Ali ima podjetje načrt za nadaljevanje poslovanja ob resni motnji?

Poslovna neprekinjenost kot ukrep v členu 21(2)

To vprašanje obravnava upravljanje poslovne neprekinjenosti: ali ima podjetje načrt za nadaljevanje poslovanja, če incident moti normalen potek dela. To je eden od desetih ukrepov, ki jih navaja člen 21(2) Direktive NIS2, skupaj z analizo tveganja, obravnavanjem incidentov in politiko dostopa. Besedilo tega člena izrecno omenja upravljanje varnostnih kopij, obnovitev po katastrofi in krizno upravljanje kot sestavne dele te teme — torej ne gre samo za pisan načrt, temveč za skoordinirano celoto ukrepov za obnovitev.

Popolni »da« predpostavlja več kot samo izjavo o nameri. Vpraševalci običajno pričakujejo, da obstaja načrt poslovne neprekinjenosti, da je bil preizkušen ali prevajan, in da vsebuje konkretne elemente: nadomestno lokacijo ali napravo, strategijo varnostnih kopij s točkami obnovitve in organizacijo za krizne situacije z dodeljenimi vlogami in eskalacijskimi postopki. Če kateri od teh elementov manjka, je »še ni določeno« ali »delno« pogosto bolj iskren odgovor kot povsem »da« — še posebej ker veliko portnalov strank to dodatno preverja z zahtevo za nalaganje načrta ali povzetka.

Kaj se zahteva kot dokazilo

Utemeljitev sledi neposredno iz člena 21(2)(c) Direktive (EU) 2022/2555: poslovna neprekinjenost, vključno z upravljanjem varnostnih kopij in nujnim obnovitvami, ter krizno upravljanje. To je eden od desetih konkretnih ukrepov, ki jih direktiva navaja kot del upravljanja tveganja, ki ga morajo izvajati subjekti. Kdor utemeljuje odgovor, to običajno stori s samim načrtom poslovne neprekinjenosti, poročilom o preizkusu zadnje vaje ali pregledom varnostnih kopij in nadomestnih naprav. To je v skladu s tem, kako panoga, v kateri je podjetje aktivno vpliva na to, kaj vpraševalec šteje za »zadostno«: kritični sektor pogosto prejme strožja nadaljna vprašanja kot podjetje, ki le občasno dobavlja večjim naročnikom. Tudi vprašanje o številu zaposlenih v podjetju tukaj včasih igra vlogo, ker se obseg organizacije upošteva pri tem, kaj realistično zajema načrt poslovne neprekinjenosti — enoosebno podjetje s partnerjem za zunanjo gostovanje ima seveda drugačne potrebe po nadomestnih režimih kot podjetje s svojim lastnim serverjem.