la liste de questions demande si nous avons un plan de continuité d'activité

Le PCC est la mise en œuvre de l'article 21, paragraphe 2, point c

Un plan de continuité de service est la réponse à la question de savoir comment la prestation de services continue en cas de panne, et c'est exactement ce que demande l'article 21, paragraphe 2, point c de NIS2 : la gestion de la continuité, avec des sauvegardes, la reprise d'activité (disaster recovery) et la gestion de crise. Si vous disposez d'un PCC, vous pouvez généralement cocher « oui » — mais le document doit vraiment couvrir ces trois éléments, pas seulement un calendrier de sauvegarde. Une copie de la politique de sauvegarde seule n'est généralement pas suffisante comme pièce justificative ; le questionnaire porte sur le plan de récupération, non sur la technique sous-jacente. Vérifiez donc si les dispositions de sauvegarde et d'urgence que votre client envisage sont conformes à ce que vous avez réellement documenté.

Si vous n'avez pas de document PCC distinct mais que vous disposez de sauvegardes fonctionnelles et d'un accord informel sur qui fait quoi en cas de panne, alors répondre « non » avec une explication est plus honnête que « oui » avec un document partiellement adapté. Dans la pratique, de nombreux clients acceptent un certificat ISO 27001 comme preuve de substitution pour tout ce bloc, car la continuité fait partie de l'Annexe A. Si c'est le cas pour vous, référencez alors le certificat ISO 27001 comme pièce justificative générale au lieu de construire un PCC distinct qui n'existe pas.

Où cela figure : article 21, paragraphe 2, point c et Annexe A.5.29/5.30

L'article 21, paragraphe 2, de la directive NIS2 énumère dix catégories de mesures qui sont obligatoires en vertu de la directive pour les entités qu'elle affecte ; le point c porte spécifiquement sur la gestion de la continuité, avec la gestion des sauvegardes, la reprise d'activité et la gestion de crise comme éléments mentionnés. Dans ISO/IEC 27001, cela se retrouve à l'Annexe A, sous les mesures de contrôle de sécurité de l'information en cas de perturbation (continuité de service) et la mesure de sauvegarde associée. La loi néerlandaise sur la cybersécurité transpose cette obligation en droit national et devrait entrer en vigueur le 15 août 2026 ; jusqu'à cette date, NIS2 elle-même est la source pour le contenu de l'exigence.