enkäten frågar om vi har en verksamhetskontinuitetsplan

BCP är hur artikel 21 stycke 2 punkt c uppfylls

En business continuity plan är svaret på frågan hur tjänstleveransen fortsätter vid avbrott, och det är precis vad artikel 21 stycke 2 punkt c i NIS2 kräver: kontinuitetshantering, med säkerhetskopior, nödberedskap (disaster recovery) och krishantering. Vem som har en BCP kan vanligtvis fylla i "ja" — men då måste dokumentet också verkligen täcka dessa tre delar, inte bara ett schema för säkerhetskopior. En kopia av säkerhetskopieringspolicyn enbart räcker vanligtvis inte som bevis; frågelistan frågar efter återställningsplanen, inte tekniken bakom den. Kontrollera därför om de säkerhetskopie- och nödåtgärder som din kund avser stämmer överens med vad du verkligen har fastställt.

Har du inget separat BCP-dokument men väl fungerande säkerhetskopior och en informell överenskommelse om vem som gör vad vid avbrott, är "nej" med en förklaring hönligare än "ja" med ett halvt lämpligt dokument. Många kunder accepterar i praktiken ett ISO 27001-certifikat som ersättande bevis för detta hela block, eftersom kontinuitet är en del av Annex A. Är det så för dig, hänvisa då till ISO 27001-certifikatet som allmänt bevis i stället för att konstruera ett BCP som inte finns.

Var detta står: artikel 21 stycke 2 punkt c och Annex A.5.29/5.30

Artikel 21 stycke 2 i NIS2-direktivet nämner tio kategorier av åtgärder som är obligatoriska enligt direktivet för de enheter som påverkas av det; punkt c är specifikt kontinuitetshantering, med säkerhetskopieringshantering, disaster recovery och krishantering som nämnda delar. I ISO/IEC 27001 återkommer detta i Annex A, under kontrollmåttnader för informationssäkerhet vid störningar (business continuity) och relaterad säkerhetskopieringsmåttnader. Den nederländska cybersäkerhetslagens implementerar denna förpliktelse i nationell lagstiftning och förväntas träda i kraft den 15 augusti 2026; fram till dess är NIS2 själv källan för innehållet i kravet.