vragenlijst vraagt of het bedrijfscontinuiteitsplan is getest wat antwoord ik

Getest betekent hier: geoefend, niet alleen opgeschreven

Nee, een plan dat alleen op papier bestaat en nooit geoefend is, voldoet niet aan wat hier gevraagd wordt. De vraag naar een getest bedrijfscontinuïteitsplan gaat over crisisbeheer en herstel na incidenten, één van de tien maatregelen uit artikel 21 lid 2 van NIS2. Testen kan op meerdere niveaus: een tabletop-oefening waarbij het team een scenario doorspreekt, een technische failover-test waarbij daadwerkelijk wordt omgeschakeld naar een noodvoorziening, of een volledige simulatie met herstel vanuit backup. Wat de klant precies wil zien, staat meestal niet in de vraag zelf maar in de toelichting erbij — als daar "bewijs van laatste test" staat, is een los beleidsdocument niet genoeg.

Heeft het bedrijf wel een continuïteitsplan maar is dat nog niet getest, dan is het eerlijkste antwoord "nee" met een toelichting over de geplande testdatum, als die er is. Een "ja" invullen omdat het plan er ligt, terwijl niemand ooit heeft geoefend of de backup ook echt terugzet, is het soort antwoord dat bij een latere audit of incident alsnog naar boven komt. Dit onderwerp raakt direct aan back-ups en een noodvoorziening om de dienstverlening te herstellen — daar staat wat als bewijsstuk telt voor de continuïteitskant van dezelfde vraag.

Waar dit vandaan komt: artikel 21 en de toetsingsverplichting

Artikel 21 lid 2 van de NIS2-richtlijn noemt "bedrijfscontinuïteit, zoals beheer van back-ups en noodherstel, en crisisbeheer" als één van de tien verplichte maatregelen; ISO/IEC 27001 werkt dit uit in de Annex A-beheersmaatregelen rond continuïteitsmanagement, waarbij testen en evalueren standaard onderdeel is van de maatregel, niet een losse stap. Of getest continuïteitsbeleid ook voor de eigen onderneming verplicht is volgens de Nederlandse Cyberbeveiligingswet, hangt af van of de onderneming zelf onder het toepassingsbereik valt — zie daarvoor of de onderneming zelf onder de NIS2-richtlijn valt. Los van die verplichting vraagt een klant dit vaak simpelweg omdat een ongetest plan in de praktijk een aanname is, geen zekerheid.