Heeft de onderneming een plan om de bedrijfsvoering voort te zetten bij een ernstige verstoring?

Business continuity als losse maatregel binnen artikel 21 lid 2

Deze vraag gaat over business continuity management: heeft de onderneming een plan om de bedrijfsvoering voort te zetten als een incident de normale gang van zaken verstoort. Dit is één van de tien maatregelen die artikel 21 lid 2 van de NIS2-richtlijn noemt, naast onder meer risicoanalyse, incidentafhandeling en toegangsbeleid. De letter van dat lid noemt expliciet backupbeheer, disaster recovery en crisisbeheer als onderdelen van dit thema — het gaat dus niet alleen om een geschreven plan, maar om een samenhangend geheel van herstelvoorzieningen.

Een volmondig "ja" veronderstelt meer dan een intentieverklaring. Vraagstellers verwachten meestal dat er een continuïteitsplan bestaat, dat het is getest of geoefend, en dat het concrete elementen bevat: een uitwijklocatie of -voorziening, een backupstrategie met herstelpunten, en een crisisorganisatie met rollen en escalatielijnen. Ontbreekt een van die onderdelen, dan is "nog te bepalen" of "deels" vaak een eerlijker antwoord dan een volledig "ja" — zeker omdat veel klantportalen dit doorvragen met een verzoek om het plan of een samenvatting ervan te uploaden.

Wat als bewijsstuk wordt gevraagd

De onderbouwing volgt rechtstreeks uit artikel 21 lid 2, onderdeel c, van Richtlijn (EU) 2022/2555: bedrijfscontinuïteit, zoals beheer van back-ups en noodherstel, en crisisbeheer. Dat is een van de tien concrete maatregelen die de richtlijn noemt als onderdeel van het risicobeheer dat entiteiten moeten treffen. Wie het antwoord onderbouwt, doet dat meestal met het continuïteitsplan zelf, een testverslag van de laatste oefening, of een overzicht van de backup- en uitwijkvoorzieningen. Dat sluit aan bij hoe de sector waarin de onderneming actief is van invloed is op wat een vraagsteller als "voldoende" beschouwt: een kritieke sector krijgt vaak strengere vervolgvragen dan een onderneming die alleen incidenteel aan grotere afnemers levert. Ook de vraag naar het aantal medewerkers van de onderneming speelt hier soms een rol, omdat de omvang van de organisatie meeweegt in wat een realistisch continuïteitsplan inhoudt — een eenpitter met een externe hostingpartij heeft nu eenmaal andere uitwijkbehoeften dan een onderneming met een eigen serverpark.