chestionar întreabă dacă am elaborat un plan de răspuns la incidente

Planul de răspuns la incidente este una dintre cele zece măsuri din articolul 21

Da, aceasta este o parte recunoscută: articolul 21 alineatul 2 litera b din Directiva NIS2 menționează "incident handling" ca una dintre cele zece măsuri obligatorii. Clientul nu întreabă aici despre o disponibilitate vagă de a face ceva atunci când apare un incident, ci despre o procedură stabilită: cine raportează un incident, cine evaluează impactul, cine decide asupra escaladării și comunicării, și în ce interval de timp. Dacă această procedură există și este documentată, acesta este un răspuns afirmativ cu documentul ca dovadă. Dacă nu există, sau există doar în mintea oamenilor, atunci "nu" este răspunsul onest — un "da" plin de rezerve fără o procedură documentată creează mai mult prejudiciu la audit decât un "nu" cu o explicație că este în dezvoltare.

Atenție la diferența dintre întrebarea privind detectarea și identificarea: un plan de răspuns la incidente se referă la ceea ce se întâmplă după ce ceva a fost identificat, nu la modul în care sunt descoperite vulnerabilități — acesta din urmă face parte din procesul de detectare și remediere a vulnerabilităților. Unele liste de control pun această întrebare ca o întrebare separată, altele o combină cu continuitatea ("cum vă restabiliți serviciile"), care este un alt subiect și se răspunde prin întrebarea privind copiile de rezervă și măsurile de urgență. Este deci necesar ca în dosarul lanțului să păstrați planul de răspuns la incidente și continuitatea ca documente separate, chiar dacă în practică se află într-un singur document.

Unde apare în directivă și în normă

Articolul 21 alineatul 2 litera b din Directiva (UE) 2022/2555 menționează "incident handling" explicit ca măsură obligatorie alături de celelalte nouă din acel alineat. În ISO/IEC 27001, aceasta se regăsește în Anexa A, printre controalele de management al incidentelor de securitate a informațiilor — cine este deja certificat conform ISO 27001 pentru alt motiv certificat conform ISO 27001 probabil că are deja această dovadă. Legea de securitate cibernetică transpune articolul 21 în reguli olandeze, dar intră în vigoare abia pe 15 august 2026; până atunci, directiva însăși este cadrul de referință pentru cine trebuie să verifice dacă aceasta este deja în ordine.