küsimustik küsib, kas ärikontinueerimisplaan on testitud, mida ma vastaksin

Testitud tähendab siin: harjutatud, mitte ainult kirjalikult

Ei, plaan, mis eksisteerib ainult paberil ja mida kunagi harjutatud ei ole, ei vasta sellele, mida siin küsitakse. Küsimus testitud ärikontinuumiplaanis käsitleb kriisijuhtimist ja taastumist intsidentide järel, mis on üks kümneist meetmest artikli 21 lõike 2 alusel NIS2-st. Testimine võib toimuda mitmel tasandil: lauapöörde harjutus, kus meeskond arutab stsenaariumi, tehniline failover-test, kus tegelikult lülitutakse üle hädavarustusele, või täielik simulatsioon koos taastamisega varukoopist. Mida klient täpselt näha soovib, pole tavaliselt küsimuses endas kirjas, vaid selle juures oleval selgitusel — kui seal on kirjas "tõend viimase testi kohta", siis eraldi poliitiikadokument ei ole piisav.

Kui ettevõttel on küll jätkusuutlikkuse plaan, kuid seda pole veel testitud, siis ausaim vastus on "ei" koos selgitusega kavandatud testi kuupäeva kohta, kui see on olemas. "Jah" sisestamine ainult sellepärast, et plaan on olemas, samas kui keegi pole kunagi harjutanud või varukoopia tegelikult tagasi ei seata, on selline vastus, mis hilisema auditi või intsidendi korral ikka pinnale tõuseb. See teema puudutab otseselt varukoopiate ja avariilise teenuse osutamise taastamisega — seal on kirjas, mis arvelduseks loetakse jätkusuutlikkuse poolel sama küsimuse jaoks.

Kust see pärineb: artikkel 21 ja kontrollimiskohustus

NIS2-direktiivi artikli 21 lõige 2 nimetab "ärikontinuumit, näiteks varukoopiate ja hädaolukorra taastamise juhtimist ning kriisijuhtimist" ühe kahekümne verplichtava meetmena; ISO/IEC 27001 käsitleb seda üksikasjalikumalt Annex A juhtkontrolli meetmetes, mis käsitlevad jätkusuutlikkuse juhtimist, kus testimine ja hindamine on juhtkontrolli standardse osa, mitte eraldi samm. Kas testitud jätkusuutlikkuse politiika on kohustuslik ka enda ettevõtte jaoks vastavalt Hollandi küberjulgeoleku seadusele, sõltub sellest, kas ettevõte ise kuulub rakendamisalasse — vt selleks või ettevõte ise ei kuulu NIS2-direktiivi alla— see kirjeldab, mis loetakse tõenduseks jätkusuutlikkuse poolel selle sama küsimuse jaoks.