spørgeskemaet spørger, om vi har en business continuity-plan

BCP er opfyldelsen af artikel 21, stk. 2, litra c

En business continuity plan er svaret på spørgsmålet om, hvordan serviceydelsen fortsætter ved nedbrud, og det er præcis det, som artikel 21, stk. 2, litra c i NIS2 spørger om: kontinuitetsstyring, med backups, nødherstel (disaster recovery) og krisestyring. Hvis man har en BCP, kan man som regel svare "ja" — men dokumentet skal også virkelig dække disse tre dele, ikke kun en backupplan. En kopi af kun backuppolitikken er sædvanligvis ikke tilstrækkelig som bevis; spørgeskemaet spørger efter genoprettelsesplanen, ikke teknikken bag den. Undersøg derfor om de backup- og nødforsyninger som din kunde har i tankerne stemmer overens med det, du faktisk har fastlagt.

Hvis du ikke har et selvstændigt BCP-dokument, men derimod fungerende backups og en uformel aftale om, hvem der gør hvad ved nedbrud, så er "nej" med en forklaring mere ærligt end "ja" med et halvt passende dokument. Mange kunder accepterer i praksis et ISO 27001-certifikat som erstatningsbevis for hele dette afsnit, fordi kontinuitet er en del af Annex A. Er det tilfældet for dig, så henviser du til ISO 27001-certifikatet som generelt bevis i stedet for at konstruere en BCP, som der ikke er.

Hvor det findes: artikel 21, stk. 2, litra c og Annex A.5.29/5.30

Artikel 21, stk. 2 i NIS2-direktivet nævner ti kategorier af foranstaltninger, som er obligatoriske efter direktivet for de enheder, der er omfattet heraf; litra c handler specifikt om kontinuitetsstyring, med backupbehandling, disaster recovery og krisestyring som nævnte dele. I ISO/IEC 27001 vender dette tilbage i Annex A under kontrolforanstaltninger for informationssikkerhed ved forstyrrelser (business continuity) og den tilhørende backupforanstaltning. Den danske Cybersikkerhedsloven implementerer dette krav i national lovgivning og træder efter forventning i kraft den 15. august 2026; indtil da er NIS2 selv kilder til indholdet af kravet.