A kérdőív azt kérdezi, hogy felállítottunk-e incidensmegoldási tervet

Az incident response terv az artikel 21-ből származó tíz intézkedés egyike

Igen, ez egy felismerhető elem: a NIS2-irányelv 21. cikk 2. bekezdésének b) pontja az "incident handling"-ot a tíz kötelező intézkedés egyikeként említi. Az ügyfél itt nem egy homályos készenlét után kérdez egy hack esetén cselekvésre, hanem egy rögzített eljárás után: ki jelenti az incidenseket, ki értékeli a hatást, ki dönt az eszkalációról és kommunikációról, és milyen időn belül. Ha ez az eljárás létezik és írásban rögzítve van, ez egy megerősítő válasz a dokumentummal mint bizonyítékkal. Ha nem létezik, vagy csak az emberek fejében él, akkor az "nem" az őszinte válasz — egy félleges "igen" mögöttes dokumentum nélkül az auditban több károkat okoz, mint egy "nem" egy tájékoztatással, hogy fejlesztés alatt van.

Figyelem az észlelésre és az azonosításra irányuló kérdéssel való különbségre: egy incident response terv arról szól, hogy mi történik azután, hogy valamit megállapítottak, nem arról, hogy hogyan találnak meg sebezhetőségeket — az utóbbi a a sebezhetőségek felderítésére és elhárítására irányuló folyamattal-hez tartozik. Egyes kérdéssorok ezt külön kérdésként kezelik, mások pedig a continuity-val összekapcsolják ("hogyan állítja vissza a szolgáltatást"), amely egy másik téma és a következőn keresztül válaszolunk rá: a biztonsági mentésekről és vészhelyzeti intézkedésekről szóló kérdés. Tehát a ketendosszié-ben az incident response-t és a continuity-t külön bizonyítékként kell őrizni, még akkor is, ha a gyakorlatban egy dokumentumban vannak.

Ahol ez az irányelvben és a normában szerepel

Az (EU) 2022/2555 irányelv 21. cikk 2. bekezdésének b) pontja az "incident handling"-ot szó szerint kötelező intézkedésként említi az adott bekezdésből származó kilenc másik mellett. Az ISO/IEC 27001-ben ez visszatér az Annex A-ban, az információbiztonsági incidensek kezelésére vonatkozó ellenőrzésintézkedéseken belül — aki már más okból az ISO 27001 szerinti tanúsítvánnyal rendelkezik , valószínűleg már rendelkezik ezzel a bizonyítékkal. A Cyber Security Act a 21. cikket holland szabályokba fogalmazza meg, de csak 2026. augusztus 15-én lép hatályba; addig a maga az irányelvaz irányadó keret annak számára, akinek ellenőriznie kell, hogy ez már rendben van-e.