Hoe vaak moet ik een hersteltest doen?

Gangbaar is minimaal per kwartaal voor kritieke systemen, met vastlegging van resultaat en hersteltijd.

Is een continuïteitsplan hetzelfde als een incidentresponsplan?

Nee. Incidentrespons richt zich op het beheersen van het incident; continuïteit op het voortzetten en herstellen van de dienstverlening.

← Vijf zorgplichtthema's

Art. 21.2(c)

Bedrijfscontinuïteit & Crisisbeheer onder NIS2

Ook met goede preventie kan het misgaan. NIS2 verplicht daarom tot bedrijfscontinuïteit: back-upbeheer, herstel na een calamiteit en crisisbeheer. De kern is dat u vooraf weet welke processen kritiek zijn, hoe snel ze terug moeten zijn en dat u aantoonbaar kunt herstellen. Een back-up die nooit is getest of die door ransomware kan worden versleuteld, biedt die zekerheid niet.

Wat NIS2 verplicht

Back-upbeheer

Regelmatige back-ups, waarvan minimaal één kopie offline of onveranderlijk (immutable).

Hersteltesten

Periodiek aantonen dat herstel werkt binnen de afgesproken hersteltijd.

Continuïteitsplan met RTO/RPO

Hersteldoelen per kritisch proces op basis van een business impact analyse.

Crisisbeheer

Een crisisteam met beslisbevoegdheden, vervangers en communicatieplan.

Uitwijk

Noodvoorzieningen voor kritieke systemen bij langdurige uitval.

Wat toetst de scan op dit thema?

1.
Back-ups worden dagelijks gemaakt en offline of onveranderlijk (immutable) bewaard.
Art. 21.2(c) · Techniek
2.
Hersteltesten van back-ups worden periodiek (minimaal per kwartaal) uitgevoerd en vastgelegd.
Art. 21.2(c) · Proces
3.
Er is een bedrijfscontinuïteitsplan (BCP) met RTO/RPO per kritisch proces.
Art. 21.2(c) · Beleid
4.
Er is een crisisorganisatie met beslisbevoegdheden en communicatieplan.
Art. 21.2(c) · Proces
5.
Er is een uitwijk- of noodvoorziening voor kritieke systemen.
Art. 21.2(c) · Techniek
6.
Sleutelpersonen kennen hun rol in het continuïteitsplan en het plan is beoefend.
Art. 21.2(c) · Mens

Hoe scoort u op Bedrijfscontinuïteit & Crisisbeheer?

Doe de gratis nulmeting en zie direct uw score per thema, knelpunten en een plan van aanpak.

Start de scan

Verdiepende artikelen

Veelgestelde vragen

NIS2 noemt het begrip niet letterlijk, maar een back-up die bestand is tegen ransomware wordt gezien als passende invulling van Art. 21.2(c).

Andere zorgplichtthema's

Governance & Bestuur onder NIS2

Art. 20 & 21.2(a)(f)(g)

Technische Preventie & Cyberhygiëne onder NIS2

Art. 21.2(e)(g)(h)(i)(j)

Incidentbehandeling & 24/72u Meldplicht onder NIS2

Art. 21.2(b) & Art. 23

Ketenbeveiliging & Leveranciersmanagement onder NIS2

Art. 21.2(d) & 21.3

Deze pagina is informatief, niet juridisch getoetst en vervangt geen individueel advies. Zie de disclaimer.