¿Tiene la empresa un plan para continuar con la actividad empresarial en caso de perturbación grave?

Continuidad empresarial como medida individual dentro del artículo 21, apartado 2

Esta pregunta se refiere a la gestión de la continuidad empresarial: ¿tiene la empresa un plan para continuar sus operaciones si un incidente interrumpe el curso normal de los negocios? Esta es una de las diez medidas que menciona el artículo 21, apartado 2, de la Directiva NIS2, junto con, entre otras, análisis de riesgos, gestión de incidentes y política de acceso. La letra de dicho apartado menciona explícitamente la gestión de copias de seguridad, recuperación ante desastres y gestión de crisis como componentes de este tema — no se trata solo de un plan escrito, sino de un conjunto coherente de medidas de recuperación.

Una respuesta completamente afirmativa presupone más que una declaración de intenciones. Los formuladores de preguntas suelen esperar que exista un plan de continuidad, que haya sido probado o practicado, y que contenga elementos concretos: una ubicación o instalación alternativa, una estrategia de copias de seguridad con puntos de recuperación, y una organización de crisis con funciones y líneas de escalada. Si falta alguno de estos componentes, "por determinar" o "parcial" suele ser una respuesta más honesta que un "sí" completo — especialmente porque muchos portales de clientes dan seguimiento con una solicitud de carga del plan o un resumen del mismo.

Lo que se solicita como prueba

La justificación se deriva directamente del artículo 21, apartado 2, letra c, de la Directiva (UE) 2022/2555: continuidad empresarial, como la gestión de copias de seguridad y recuperación ante desastres, y gestión de crisis. Esta es una de las diez medidas concretas que la Directiva menciona como parte de la gestión de riesgos que deben adoptar las entidades. Quien fundamenta la respuesta suele hacerlo con el propio plan de continuidad, un informe de prueba del último ejercicio, o un resumen de las disposiciones de copias de seguridad y recuperación. Esto se alinea con cómo el sector en el que opera la empresa influye en lo que un formulador de preguntas considera "suficiente": un sector crítico suele recibir preguntas de seguimiento más estrictas que una empresa que solo suministra ocasionalmente a clientes más grandes. También la pregunta sobre el número de empleados de la empresa juega aquí a veces un papel, porque el tamaño de la organización influye en lo que supone un plan de continuidad realista — una empresa unipersonal con un proveedor de alojamiento externo tiene necesidades de recuperación diferentes a las de una empresa con su propio centro de datos.