Fragebogen fragt, ob der Geschäftskontinuitätsplan getestet wurde, welche Antwort gebe ich

Getestet bedeutet hier: geübt, nicht nur aufgeschrieben

Nein, ein Plan, der nur auf dem Papier existiert und nie geübt wurde, erfüllt nicht das, was hier verlangt wird. Die Frage nach einem getesteten Business-Continuity-Plan bezieht sich auf Krisenmanagement und Wiederherstellung nach Vorfällen, eine der zehn Maßnahmen aus Artikel 21 Absatz 2 der NIS2-Richtlinie. Testen kann auf mehreren Ebenen stattfinden: eine Tabletop-Übung, bei der das Team ein Szenario durchspricht, ein technischer Failover-Test, bei dem tatsächlich zu einer Notfallversorgung umgeschaltet wird, oder eine vollständige Simulation mit Wiederherstellung aus Backup. Was der Kunde genau sehen möchte, steht normalerweise nicht in der Frage selbst, sondern in der Erläuterung dazu — wenn dort "Nachweis der letzten Prüfung" steht, ist ein bloßes Richtliniendokument nicht ausreichend.

Falls das Unternehmen ein Kontinuitätsplan hat, dieser aber noch nicht getestet wurde, ist die ehrlichste Antwort "nein" mit einer Erläuterung zum geplanten Testtermin, falls vorhanden. Ein "ja" anzukreuzen, weil der Plan vorhanden ist, während niemand je geübt hat oder das Backup auch wirklich wiederhergestellt wird, ist die Art von Antwort, die bei einer späteren Prüfung oder bei einem Vorfall noch ans Licht kommt. Dieses Thema berührt unmittelbar Sicherungen und eine Notfalllösung zur Wiederherstellung der Diensterbringung — dort steht, was als Nachweis für die Kontinuitätsseite derselben Frage zählt.

Woher das kommt: Artikel 21 und die Prüfungspflicht

Artikel 21 Absatz 2 der NIS2-Richtlinie nennt "Geschäftskontinuität, wie beispielsweise Backup- und Notfallwiederherstellungsmanagement sowie Krisenmanagement" als eine der zehn erforderlichen Maßnahmen; ISO/IEC 27001 konkretisiert dies in den Beherrschungsmaßnahmen der Anlage A zum Kontinuitätsmanagement, wobei Testen und Bewertung ein Standardbestandteil der Maßnahme sind, nicht ein separater Schritt. Ob getestete Kontinuitätsrichtlinien auch für das eigene Unternehmen gemäß des niederländischen Cybersicherheitsgesetzes erforderlich sind, hängt davon ab, ob das Unternehmen selbst in den Geltungsbereich fällt — siehe dazu oder ob das Unternehmen selbst unter die NIS2-Richtlinie fällt. Unabhängig von dieser Verpflichtung fragt ein Kunde dies oft einfach deshalb, weil ein ungetesteter Plan in der Praxis eine Annahme ist, keine Gewissheit.