Dotazník sa pýta, či bol plán kontinuity podnikania testovaný, ako mám odpovedať

Testovaný znamená tu: cvičený, nie len napísaný

Nie, plán, ktorý existuje len na papieri a nikdy nebol cvičený, nespĺňa to, čo sa tu požaduje. Otázka týkajúca sa testovaného plánu kontinuity podnikania sa týka manažovania kríz a obnovy po incidentoch, jedného z desiatich opatrení z článku 21 ods. 2 smernice NIS2. Testovanie môže prebiehať na viacerých úrovniach: stolová cvičenie, pri ktorom tím prerokúva scenár, technický test failover, pri ktorom sa skutočne prepína na núdzové zásobovanie, alebo úplná simulácia s obnovením zo zálohy. Čo presne chce klient vidieť, zvyčajne nie je uvedené v samotnej otázke, ale v sprievodnom vysvetlení — ak tam stojí "dôkaz o poslednom teste", samostatný politický dokument nie je dostačujúci.

Ak má podnik plán kontinuity, ale ešte nebol testovaný, najúprimnejšou odpoveďou je "nie" s vysvetlením o plánovanom dátume testu, ak taký existuje. Vyplnenie "áno" preto, že plán existuje, zatiaľ čo nikto nikdy necvičil alebo si naozaj nevrátiť zálohu, je taký typ odpovede, ktorá sa pri neskoršej audite alebo incidente stále vynorí. Táto téma priamo súvisí s zálohách a núdzovom opatrení na obnovenie poskytovania služby — tam je uvedené, čo sa počítá ako dôkaz pre kontinuitnú stranu tej istej otázky.

Odkiaľ to pochádza: článok 21 a povinnosť testovania

Článok 21 ods. 2 smernice NIS2 spomína "kontinuitu podnikania, ako je správa záloh a obnova v núdzových situáciách, a manažovanie kríz" ako jedno z desiatich povinných opatrení; ISO/IEC 27001 to rozpracováva v kontrolách v Prílohe A okolo manažovania kontinuity, kde testovanie a vyhodnocovanie sú štandardnou súčasťou opatrenia, nie samostatným krokom. To, či je testovaná politika kontinuity povinná aj pre vlastný podnik podľa holandského zákona o kybernetickej bezpečnosti, závisí od toho, či sa podnik sam nachádza v rozsahu použitia — pozri alebo či podnik sám spadá pod smernicu NIS2Bez tejto povinnosti si klient často táto otázka kladie jednoducho preto, že netestovaný plán je v praxi predpoklad, nie istota.