Van-e a vállalkozásnál terv az üzletmenet folytatására súlyos zavar esetén?

Az üzletmenet folytonossága a 21. cikk 2. bekezdésén belüli önálló intézkedésként

Ez a kérdés az üzletmenet-folytonossági menedzsmentről szól: rendelkezik-e a vállalat terv az üzletmenet folytatására, ha egy incidens megzavarja a normál működést. Ez az egyik tíz intézkedésből áll, amelyeket a NIS2-irányelv 21. cikk 2. bekezdése említ, amelyek között szerepel a kockázatelemzés, az incidenskezelés és a hozzáférési szabályzat. Az adott bekezdés szövege kifejezetten a biztonsági másolatok kezelését, a katasztrófa utáni helyreállítást és a válságmenedzsmentet említi ennek a témának a részeként — tehát nem csak egy írott tervről van szó, hanem egy koherens helyreállítási intézkedésekből álló rendszerről.

Egy teljes "igen" választ több feltételez, mint egy szándéknyilatkozat. A kérdezők általában azt várják el, hogy létezik egy folytonossági terv, amelyet teszteltek vagy gyakoroltak, és amely konkrét elemeket tartalmaz: egy kiváló helyet vagy intézményt, egy biztonsági mentési stratégiát visszaállítási pontokkal, valamint egy válságkezelési szervezetet szerepkörökkel és eszkalációs vonalakkal. Ha ezek közül az egyik összetevő hiányzik, a "még meghatározandó" vagy "részben" gyakran őszintébb válasz, mint egy teljes "igen" — különösen mivel számos kundenportál ezt követő kérdésekkel tisztázza, kérve a terv vagy annak összefoglalásának feltöltését.

Mit kérnek bizonyítékként

Az indoklás közvetlenül az (EU) 2022/2555 Irányelv 21. cikk (2) bekezdésének c) pontjából következik: üzletmenet-folytonossága, így a biztonsági másolatok és a katasztrófahelyreállítás kezelése, valamint a válságkezelés. Ez az egyik tíz konkrét intézkedés, amelyet az Irányelv a kockázatkezelés részeként említ, amelyet az entitásoknak meg kell tenniük. Aki az indoklást nyújtja, ezt általában maga a folytonossági terv, az utolsó gyakorlat tesztjelentése, vagy a biztonsági másolat és a feladat-ellátási lehetőségek összefoglalása alapján teszi. Ez összhangban van azzal, hogy az iparág, amelyben a vállalkozás aktív befolyásolja azt, hogy egy kérdésfeltehetõ mit tekint "megfelelõnek": egy kritikus szektor gyakran szigorúbb követõkérdéseket kap, mint egy olyan vállalat, amely csak alkalmanként szállít nagyobb megrendelõknek. A kérdés arra is vonatkozik, hogy a vállalat munkavállalóinak száma itt néha szerepe van, mert a szervezet mérete befolyásolja, hogy mit jelent egy reális üzletmenet-folytonossági terv — egy egyéni vállalkozónak egy külső üzemeltetési partnerrel más vészhelyzeti igényei vannak, mint egy saját szerverközponttal rendelkező vállalatnak.