vprašalnik sprašuje, ali imamo načrt za krizne situacije zaradi varnostnega incidenta

Načrt za krizno situacijo spada pod kontinuiteto poslovanja, ne pod odziv na incident

Vprašanje o »načrtu za krizno situacijo v primeru vdora« praktično vprašuje dve stvari hkrati, in odgovor je odvisen od tega, katero od obeh imate. Prva je načrt za kontinuiteto: kako ostane storitev tekoča oziroma kako jo obnovite, ne glede na to, kaj se je natanko zgodilo. Druga je načrt za odziv na incident: kdo kaj naredi, takoj ko je vdor odkrit, kdo je obveščen, kako je incident vsebovan. Mnogi podjetniki imajo drugo, vendar ne imajo prve, ali obratno, in nato vnesejo »da« na vprašanje, ki pravzaprav zahteva oboje.

Če imate samo neformalen načrt — nekaj dogovorov, ki jih vsi poznajo, vendar nikjer niso zapisani — je »ne« običajno iskrenejši odgovor, s pojasnilom, da pristop obstaja, vendar ni formaliziran. Če imate načrt za kontinuiteto brez posebne cyber komponente, preverite, ali ta eksplicitno omenja cyber incident kot scenarij; če ne, je to vrzel, ki jo odjemalec pogosto opazi. To področje se tesno dotika obstajajo varnostne kopije in nujni ukrepi za obnovitev storitve in je predpisani postopek za obravnavo varnostnih incidentov — najprej odgovorite na ti dve, nato ta vprašanja navadno padeta na svoje mesto.

Kje se to pojavi v členu 21(2) NIS2

Člen 21(2) Direktive (EU) 2022/2555 navaja »kontinuiteto poslovanja, kot so upravljanje varnostnih kopij in okrevanje po katastrofi, ter upravljanje kriz« kot eno od desetih obveznih ukrepov — tako da sta kontinuiteta in upravljanje kriz tam skupaj, ne kot dve ločeni zahtevi. Priloga A standarda ISO/IEC 27001 pozna podobni ukrep za pripravljenost informacijske in komunikacijske tehnologije na prekinitve poslovanja. Nizozemski zakon o kibernetski varnosti, ki to obveznost izvaja, začne veljati 15. avgusta 2026.