Har företaget en plan för att fortsätta verksamheten vid allvarlig störning?

Affärskontinuitet som separat åtgärd enligt artikel 21 stycke 2

Denna fråga handlar om affärskontinuitetshantering: har företaget en plan för att fortsätta verksamheten om en incident stör den normala verksamheten. Detta är en av tio åtgärder som artikel 21 stycke 2 i NIS2-direktivet nämner, tillsammans med bland annat riskanalys, incidenthantering och åtkomstpolicy. Texten i det stycket nämner uttryckligen säkerhetskopieringshantering, katastrofåterställning och krishantering som delar av detta tema — det handlar alltså inte bara om en skriftlig plan, utan om ett samordnat system av återställningsåtgärder.

Ett obetingat "ja" förutsätter mer än en avsiktsförklaring. Frågställare förväntar sig vanligtvis att det finns en kontinuitetsplan, att den har testats eller genomförts i övning, och att den innehåller konkreta element: en alternativ plats eller anordning, en säkerhetskopieringsstrategi med återställningspunkter, och en krishanteringsorganisation med roller och eskalationsvägar. Om något av dessa element saknas, är "ännu ej fastställt" eller "delvis" ofta ett mer ärligt svar än ett helt "ja" — särskilt eftersom många kundportaler följer upp detta med en begäran om att ladda upp planen eller en sammanfattning av den.

Vad som efterfrågas som bevis

Stödet följer direkt från artikel 21 stycke 2, punkt c, i direktiv (EU) 2022/2555: affärskontinuitet, såsom hantering av säkerhetskopior och katastrofåterställning, och krishantering. Detta är en av tio konkreta åtgärder som direktivet nämner som en del av den riskhantering som enheter måste vidta. Den som underbygger svaret gör det vanligtvis med kontinuitetsplanen själv, en testrapport från den senaste övningen, eller en översikt över säkerhetskopie- och alternativa anordningar. Detta överensstämmer med hur den sektor där företaget är verksamt påverkar vad en frågställare anser vara "tillräckligt": en kritisk sektor får ofta strängare följdfrågor än ett företag som endast levererar till större köpare då och då. Frågan om företagets antal anställda spelar också ibland en roll här, eftersom organisationens storlek väger in i vad en realistisk kontinuitetsplan innebär — en enmansfirma med en extern hostingpartner har helt enkelt andra behov av alternativa anordningar än ett företag med en egen serverpark.