kyselylomake kysyy, onko meillä liiketoiminnan jatkuvuussuunnitelma

BCP on artiklan 21 kohdan 2 alakohdan c täyttäminen

Business continuity plan on vastaus kysymykseen, miten palvelun toimittaminen jatkuu katkoksen sattuessa, ja juuri sitä artiklan 21 kohta 2 alakohta c NIS2-direktiivissä kysyy: jatkuvuuden hallinta, varmuuskopiointi, palautuminen katastrofista (disaster recovery) ja kriisinhallinta. Jolla on BCP, voi yleensä vastata "kyllä" — mutta asiakirjan on todella katettava nämä kolme osaa, ei vain varmuuskopiointiaikataulu. Pelkkä kopio varmuuskopiointi­käytännöstä ei yleensä riitä todisteeksi; kysymysluettelo kysyy palautumis­suunnitelmasta, ei sen takana olevasta tekniikasta. Tarkista siis, ovatko varmuuskopiointi- ja hätähuolto­järjestelyt, joita asiakas tarkoittaa sopusoinnussa sen kanssa, miten olet ne todellisuudessa määrittänyt.

Jos sinulla ei ole erillistä BCP-asiakirjaa mutta sinulla on toimivat varmuuskopiot ja epävirallinen sopimus siitä, kuka tekee mitä katkoksen sattuessa, "ei" perusteluineen on rehellisempi vastaus kuin "kyllä" puolittain sopivalla asiakirjalla. Monet asiakkaat hyväksyvät käytännössä ISO 27001 -sertifikaatin korvaavaksi todisteeksi tältä kokonaiselta alueelta, koska jatkuvuus on osa liitettä A. Onko näin sinulla, viittaa silloin ISO 27001 -sertifikaattiin yleistutkintona sen sijaan että rakentaisit erillisen BCP:n, jota ei ole.

Missä tämä sijaitsee: artiklan 21 kohta 2 alakohta c ja liite A.5.29/5.30

Direktiivin NIS2 artiklan 21 kohta 2 luettelee kymmenen kategoriaa toimenpiteitä, jotka ovat pakollisia direktiivin kattamille yhteisöille; alakohta c käsittelee erityisesti jatkuvuuden hallintaa, varmuuskopiointihallintaa, palautumista katastrofista ja kriisinhallintaa mainituina osina. ISO/IEC 27001:ssä tämä näkyy liitteessä A, tietoturvatoimissa häiriötilanteissa (business continuity) ja niihin liittyvässä varmuuskopiointitoimessa. Hollannin kyberturvallisuuslaki toteuttaa tämän vaatimuksen kansallisessa lainsäädännössä ja tulee voimaan 15. elokuuta 2026; siihen asti NIS2 itse on vaatimuksen sisällön lähde.