o questionário pergunta se temos um plano de crise para um incidente cibernético

Plano de crise enquadra-se na continuidade do negócio, não na resposta a incidentes

A pergunta sobre um "plano de crise em caso de ataque" questiona na prática duas coisas simultaneamente, e a resposta depende de qual das duas você tem. A primeira é um plano de continuidade: como a prestação de serviço continua ou como a recupera, independentemente do que exatamente aconteceu. A segunda é um plano de resposta a incidentes: quem faz o quê assim que um ataque é descoberto, quem deve ser informado, como o incidente é contido. Muitos empresários têm o segundo mas não o primeiro, ou vice-versa, e preenchem então "sim" a uma pergunta que na verdade pede ambos.

Se tem apenas um plano informal — alguns acordos que toda a gente conhece mas que não estão registados em lado nenhum — então "não" é geralmente a resposta mais honesta, com uma explicação de que a abordagem existe mas não foi formalizada. Se tem um plano de continuidade sem uma componente específica de cibersegurança, verifique se esse plano menciona explicitamente um incidente cibernético como cenário; se não o fizer, há uma lacuna que o cliente frequentemente assinala. Este assunto relaciona-se fortemente com há cópias de segurança e uma disposição de emergência para recuperar a prestação de serviço e com existe um procedimento para o tratamento de incidentes de segurança — responda a essas duas primeiro, depois esta pergunta geralmente fica esclarecida.

Onde isto volta no artigo 21.º, n.º 2 da Diretiva NIS2

O artigo 21.º, n.º 2 da Diretiva (UE) 2022/2555 menciona "continuidade do negócio, tal como gestão de cópias de segurança e recuperação de desastres, e gestão de crise" como uma das dez medidas obrigatórias — portanto continuidade e gestão de crise estão ali juntas, não como duas exigências separadas. O Anexo A da ISO/IEC 27001 tem uma medida de controlo semelhante para prontidão de TIC em caso de interrupção do negócio. A Lei de Cibersegurança Holandesa, que transpõe esta obrigação, entra em vigor em 15 de agosto de 2026.