Czy przedsiębiorstwo posiada plan zapewnienia ciągłości działalności w przypadku poważnego zakłócenia?

Ciągłość działalności jako odrębny środek w ramach artykułu 21 ust. 2

To pytanie dotyczy zarządzania ciągłością działalności: czy przedsiębiorstwo posiada plan zapewnienia ciągłości działalności, jeśli incydent zakłóci normalny przebieg działalności. Jest to jeden z dziesięciu środków wymienionych w artykule 21 ust. 2 dyrektywy NIS2, obok m.in. analizy ryzyka, obsługi incydentów i polityki dostępu. Treść tego ustępu wyraźnie wymienia zarządzanie kopiami zapasowymi, odzyskiwanie po awarii i zarządzanie kryzysowe jako elementy tego tematu — nie chodzi więc tylko o pisemny plan, lecz o spójny zestaw środków przywracających funkcjonalność.

Całkowita odpowiedź "tak" zakłada więcej niż deklarację intencji. Osoby zadające pytania zwykle oczekują, że istnieje plan ciągłości, że został on przetestowany lub ćwiczony, oraz że zawiera konkretne elementy: lokalizację lub urządzenie zastępcze, strategię kopii zapasowych z punktami przywracania, oraz strukturę kryzysową z określonymi rolami i ścieżkami eskalacji. Jeśli brakuje któregoś z tych elementów, odpowiedź "do ustalenia" lub "częściowo" jest często bardziej szczera niż całkowite "tak" — tym bardziej że wiele portali klientów pyta dalej z prośbą o przesłanie planu lub jego streszczenia.

To, co jest wymagane jako dokumentacja potwierdzająca

Uzasadnienie wynika bezpośrednio z artykułu 21 ust. 2 lit. c dyrektywy (UE) 2022/2555: ciągłość działalności, taka jak zarządzanie kopiami zapasowymi i noodherstel, oraz zarządzanie kryzysowe. Jest to jeden z dziesięciu konkretnych środków wymienionych w dyrektywie jako część zarządzania ryzykiem, które muszą wdrożyć podmioty. Ci, którzy uzasadniają odpowiedź, zwykle robią to za pomocą samego planu ciągłości, sprawozdania z ostatniego testu lub ćwiczenia, lub przeglądu urządzeń do tworzenia kopii zapasowych i lokalizacji zastępczych. To jest spójne z tym, jak sektor, w którym przedsiębiorstwo operuje wpływa na to, co osoba zadająca pytania uważa za "wystarczające": sektor krytyczny często otrzymuje bardziej restrykcyjne pytania uzupełniające niż przedsiębiorstwo, które tylko okazjonalnie dostarcza większym odbiorcom. Również pytanie o liczbę pracowników przedsiębiorstwa ma czasem znaczenie, ponieważ rozmiar organizacji wpływa na to, co jest realistycznym planem ciągłości — jednoosobowa działalność z zewnętrznym dostawcą hostingu ma oczywiście inne potrzeby w zakresie zastępowalności niż przedsiębiorstwo z własnym parkiem serwerów.