il questionario chiede se abbiamo un piano di continuità aziendale

BCP è l'attuazione dell'articolo 21 paragrafo 2 lettera c

Un piano di continuità aziendale è la risposta a come il servizio continua a funzionare in caso di interruzione, e questo è esattamente ciò che l'articolo 21 paragrafo 2 lettera c della direttiva NIS2 richiede: gestione della continuità, con backup, ripristino di emergenza (disaster recovery) e gestione delle crisi. Chi dispone di un BCP può solitamente compilare "sì" — ma il documento deve coprire davvero questi tre elementi, non solo un programma di backup. Una copia sola della politica di backup di solito non è sufficiente come prova; il questionario chiede il piano di ripristino, non la tecnica sottostante. Verifica pertanto se le disposizioni di backup e di emergenza che il tuo cliente intende si allineino con ciò che hai effettivamente documentato.

Se non disponi di un documento BCP separato ma hai backup funzionanti e un accordo informale su chi fa cosa in caso di interruzione, allora "no" con una spiegazione è più onesto di "sì" con un documento parzialmente corrispondente. Molti clienti in pratica accettano un certificato ISO 27001 come prova alternativa per questo intero blocco, perché la continuità fa parte dell'Allegato A. Se è il tuo caso, fai riferimento a il certificato ISO 27001 come prova generale invece di costruire un BCP separato che non esiste.

Dove si trova: articolo 21 paragrafo 2 lettera c e Allegato A.5.29/5.30

L'articolo 21 paragrafo 2 della direttiva NIS2 elenca dieci categorie di misure obbligatorie secondo la direttiva per le entità interessate; la lettera c riguarda specificamente la gestione della continuità, con gestione dei backup, disaster recovery e gestione delle crisi come elementi indicati. Nella ISO/IEC 27001 questa materia è ripresa nell'Allegato A, sotto le misure di controllo per la sicurezza delle informazioni durante le interruzioni (business continuity) e la relativa misura di backup. La legge olandese sulla cibersicurezza (Cyberbeveiligingswet) traspone questo obbligo nella normativa nazionale ed entrerà in vigore presumibilmente il 15 agosto 2026; fino a quella data NIS2 stessa è la fonte della norma.