chestionar întreabă dacă avem un plan de continuitate a activității

BCP este implementarea articolului 21 alineatul 2 litera c

Un plan de continuitate a activității este răspunsul la întrebarea cum serviciile rămân operaționale la caz de avarie, și aceasta este exact ce cere articolul 21 alineatul 2 litera c al NIS2: gestionarea continuității, cu copii de rezervă, recuperare din dezastre (disaster recovery) și gestionarea crizelor. Cine are un BCP poate de obicei completa cu "da" — dar atunci documentul trebuie să acopere cu adevărat aceste trei componente, nu doar un program de copii de rezervă. O copie doar a politicii de copii de rezervă este de obicei insuficientă ca dovadă; chestionarul întreabă despre planul de recuperare, nu despre tehnica din spate. Verificați deci dacă prevederile de copii de rezervă și contingență pe care le are în vedere clientul dumneavoastră sunt în conformitate cu ceea ce ați stabilit efectiv.

Dacă nu aveți un document BCP separat, dar aveți copii de rezervă funcționale și un acord informal despre cine face ce la caz de avarie, atunci "nu" cu o justificare este mai onest decât "da" cu un document parțial potrivit. Mulți clienți acceptă în practică un certificat ISO 27001 ca dovadă înlocuitoare pentru tot acest bloc, deoarece continuitatea este parte din Annex A. Este cazul și la dumneavoastră, atunci referți-vă la certificatul ISO 27001 ca dovadă generală în loc să construiți un BCP separat care nu există.

Unde se găsește aceasta: articolul 21 alineatul 2 litera c și Annex A.5.29/5.30

Articolul 21 alineatul 2 al Directivei NIS2 enumeră zece categorii de măsuri care sunt obligatorii conform directivei pentru entitățile afectate de aceasta; litera c se referă în mod specific la gestionarea continuității, cu gestionarea copiilor de rezervă, recuperarea din dezastre și gestionarea crizelor ca componente menționate. În ISO/IEC 27001 aceasta apare în Annex A, sub măsurile de control pentru securitatea informațiilor în caz de perturbări (continuitatea activității) și măsura asociată de copii de rezervă. Legea olandeză privind securitatea cibernetică transpune această obligație în reglementările naționale și se așteaptă să intre în vigoare pe 15 august 2026; până la acea dată NIS2 în sine este sursa pentru conținutul cerinței.