il questionario chiede se abbiamo un piano di crisi per un incidente informatico

Il piano di crisi rientra nella continuità aziendale, non nella risposta agli incidenti

La domanda su un "piano di crisi in caso di attacco informatico" nella pratica chiede due cose contemporaneamente, e la risposta dipende da quale delle due hai. La prima è un piano di continuità: come continua la fornitura del servizio o come la ripristini, indipendentemente da ciò che è accaduto esattamente. La seconda è un piano di risposta agli incidenti: chi fa cosa non appena viene rilevato un attacco informatico, chi viene informato, come viene contenuto l'incidente. Molti imprenditori hanno il secondo ma non il primo, o viceversa, e rispondono "sì" a una domanda che in realtà chiede tutti e due.

Se hai solo un piano informale — alcuni accordi che tutti conoscono ma che non sono scritti da nessuna parte — allora "no" è di solito la risposta più onesta, con una spiegazione che l'approccio esiste ma non è stato documentato. Se hai un piano di continuità senza una componente informatica separata, verifica se nomina esplicitamente un incidente informatico come scenario; se non lo fa, allora è una lacuna che il cliente spesso segnala. Questo argomento è strettamente correlato a ci sono backup e una fornitura di emergenza per ripristinare la fornitura del servizio e a c'è una procedura per il trattamento degli incidenti di sicurezza — rispondi prima a quei due, poi di solito questa domanda si posiziona da sola.

Dove questo è riportato nell'articolo 21 paragrafo 2 NIS2

L'articolo 21 paragrafo 2 della Direttiva (UE) 2022/2555 menziona "business continuity, such as backup management and disaster recovery, and crisis management" come una delle dieci misure obbligatorie — quindi continuità e gestione della crisi sono insieme, non come due requisiti separati. L'Allegato A della ISO/IEC 27001 contiene una misura di controllo simile per la prontezza ICT in caso di interruzione dell'attività. La legge olandese sulla sicurezza informatica, che traspone questo obbligo, entra in vigore il 15 agosto 2026.