Seznam vprašanj vprašuje, ali je načrt nadaljevanja poslovanja testiran, kaj odgovorim

Testirano pomeni tukaj: vadljeno, ne le napisano

Ne, načrt, ki obstaja samo na papirju in nikoli ni bil vadljen, ne izpolnjuje tega, kar se tukaj zahteva. Vprašanje o testiranem načrtu za kontinuiteto poslovanja se nanaša na upravljanje kriz in okrevanje po incidentih, eno od desetih ukrepov iz člena 21(2) direktive NIS2. Testiranje je mogoče izvesti na več ravneh: vadična vaja za mizo, pri kateri ekipa pregleda scenarij, tehnični test prestopa, pri katerem se dejansko preklopi na nujno napajanje, ali popolna simulacija s okrevanjem iz varnostne kopije. Kaj natanko želi videti kupec, navadno ni navedeno v samem vprašanju, ampak v navodilu zraven — če tam piše "dokazilo zadnjega testa", samostojni dokument o politiki ni dovolj.

Če ima podjetje sicer načrt za kontinuiteto, vendar ta še ni testiran, je najbolj iskreno odgovoriti "ne" z razlago o načrtovanem datumu testiranja, če obstaja. Vnos "da", ker načrt obstaja, medtem ko nihče nikoli ni vadljen ali varnostna kopija dejansko ni obnovljena, je vrsta odgovora, ki se pri kasnejšem revizijskem pregledu ali incidentu spet pojavi. Ta tema se neposredno dotika varnostnih kopijah in nujni oskrbi za obnovitev zagotavljanja storitve — tam je navedeno, kaj šteje kot dokazilo za stran kontinuitete istega vprašanja.

Od koder to prihaja: člen 21 in obveznost preverjanja

Člen 21(2) direktive NIS2 navaja "kontinuiteto poslovanja, kot je upravljanje varnostnih kopij in nujno okrevanje ter upravljanje kriz" kot eno od desetih obveznih ukrepov; ISO/IEC 27001 to izčrpno obdeluje v nadzornih ukrepih Priloge A v zvezi z upravljanjem kontinuitete, pri čemer sta testiranje in vrednotenje standardni del ukrepa, ne ločen korak. Ali je testirano politiko kontinuitete obvezno tudi za lastno podjetje v skladu z nizozemskim Zakonom o kibernetski varnosti, je odvisno od tega, ali podjetje spada v obseg uporabe — za to glejte ali podjetje samo spada pod Direktivo NIS2. Neodvisno od te obveznosti kupec to pogosto sprašuje preprosto zato, ker je netestirani načrt v praksi predpostavka, ne pa gotovost.