въпросникът пита дали сме разработили план за реагиране на инцидент

Планът за реагиране на инциденти е една от десетте мерки от член 21

Да, това е разпознаваемо съставна част: член 21, параграф 2, буква б на Директива NIS2 споменава "управление на инциденти" като една от десетте задължителни мерки. Клиентът не пита за неясна готовност да направи нещо при някоя хака, а за установена процедура: кой докладва инцидент, кой оценява въздействието, кой решава за ескалация и комуникация, и в какъв период. Ако тази процедура съществува и е документирана, това е потвърждаващ отговор с документа като доказателство. Ако не съществува, или живее само в главите на хората, тогава "не" е честния отговор — половинчат "да" без основополагащ документ наносит при одит повече вреда, отколкото "не" с обяснение, че е в разработка.

Обърнете внимание на разликата спрямо въпроса за откритие и намиране: планът за реагиране на инциденти трябва с това, което се случва след като нещо е установено, не с това как се намират уязвимостите — последното принадлежи към процеса за идентифициране и отстраняване на уязвимостите. Някои въпросници пътят това като отделен въпрос, други го комбинират с приемственост ("как възстановявате услугата"), което е различен предмет и се отговаря чрез въпроса за резервни копия и аварийни мерки. Следователно е необходимо в ketendossier плана за реагиране и приемствеността да бъдат съхранени като отделни доказателства, дори ако на практика стоят в един документ.

Където това е посочено в директивата и стандарта

Член 21, параграф 2, буква б на Директива (ЕС) 2022/2555 споменава "управление на инциденти" дословно като задължителна мер наред с другите девет от този параграф. В ISO/IEC 27001 това се връща при Приложение А, при контролните мерки относно управлението на инциденти в информационната сигурност — кой вече за друга цел сертифициран е според ISO 27001 вероятно вече разполага с този документ. Законът за кибербезопасност преобразува член 21 в холандски правила, но влизането в сила се предвижда на 15 август 2026 г.; до този момент самата директива е рамката, която трябва да се спазва за тези, които трябва да преценят дали вече е наред.