el cuestionario pregunta si se ha probado el plan de continuidad empresarial qué respondo

Probado significa aquí: ejercitado, no solo escrito

No, un plan que existe solo en papel y nunca ha sido ejercitado no cumple con lo que aquí se solicita. La pregunta sobre un plan de continuidad empresarial probado se refiere a la gestión de crisis y recuperación tras incidentes, una de las diez medidas del artículo 21 apartado 2 de NIS2. Las pruebas pueden realizarse en varios niveles: un ejercicio de mesa donde el equipo trabaja a través de un escenario, una prueba técnica de conmutación por error donde se cambia efectivamente a una provisión de emergencia, o una simulación completa con recuperación desde copia de seguridad. Lo que el cliente quiere ver exactamente no suele estar en la pregunta en sí sino en la aclaración adjunta — si dice «prueba de la última prueba», un documento de política aislado no es suficiente.

Si la empresa tiene un plan de continuidad pero aún no ha sido probado, la respuesta más honesta es «no» con una aclaración sobre la fecha de prueba prevista, si la hay. Marcar «sí» porque el plan existe, cuando nadie jamás ha ejercitado o realmente restaurado la copia de seguridad, es el tipo de respuesta que resurge en una auditoría posterior o incidente. Este tema afecta directamente a copias de seguridad y una medida de emergencia para restablecer la prestación del servicio — allí se establece qué cuenta como prueba para el aspecto de continuidad de la misma pregunta.

De dónde viene esto: artículo 21 y la obligación de evaluación

El artículo 21 apartado 2 de la Directiva NIS2 menciona «continuidad empresarial, como gestión de copias de seguridad y recuperación ante desastres, y gestión de crisis» como una de las diez medidas obligatorias; ISO/IEC 27001 lo desarrolla en los controles del Anexo A sobre gestión de continuidad, donde las pruebas y la evaluación son parte estándar de la medida, no un paso separado. Si la política de continuidad probada también es obligatoria para la propia empresa según la Ley de Ciberseguridad holandesa depende de si la empresa cae dentro del ámbito de aplicación — véase para ello si la empresa se incluye de forma independiente en la Directiva NIS2— independientemente de esa obligación, un cliente suele hacer esta pregunta simplemente porque un plan no probado en la práctica es una suposición, no una certeza.