questionário pergunta se temos um plano de continuidade de negócios

BCP é a implementação do artigo 21.º, n.º 2, alínea c

Um plano de continuidade de negócios é a resposta à questão de como o serviço continua a funcionar em caso de falha, e é exatamente o que o artigo 21.º, n.º 2, alínea c da NIS2 exige: gestão da continuidade, com cópias de segurança, recuperação de desastres (disaster recovery) e gestão de crises. Quem tem um BCP pode normalmente preencher "sim" — mas o documento tem de cobrir realmente estes três componentes, não apenas um plano de cópias de segurança. Uma cópia apenas da política de cópias de segurança não é normalmente suficiente como elemento de prova; a questão pergunta sobre o plano de recuperação, não sobre a técnica subjacente. Verifique portanto se as provisões de cópias de segurança e emergência que o seu cliente tem em mente estão alinhadas com o que realmente documentou.

Se não tem um documento BCP separado mas tem cópias de segurança funcionais e um acordo informal sobre quem faz o quê em caso de falha, então "não" com uma explicação é mais honesto do que "sim" com um documento parcialmente adequado. Muitos clientes aceitam na prática um certificado ISO 27001 como prova substituta para este bloco inteiro, porque a continuidade faz parte do Anexo A. Se esse é o seu caso, faça referência ao certificado ISO 27001 como elemento de prova geral em vez de construir um BCP solto que não existe.

Onde está isto: artigo 21.º, n.º 2, alínea c e Anexo A.5.29/5.30

O artigo 21.º, n.º 2 da Diretiva NIS2 menciona dez categorias de medidas que são obrigatórias sob a diretiva para as entidades por ela afetadas; a alínea c diz especificamente respeito à gestão da continuidade, com gestão de cópias de segurança, recuperação de desastres e gestão de crises como componentes mencionados. Na ISO/IEC 27001, isto aparece no Anexo A, sob as medidas de controlo para a segurança da informação em caso de interrupções (continuidade de negócios) e a medida relacionada com cópias de segurança. A Lei Holandesa de Cibersegurança transpõe esta obrigação para a legislação nacional e deverá entrar em vigor em 15 de agosto de 2026; até essa data, a própria NIS2 é a fonte para o conteúdo do requisito.