: cine face ce după ce este descoperit un atac cibernetic, cine este anunțat, cum este conținut incidentul. Mulți antreprenori au pe al doilea și nu au pe al primul, sau invers, și bifează apoi "da" la o întrebare care de fapt solicită ambele.

Dacă aveți doar un plan informal — o pereche de acorduri pe care toată lumea le cunoaște, dar care nu sunt nicăieri consemnate în scris — atunci "nu" este de obicei răspunsul cel mai onest, cu o explicație că abordarea există dar nu este formalizată. Dacă aveți un plan de continuitate fără o componentă separată de securitate cibernetică, verificați dacă acesta menționează în mod explicit un incident cibernetic ca scenariu; dacă nu, atunci aceasta este o lacună pe care clientul o semnalează des. Acest subiect este puternic legat de există copii de rezervă și o dotare de urgență pentru a restaura serviciul și de există o procedură pentru tratarea incidentelor de securitate — răspundeți mai întâi la aceste două, apoi această întrebare se va clarifica de obicei de la sine.

Unde se regăsește aceasta în articolul 21 alineatul 2 NIS2

Articolul 21 alineatul 2 din Directiva (UE) 2022/2555 menționează "continuitatea activității, cum ar fi gestionarea copiilor de rezervă și recuperarea în caz de dezastru, și managementul crizelor" ca fiind una dintre cele zece măsuri obligatorii — deci continuitatea și managementul crizelor sunt acolo împreună, nu ca două cerințe separate. Anexa A a ISO/IEC 27001 cunoaște o măsură de control similară pentru pregătirea TIC în caz de întrerupere a activității. Legea olandeză privind securitatea cibernetică, care transpune această obligație, intră în vigoare pe 15 august 2026.