Business Continuity Plan

Business Continuity Planning (BCP) fanger opp hvordan en organisasjon vil opprettholde eller raskt gjenoppta kritiske operasjoner under og etter en avbrudd. BCP-bevis inkluderer Business Continuity Plans (registrerte prosedyrer for vedlikehold av drift, kommunikasjonsplaner, ressurskrav og gjenopprettingsprioriteringer), Disaster Recovery Plans (IT-fokuserte gjenopprettingsprosedyrer som dekker systemgjenoppretting, datagjenoppretting, alternative nettstedsoperasjoner og failover), Business Impact Analyser (systematiske vurderinger av potensielle avbruddstidstest- og gjenopprettingspunkter, objektive test- og gjenopprettingspunkter), identifisering av BCP (Bordøvelser, gjennomgangstester, fullstendige simuleringer og forbedringsplaner). BCP er påkrevd av DORA, CSRD og sektorspesifikke forskrifter for finansielle tjenester, kritisk infrastruktur og helsetjenester.

Regulatorer krever i økende grad registrerte resiliensevner, ikke bare ambisjonsuttalelser. DORA krever omfattende IKT-risikostyring inkludert forretningskontinuitet for finansielle enheter. CSRD krever avsløring av vesentlige risikostyringsprosesser, inkludert evner for forretningskontinuitet. EU-direktivet om motstandskraft for kritiske enheter (CER) krever kontinuitetsplanlegging for viktige tjenester. Forsikringsrammer krever bevis for forretningskontinuitet som en betingelse for dekning. Utover overholdelse av regelverk, blir evnen til forretningskontinuitet i økende grad evaluert av bedriftskjøpere og investorer som et mål på organisatorisk modenhet. registrerte BCP-bevis med regelmessige treningsregistre viser at motstandskraft ikke bare blir registrert, men testet og validert.

Business Continuity Plans (BCPer) inneholder kritiske funksjoner, gjenopprettingsprioriteter, ressurskrav, kommunikasjonsprotokoller og eskaleringsprosedyrer for å opprettholde driften under avbrudd. Disaster Recovery Plans (DRP-er) fokuserer på IT- og teknologigjenoppretting – systemgjenopprettingsprosedyrer, sikkerhetskopiering og gjenoppretting av data, alternative stedsoperasjoner og teknologiske failover-prosesser. Business Impact Analyser (BIA) vurderer systematisk potensielle forstyrrelser på drift, inntekter, overholdelse og omdømme – identifiserer gjenopprettingstidsmål (RTOer), gjenopprettingspunktmål (RPO) og kritikalitetsrangeringer for hver forretningsprosess. BCP-trening og test registrerer øvelser på bord, gjennomganger, fullstendige simuleringer og forbedringsplaner etter trening – bevis på at kontinuitetsplaner har blitt validert og fortsatt effektive.

BCP-er, DRP-er, BIA-er og treningsposter lastes opp til Sustalium og kobles til de relevante samsvarsrammene. Resiliensbevis kobles til DORA IKT-rammeverk for risikostyring (artikkel 11-13 krav for IKT-risikostyring, testing og rapportering), CSRD-risikoavsløringer (ESRS G1 styring og risikostyring), og ISO 22301 samsvarsregistreringer (samfunnssikkerhet og styring av forretningskontinuitet). Sustalium sporer BCP-gjennomgangsdatoer, treningsplaner og forbedringstiltak fra rapporter etter trening. For organisasjoner som administrerer kontinuitet på tvers av flere enheter eller jurisdiksjoner, gir Sustalium et konsolidert syn på motstandsdyktighet på tvers av organisasjonen.

DORA (Digital Operational Resilience Act) krever at finansielle enheter opprettholder forretningskontinuitetspolicyer, IKT-respons- og gjenopprettingsplaner og registrerte testprogrammer. EU-direktivet om motstandskraft for kritiske enheter (CER) krever forretningskontinuitetsevne for viktige tjenester, inkludert energi, transport, bank, helse og digital infrastruktur. CSRD bærekraftsrapporteringsstandarder (ESRS G1) krever avsløring av vesentlige risikostyringsprosesser inkludert forretningskontinuitet. ISO 22301 (samfunnssikkerhet og forretningskontinuitetsstyring) krever registrerte BCP-, BIA- og treningsprogrammer. Baselkomiteens prinsipper for operasjonell motstandskraft krever at finansinstitusjoner opprettholder evnen til forretningskontinuitet. EU AI Act krever risikostyring og beredskapsplanlegging for AI-systemleverandører med høy risiko. Sektorspesifikke forskrifter for helsetjenester, finansielle tjenester og kritisk nasjonal infrastruktur pålegger ytterligere krav til forretningskontinuitet.