vprašalnik sprašuje, ali imamo načrt za nadaljevanje poslovanja

BCP je izpolnitev članka 21(2)(c)

Načrt poslovne kontinuitete je odgovor na vprašanje, kako storitve nadaljujejo med izpadom, in to je natanko tisto, kar zahteva članek 21(2)(c) NIS2: upravljanje kontinuitete, z varnostnimi kopijami, nujnim okrevanjem (disaster recovery) in kriznim upravljanjem. Kdor ima BCP, lahko običajno vpiše "da" — vendar mora dokument res zajemati vse tri komponente, ne le urnik varnostnih kopij. Kopija samo politike varnostnih kopij običajno ni dovolj kot dokaz; vprašalnik sprašuje po načrtu za okrevanje, ne po tehniki za tem. Zato preverite, ali varnostne kopije in nujne rešitve, ki jih ima v mislih vaš naročnik, se ujemajo s tem, kar ste dejansko dokumentirali.

Če nimate posebnega BCP-dokumenta, vendar imate delujoče varnostne kopije in neformalno dogovorjeno, kdo kaj počne med izpadom, je "ne" s pojasnilom bolj pošteno kot "da" s samo delno ustreznim dokumentom. Številni naročniki v praksi sprejmejo ISO 27001-certifikat kot nadomestni dokaz za ta cel sklop, ker je kontinuiteta del Priloge A. Ali je to pri vas primer, se sklicujte na ISO 27001-certifikat kot splošni dokaz namesto da bi konstruirali BCP, ki ga nimate.

Kjer je navedeno: članek 21(2)(c) in Priloga A.5.29/5.30

Članek 21(2) direktive NIS2 navaja deset kategorij ukrepov, ki so po direktivi obvezni za subjekte, na katere se nanaša; točka c je posebej upravljanje kontinuitete, z upravljanjem varnostnih kopij, nujnim okrevanjem in kriznim upravljanjem kot navedenimi komponentami. V ISO/IEC 27001 se to pojavlja v Prilogi A, med ukrepi nadzora za varnost informacij med motnjami (poslovna kontinuiteta) in povezanim ukrepom varnostne kopije. Nizozemski zakon o kibernetski varnosti to obveznost prenaša v nacionalno zakonodajo in po pričakovanjih stopa v veljavo 15. avgusta 2026; do tega datuma je NIS2 sama navedek za vsebino zahteve.