Ar įmonė turi planą verslo veiklai tęsti esant rimtam sutrikdymui?

Verslo tęstinumas kaip atskira priemonė pagal 21 straipsnio 2 dalį

Šis klausimas susietas su verslo tęstumo valdymu: ar įmonė turi planą tolimesnei veiklos tęsti, jei nenumatytas įvykis sutrikdo normalią jos veiklą. Tai viena iš dešimties priemonių, kurias nurodo NIS2 direktyvos 21 straipsnio 2 dalis, kartu su, be kita ko, rizikos analize, incidentų tvarka ir prieigos politika. Minėto straipsnio raidė aiškiai nurodo atsarginės kopijos tvarkymo, katastrofų atkūrimo ir krizės valdymo procedūras kaip šios srities dalis — todėl kalbama ne tik apie rašytą planą, bet apie suderintą atkūrimo priemonių visumą.

Visas "taip" reikalauja daugiau nei ketinimo deklaracijos. Klausytojų sudarytojai paprastai tikisi, kad egzistuoja verslo tęstinumo planas, kad jis buvo išbandytas arba pratybų metu, ir kad jame yra konkretūs elementai: alternatyvus biuras arba įrenginys, atsarginė strategija su atkūrimo taškais ir krizės organizacija su vaidmenimis bei eskalacijos linijomis. Jei trūksta vieno iš šių komponentų, tai "dar turi būti nustatyta" arba "iš dalies" dažnai yra sąžiningesnias atsakymas nei visas "taip" — ypač atsižvelgiant į tai, kad daugelis kliento portalų klausingai tai papildo užklausa nusiųsti planą arba jo santrauką.

Kas prašoma kaip įrodymas

Pagrindimas tiesiogiai kyla iš Direktyvos (ES) 2022/2555 21 straipsnio 2 dalies c punkto: verslo tęstinumas, pavyzdžiui, atsarginių kopijų valdymas ir skubiai atkūrimas, bei krizės valdymas. Tai viena iš dešimties konkrečių priemonių, kurias direktyva nurodo kaip rizikos valdymo dalį, kurią turi taikyti subjektai. Tie, kurie pagrindžia atsakymą, tai paprastai daro pateikdami patį verslo tęstinumo planą, paskutinių pratybų testą, arba atsarginių kopijų ir alternatyvių biurų aprašą. Tai atitinka, kaip sektoriaus, kuriame veikia įmonė, daro didelę įtaką tam, ką prašymų pateikėjas laiko "pakankamu": kritinis sektorius dažnai sulaukia griežtesnių papildomų klausimų nei įmonė, tik retais atvejais tiekianti didesnėms perka­lų šaltiniams. Taip pat klausimas apie įmonės darbuotojų skaičių čia kartais vaidina vaidmenį, nes organizacijos dydis įtakoja tai, ką realistiškas tęstinumo planas apima — vieno žmogaus įmonė su išorine hosting'o partnerio paslaugomis tikrai turi kitokius persigrupavimo poreikius nei įmonė, turinti savo serverių parką.