frågelistan frågar om affärskontinuitetsplanen har testats vad svarar jag

Testad betyder här: övad, inte bara skriven

Nej, en plan som bara finns på papper och aldrig övats testas inte mot vad som krävs här. Frågan om en testad affärskontinuitetsplan handlar om krishantering och återhämtning efter incidenter, en av tio åtgärder i artikel 21 stycke 2 i NIS2. Testning kan ske på flera nivåer: en bordövning där teamet går igenom ett scenario, ett tekniskt redundanstest där man faktiskt byter till en nödberedskap, eller en fullständig simulering med återställning från säkerhetskopia. Vad kunden exakt vill se framgår vanligtvis inte av själva frågan utan av förklaringen vid sidan — om det står "bevis på senaste test" räcker det inte med ett löst policysdokument.

Om företaget har en kontinuitetsplan men den inte testats ännu är det mest ärligt att svara "nej" med en förklaring om planerat testdatum, om det finns ett. Att fylla i "ja" för att planen finns, medan ingen någonsin har övat eller verifierat att säkerhetskopiorna faktiskt återställs, är den typ av svar som dyker upp igen vid senare revision eller incidenter. Detta ämne rör direkt vid säkerhetskopior och en nödlösning för att återställa tjänstleveransen — där framgår vilket bevis som räknas för kontinuitetsaspekten av samma fråga.

Varifrån detta kommer: artikel 21 och granskningsmandatet

Artikel 21 stycke 2 i NIS2-direktivet nämner "affärskontinuitet, såsom hantering av säkerhetskopior och nödberedskap, och krishantering" som en av tio obligatoriska åtgärder; ISO/IEC 27001 utvecklar detta i Annex A-kontroller kring kontinuitetshantering, där testning och utvärdering är en standarddel av åtgärden, inte ett separat steg. Huruvida testad kontinuitetspolicy också är obligatorisk för det egna företaget enligt holländsk cybersäkerhetslag beror på om företaget faller inom tillämpningsområdet — se eller om företaget självt omfattas av NIS2-direktivetOavsett den skyldigheten frågar en kund ofta detta helt enkelt för att en otesterad plan i praktiken är ett antagande, inte en säkerhet.