Rafał Grześkowiak, Manager ds. Projektów IT, All for One Poland, o ciągłości działania w kontekście NIS2: "Dostępność IT przestała być wewnętrzną sprawą firm. Stała się wspólnym celem całej gospodarki. Audyty kontrahentów uwzględniające w szerokim zakresie zagadnienia IT, takie jak cyberbezpieczeństwo, wysoka dostępność i plany awaryjne, są obecnie powszechną praktyką.
Niektóre sektory gospodarki – jak automotive czy audio-video – wypracowały standardy bezpieczeństwa informacji (odpowiednio VDA ISA/TISAX oraz TPN – Trusted Partner Network), których wdrożenie i certyfikacja de facto warunkują możliwość kooperacji w ramach tych branż. Jednym z filarów merytorycznych tych standardów jest ciągłość działania.
Przykładowo dla organizacji zobowiązanych do posiadania etykiety TISAX kontrolki 5.2.8 (IT service continuity planning) i 5.2.9 (Backup and recovery) wskazują wprost na konieczność przeanalizowania wpływu niedostępności usług IT na biznes i wymagają opracowania planów na wypadek awarii oraz określenia czasów i zasobów pozwalających na przywrócenie działania usług IT w założonym czasie.
Analogiczne wymagania narzuca norma ISO 27001 w swoim najnowszym wydaniu (odpowiednio w kontrolkach A.5.30 oraz A.8.13).
Norma ISO 22301 jest w całości poświęcona systemowemu zarządzaniu ciągłością działania, koncentruje się na zapewnieniu, że organizacja potrafi utrzymać kluczowe operacje biznesowe w sytuacjach kryzysowych oraz szybko je przywrócić po zakłóceniach. Biznesowo oznacza to minimalizację strat operacyjnych i reputacyjnych oraz zwiększenie odporności organizacji na ryzyka takie jak awarie IT czy cyberataki.
Dobre praktyki zarządzania usługami IT opisane w normach i standardach z czasem zostały odzwierciedlone w przepisach prawa. Dyrektywa NIS z 2016 r. oraz polska Ustawa o Krajowym Systemie Cyberbezpieczeństwa (KSC) akcentowały konieczność zastosowania odpowiednich rozwiązań organizacyjnych i technicznych. Dopiero jednak dyrektywa NIS2 z 2022 r. w art. 21 konkretyzuje wymagania, narzucając obowiązek przygotowania m.in. analizy ryzyka i procedur przywracania normalnego działania po wystąpieniu sytuacji nadzwyczajnej.
Disaster Recovery Center jest jednym ze środków wspierających ciągłość działania IT. Pozwala organizacjom uwzględnić w planach ciągłości niezależną, zewnętrzną lokalizację, w której – w razie potrzeby – zostaną bezzwłocznie uruchomione kluczowe systemy IT.
Wymagania wprowadzone przez dyrektywy NIS i NIS2 w zakresie ciągłości działania powodują, że grono organizacji, które powinny przynajmniej przeanalizować zasadność realizacji DRC, obejmuje znaczną część gospodarki, m.in. energetykę, transport, bankowość, opiekę zdrowotną, wodociągi, producentów leków i żywności, przemysł chemiczny i kosmetyczny".
