la liste de questions demande si le plan de continuité d'activité a été testé, que dois-je répondre

Testé signifie ici : exercé, pas seulement écrit

Non, un plan qui n'existe que sur papier et n'a jamais été exercé ne répond pas à ce qui est demandé ici. La question relative à un plan de continuité d'activité testé concerne la gestion des crises et la récupération suite à des incidents, l'une des dix mesures de l'article 21, paragraphe 2, de NIS2. Les tests peuvent se faire à plusieurs niveaux : un exercice de simulation où l'équipe explore un scénario, un test de basculement technique où l'on bascule effectivement vers une solution de secours, ou une simulation complète avec récupération à partir d'une sauvegarde. Ce que le client souhaite précisément voir figure généralement non pas dans la question elle-même mais dans l'explication qui l'accompagne — si celle-ci mentionne « preuve du dernier test », un simple document de politique ne suffit pas.

Le sujet touche directement à des sauvegardes et d'un dispositif de secours pour rétablir la prestation de services — ce qui compte comme preuve pour la partie continuité de la même question.

D'où cela vient : l'article 21 et l'obligation de test

L'article 21, paragraphe 2, de la directive NIS2 mentionne « la continuité d'activité, notamment la gestion des sauvegardes et la récupération d'urgence, ainsi que la gestion des crises » comme l'une des dix mesures obligatoires ; ISO/IEC 27001 l'élabore dans les mesures de contrôle de l'Annexe A relatives à la gestion de la continuité, où les tests et l'évaluation font partie intégrante de la mesure, et non d'une étape distincte. Que la politique de continuité testée soit également obligatoire pour l'entreprise elle-même selon la loi néerlandaise sur la cybersécurité dépend de savoir si l'entreprise elle-même relève du champ d'application — voir à ce sujet ou si l'entreprise elle-même relève de la directive NIS2. Indépendamment de cette obligation, un client pose souvent cette question simplement parce qu'un plan non testé dans la pratique est une hypothèse, non une certitude.