Har virksomheden en plan for at fortsætte driften ved alvorlige forstyrrelser?

Business continuity som særskilt foranstaltning inden for artikel 21, stk. 2

Dette spørgsmål handler om business continuity management: har virksomheden en plan for at fortsætte driften, hvis en hændelse forstyrrer normal drift. Dette er én af de ti foranstaltninger, som artikel 21, stk. 2 i NIS2-direktivet nævner, sammen med blandt andet risikovurdering, hændelseshåndtering og adgangskontrol. Ordlyden i denne bestemmelse nævner eksplicit backup-styring, katastrofegendannelse og krisestyring som dele af dette område — det handler således ikke kun om en skriftlig plan, men om et sammenhængende sæt af genopretningsforanstaltninger.

Et ubetinget "ja" forudsætter mere end en kundeerklæring. Spørgere forventer som regel, at der findes en kontinuitetsplan, at den er testet eller øvet, og at den indeholder konkrete elementer: et alternativt sted eller en facilittet, en backup-strategi med genopretningspunkter, og en kriseorganisation med roller og eskalationsveje. Hvis en af disse dele mangler, er "endnu til bestemmelse" eller "delvis" ofte et mere ærligt svar end et ubetinget "ja" — især fordi mange kundeportaler følger dette op med en anmodning om at uploade planen eller et sammendrag heraf.

Hvad der anmodes om som dokumentation

Begrundelsen følger direkte fra artikel 21, stk. 2, litra c, i direktiv (EU) 2022/2555: business continuity, såsom backup-styring og katastrofegendannelse, og krisestyring. Dette er én af de ti konkrete foranstaltninger, som direktivet nævner som del af den risikostyring, som virksomheder skal gennemføre. Når svaret underbygges, sker det normalt med kontinuitetsplanen selv, en testrapport fra sidste øvelse, eller et overblik over backup- og alternativfaciliteterne. Dette er i overensstemmelse med, hvordan den sektor, som virksomheden er aktiv i påvirker det, hvad en spørger anser for "tilstrækkeligt": en kritisk sektor får ofte strengere opfølgningsspørgsmål end en virksomhed, der kun leverer til større kunder af og til. Også spørgsmålet om virksomhedens antal medarbejdere spiller nogle gange en rolle her, fordi organisationens størrelse indgår i, hvad en realistisk kontinuitetsplan indebærer — en solistisk virksomhed med en ekstern hostingudbyder har naturligvis andre alternativbehov end en virksomhed med sit eget serveranlæg.