dotazník sa pýta, či máme krízový plán pre incident kybernetickej bezpečnosti

Plán kontinuity podnikania spadá pod kontinuitu podnikania, nie pod reagovanie na incidenty

Otázka na "plán v prípade hackerského útoku" sa v praxi pýta na dve veci naraz, a odpoveď závisí od toho, ktorú z nich máte. Prvou je plán kontinuity: ako pokračuje poskytovanie služieb alebo ako sa obnoví, nezávisle od toho, čo sa presne stalo. Druhou je plán reagovania na incidenty: kto robí čo hneď po zistení útoku, kto je informovaný, ako sa incident obsahuje. Mnohí podnikatelia majú druhý plán a nemajú prvý, alebo naopak, a potom vyplnia "áno" na otázku, ktorá v skutočnosti požaduje oboje.

Ak máte len neformálny plán — niekoľko dohôd, ktoré všetci poznajú, ale ktoré nie sú nikde zapisané — potom je "nie" zvyčajne najúprimnejšia odpoveď, s vysvetlením, že prístup síce existuje, ale nie je zaznamenané. Ak máte plán kontinuity bez samostatnej súčasti týkajúcej sa kybernetickej bezpečnosti, zistite, či výslovne uvedie kybernetický incident ako scenár; ak nie, potom ide o medzeru, ktorú zákazník často identifikuje. Táto otázka sa čítajú úzko s existujú zálohy a núdzové opatrenie na obnovu poskytovania služieb a s existuje postup na spracovanie bezpečnostných incidentov — odpovezte na tieto dve prvé, potom sa táto otázka často sama vyjasní.

Kde sa to vracia v článku 21 odsek 2 NIS2

Článok 21 odsek 2 Smernice (EÚ) 2022/2555 uvádza "business continuity, such as backup management and disaster recovery, and crisis management" ako jednu z desiatich povinných opatrení — takže kontinuita a manažment kríz sú tam spolu, nie ako dve samostatné požiadavky. Príloha A normy ISO/IEC 27001 má porovnateľné bezpečnostné opatrenie na pripravenosť IT na prerušenie činnosti. Holandský zákon o kybernetickej bezpečnosti, ktorý toto záväzok transpozuje, nadobúda účinnosť 15. augusta 2026.