clientul întreabă cum răspundem la un incident cibernetic, cum completez aceasta

Planul de răspuns la incidente: proces, nu doar document

Întrebarea privind planul de răspuns la incidente se referă la modul în care organizația reacționează atunci când se constată un incident de securitate: cine este alertat, cine decide cu privire la escaladare, cum se inițiază remedierea și cum se raportează către clienți sau autorități de supraveghere. Un format solicită adesea documentul în sine — planul de răspuns la incidente sau descrierea procedurii — dar majoritatea părților care achiziționează testează implicit și dacă planul a fost vreodată utilizat sau testat. Un răspuns "da, există un plan" fără ca vreodată să fi existat un exercițiu sau un incident real este de fapt corect, dar slab; menționați că există o procedură și ce puteți demonstra cu privire la aceasta, cum ar fi un raport de test sau o evaluare după un incident anterior.

Dacă lipsește un plan formal testat, atunci "nu" cu o scurtă explicație este mai bine decât un "da" completat fără un document subiacent. Unii clienți solicită în mod specific termene de notificare către ei ca achizitori — aceasta este o înțelegere contractuală, nu neapărat același termen ca o obligație legală de notificare. Nu confundați cele două în răspuns: ceea ce vă angajați față de clientul dumneavoastră într-un SLA este separat de ceea ce ar putea trebui raportat unui regulator. Această întrebare este adesea legată de procedura de gestionare a incidentelor de securitateși de întrebarea dacă remedierea și trecerea la alternate sunt bine reglementate prin copii de siguranță și o prevedere de urgență — un format împarte aceasta uneori pe mai multe întrebări care aparțin împreună în dosar.

Bază: articolul 21 alineatul 2 din NIS2 și Anexa A

Gestionarea incidentelor este menționată ca o măsură separată în articolul 21 alineatul 2 din directiva NIS2, alături de analiza riscurilor și continuitatea afacerii — este una dintre cele zece măsuri pe care le distinge directiva. ISO/IEC 27001 elaborează aceasta în măsurile de control din Anexa A, unde gestionarea incidentelor formează o categorie separată cu cerințe privind detectarea, răspunsul și evaluarea. Legea privind securitatea cibernetică transpune această obligație în dreptul român și se preconizează că va intra în vigoare pe 15 august 2026; până la acea dată, conformarea cu directiva în sine este punctul de plecare pentru motivarea unui răspuns.