o questionário pergunta se o plano de continuidade de negócios foi testado qual é a minha resposta

Testado significa aqui: exercitado, não apenas escrito

Não, um plano que existe apenas no papel e nunca foi exercitado não cumpre o que aqui é pedido. A pergunta sobre um plano de continuidade de negócios testado diz respeito à gestão de crises e recuperação após incidentes, uma das dez medidas do artigo 21.º, n.º 2 da NIS2. Os testes podem ocorrer em vários níveis: um exercício de discussão em que a equipa analisa um cenário, um teste técnico de comutação em que se muda efetivamente para uma solução de emergência, ou uma simulação completa com recuperação a partir de cópia de segurança. O que o cliente quer ver exatamente geralmente não está na própria pergunta mas na explicação que a acompanha — se disser "prova do último teste", um documento de política isolado não é suficiente.

Se a empresa tem um plano de continuidade mas este ainda não foi testado, a resposta mais honesta é "não" com uma explicação sobre a data de teste planeada, se houver uma. Preencher "sim" porque o plano existe, enquanto ninguém nunca exercitou ou realmente restaurou a cópia de segurança, é o tipo de resposta que numa auditoria posterior ou incidente ressurge. Este assunto toca diretamente em cópias de segurança e uma medida de contingência para restaurar a prestação de serviços — está lá o que conta como prova para o lado da continuidade da mesma pergunta.

Onde isto vem: artigo 21.º e a obrigação de teste

O artigo 21.º, n.º 2 da Diretiva NIS2 menciona "continuidade de negócios, nomeadamente gestão de cópias de segurança e recuperação de emergência, e gestão de crises" como uma das dez medidas obrigatórias; a ISO/IEC 27001 desenvolve isto nas medidas de controlo Annex A sobre gestão da continuidade, sendo testes e avaliação parte padrão da medida, não um passo separado. Se a política de continuidade testada é também obrigatória para a própria empresa sob a Lei de Cibersegurança Holandesa depende de se a empresa se enquadra no âmbito de aplicação — ver para isso se a empresa está ou não sujeita à directiva NIS2. Para além dessa obrigação, um cliente muitas vezes faz esta pergunta simplesmente porque um plano não testado na prática é uma suposição, não uma certeza.