kyselylomake kysyy, onko liiketoiminnan jatkuvuussuunnitelma testattu, mitä vastaan

Testattu tarkoittaa tässä: harjoiteltu, ei vain kirjoitettu paperille

Ei, suunnitelma, joka on olemassa vain paperilla eikä koskaan harjoiteltu, ei täytä mitä tässä vaaditaan. Kysymys testatusta liiketoiminnan jatkuvuussuunnitelmasta koskee kriisinhallintaa ja palautumista häiriötapahtumista, joka on yksi kymmenestä toimenpiteestä NIS2-direktiivin 21 artiklan 2 kohdan mukaan. Testaaminen voi tapahtua usealla tasolla: pöytäharjoitus, jossa tiimi käsittelee skenaariota, tekninen failover-testi, jossa todellisuudessa siirrytään noodhäädyn toimittajalle, tai täysin simulaatio, jossa palautetaan varauksesta. Mitä asiakas tarkalleen haluaa nähdä, on yleensä kirjoitettu ei itse kysymykseen vaan sen ohjeissa — jos siellä sanotaan "todiste viimeisimmästä testista", irrotettu politiikkaasiakirja ei riitä.

Jos yrityksellä on jatkuvuussuunnitelma mutta sitä ei ole vielä testattu, rehellisempi vastaus on "ei" sekä selvitys suunnitellusta testipäivämäärästä, jos sellainen on olemassa. "Kyllä" vastaaminen siksi, että suunnitelma on olemassa, vaikka kukaan ei ole koskaan harjoitellut tai varauksesta palauttamista, on sellainen vastaus, joka tulee silti esille myöhemmässä auditoinnissa tai häiriötapahtumassa. Tämä aihe koskee suoraan varmuuskopioista ja hätävarautumisesta palvelun toiminnan palauttamiseksi — siellä kerrotaan, mikä lasketaan todisteeksi jatkuvuuden puolesta samaan kysymykseen.

Mistä tämä tulee: 21 artikla ja tarkistusvelvollisuus

NIS2-direktiivin 21 artiklan 2 kohta mainitsee "liiketoiminnan jatkuvuuden, kuten varmuuskopioinnin hallinnon ja noodhäädyn, sekä kriisinhallinnon" yhtenä kymmenestä pakollisesta toimenpiteestä; ISO/IEC 27001 kehittää tätä Annex A:n hallintakeinoissa jatkuvuudenhallinnon ympärillä, joissa testaaminen ja arviointi ovat hallintakeinon normaali osa, ei erillinen vaihe. Se, onko testattu jatkuvuuspolitiikka pakollinen myös omalle yritykselle Alankomaiden kyberturvallisuuslain mukaan, riippuu siitä, koskeeko yritys soveltamisalaa — katso siitä tai kuuluuko yritys itse NIS2-direktiivin soveltamisalaan— siellä kerrotaan, mikä lasketaan todisteeksi jatkuvuuden puolesta.