Business Continuity Plan (BCP) — NIS2 čl. 21(2)(c)

# Business Continuity Plan (BCP)

**Plán zachovania kontinuity činnosti podľa NIS2 čl. 21 ods. 2 písm. c (riadenie kontinuity činnosti vrátane zálohovania a obnovy po havárii, riadenia kríz).**

_Subjekt: {{ENTITY_NAME}} (IČO: {{ENTITY_ICO}})_
_Vlastník dokumentu: {{BCP_OWNER}}_
_Schválil: {{APPROVED_BY}} ({{APPROVAL_DATE}})_
_Verzia: {{VERSION}}_
_Frekvencia revízie: min. ročne + po každom významnom incidente alebo teste_

---

## 1. Účel a rozsah

### 1.1 Účel
BCP zabezpečuje, že subjekt **{{ENTITY_NAME}}** dokáže:
- Udržať poskytovanie kritických služieb počas narušenia
- Obnoviť plnú prevádzku do definovaných RTO
- Minimalizovať finančné, reputačné a compliance dopady

### 1.2 Rozsah
Pokrýva:
- [ ] IT infraštruktúra (produkčné systémy, siete)
- [ ] Aplikácie a dáta
- [ ] Fyzické priestory (kancelárie, DC, serverovne)
- [ ] Kľúčový personál
- [ ] Kritickí dodávatelia
- [ ] Komunikácia (interná + externá)

Mimo rozsah: {{OUT_OF_SCOPE}}

### 1.3 Prepojenie na ostatné dokumenty
- **Risk Register** — BCP reaguje na riziká kategórie "Availability"
- **Asset Inventory** — RTO/RPO per aktívum
- **Incident Response Plan** — BCP aktivuje pri prekročení určitej severity
- **Disaster Recovery Plan** — technická zložka BCP pre IT systémy

---

## 2. Definície a metriky

### 2.1 Kľúčové pojmy
- **BIA (Business Impact Analysis)** — analýza dopadu narušenia na procesy
- **RTO (Recovery Time Objective)** — maximálny prijateľný čas nefunkčnosti
- **RPO (Recovery Point Objective)** — maximálna akceptovateľná strata dát v čase
- **MTPD (Maximum Tolerable Period of Disruption)** — bod, po ktorom sú následky neobnoviteľné
- **MBCO (Minimum Business Continuity Objective)** — minimálna úroveň služby počas narušenia

### 2.2 Klasifikácia disruption scenárov

| Tier | Názov | Príklad | Aktivácia BCP |
|------|-------|---------|----------------|
| **T1** | Minor | Výpadok 1 servera, obnova < 1h | Iba IT tím |
| **T2** | Major | Výpadok hlavnej služby > 1h | IT + Operations |
| **T3** | Critical | Výpadok DC, kybernetický útok | Crisis Team + vedenie |
| **T4** | Catastrophic | Kompletné zničenie priestorov / dát | Plná aktivácia BCP + PR + regulátor |

---

## 3. Business Impact Analysis (BIA)

### 3.1 Kritické procesy

| # | Proces | Vlastník | MTPD | RTO | RPO | MBCO |
|---|--------|----------|------|-----|-----|------|
| 1 | {{PROCESS_1}} | {{OWNER_1}} | {{MTPD_1}} | {{RTO_1}} | {{RPO_1}} | {{MBCO_1}} |
| 2 | {{PROCESS_2}} | {{OWNER_2}} | {{MTPD_2}} | {{RTO_2}} | {{RPO_2}} | {{MBCO_2}} |
| 3 | {{PROCESS_3}} | {{OWNER_3}} | {{MTPD_3}} | {{RTO_3}} | {{RPO_3}} | {{MBCO_3}} |

### 3.2 Dopady narušenia (per proces)

| Proces | Finančný dopad/hodina | Reputačný | Regulatórny | Zákaznícky |
|--------|----------------------|-----------|-------------|------------|
| {{PROCESS_1}} | {{FIN_IMPACT_1}} | {{REP_IMPACT_1}} | {{REG_IMPACT_1}} | {{CUST_IMPACT_1}} |
| {{PROCESS_2}} | {{FIN_IMPACT_2}} | {{REP_IMPACT_2}} | {{REG_IMPACT_2}} | {{CUST_IMPACT_2}} |

### 3.3 Závislosti
- **Ľudské zdroje:** {{KEY_PEOPLE}}
- **IT systémy:** {{KEY_IT_SYSTEMS}}
- **Dodávatelia:** {{KEY_SUPPLIERS}}
- **Priestory:** {{KEY_LOCATIONS}}
- **Dokumenty / knowledge:** {{KEY_DOCUMENTS}}

---

## 4. Disruption scenáre a stratégie

### 4.1 Scenár: Kybernetický útok (ransomware)

**Spúšťač:** Detekcia encryption / impact notifikácia

**Okamžité opatrenia (0-1h):**
- Aktivácia IR tímu + Crisis Team
- Izolácia dotknutých systémov
- Zachovanie forenzných dôkazov
- Notifikácia IC (Incident Commander): {{IC_CONTACT}}

**Obnova (1-24h):**
- Potvrdenie rozsahu kompromitácie
- Rozhodnutie: obnoviť zo zálohy vs. rebuild
- Spúšťanie obnovených systémov v izolovanom prostredí
- Validácia integrity pred návratom do produkcie

**Zodpovedné role:**
- Vedúci: CISO / Crisis Manager
- Technická obnova: {{INFRA_TEAM}}
- Komunikácia: {{COMMS_OWNER}}

**Požadované zdroje:**
- Backup validated < {{BACKUP_AGE_MAX}}
- Clean room pre rebuild
- Forenzný partner (ak externý): {{FORENSIC_PARTNER}}

### 4.2 Scenár: Výpadok kľúčového dodávateľa (hosting)

**Spúšťač:** Dodávateľ hlási > {{SUPPLIER_OUTAGE_THRESHOLD}}h výpadok alebo bankrot

**Opatrenia:**
- Aktivácia secondary hostingu (pre-staged): {{BACKUP_HOSTING}}
- Konfigurácia DNS failover
- Load-test obnoveného prostredia
- Komunikácia s klientmi o degraded performance
- Aktivácia SLA claim voči dodávateľovi

**Exit plán:** {{VENDOR_EXIT_PLAN_LOCATION}}

### 4.3 Scenár: Fyzická nedostupnosť kancelárie

**Spúšťač:** Požiar / povodeň / blokáda / pandémia

**Opatrenia:**
- Remote work aktivovaný (max. {{REMOTE_READY_HOURS}}h)
- Fyzický prístup ku kritickým dokumentom v {{BACKUP_LOCATION}}
- Presun kritických operácií do {{ALTERNATE_SITE}}
- Alternatívna komunikácia: {{ALTERNATE_COMM}}

### 4.4 Scenár: Strata kľúčovej osoby

**Spúšťač:** Odchod / PN / úmrtie osoby s unikátnou znalosťou

**Opatrenia:**
- Aktivácia succession planu: {{SUCCESSION_DOC}}
- Runbooks v interwiki: {{RUNBOOK_LOCATION}}
- Cross-training kľúčových procesov (úroveň "2 ľudia vedia rovnako"): {{CROSS_TRAINING_STATUS}}

### 4.5 Scenár: Narušenie supply chain (4th party)

**Spúšťač:** Downstream dodávateľ hlási incident, ktorý ovplyvní nás

**Opatrenia:**
- Aktivácia alternatívnych dodávateľov: {{ALT_SUPPLIERS}}
- Komunikácia s klientmi o možných dopadoch
- Spolupráca s pôvodným dodávateľom pri recovery

### 4.6 Scenár: Regulatórne narušenie

**Spúšťač:** Rozhodnutie súdu / regulátora o zákaze činnosti

**Opatrenia:**
- Aktivácia právneho tímu
- Zváženie apelácie / predbežného opatrenia
- Komunikácia s klientmi o kontinuite služby
- Prechod na dohodnuté alternatívne riešenia

---

## 5. Crisis Management Team (CMT)

### 5.1 Zloženie

| Rola | Primárna osoba | Zástupca | Zodpovednosť |
|------|----------------|----------|---------------|
| **Crisis Manager** | {{CM_PRIMARY}} | {{CM_BACKUP}} | Celkové velenie, eskalácia na vedenie |
| **CISO / Security Lead** | {{CISO_PRIMARY}} | {{CISO_BACKUP}} | Bezpečnosť, IR |
| **IT Operations Lead** | {{ITOPS_PRIMARY}} | {{ITOPS_BACKUP}} | Technická obnova |
| **Communications Lead** | {{COMMS_PRIMARY}} | {{COMMS_BACKUP}} | Interná + externá komunikácia |
| **Legal / Compliance** | {{LEGAL_PRIMARY}} | {{LEGAL_BACKUP}} | Regulatórne hlásenia, zmluvné záväzky |
| **HR Lead** | {{HR_PRIMARY}} | {{HR_BACKUP}} | Bezpečnosť zamestnancov, komunikácia |
| **Finance Lead** | {{FIN_PRIMARY}} | {{FIN_BACKUP}} | Núdzové výdavky, insurance claim |
| **Executive Sponsor** | {{EXEC_PRIMARY}} | {{EXEC_BACKUP}} | Strategické rozhodnutia |

### 5.2 Aktivačné kritériá CMT

CMT sa aktivuje pri:
- Tier 3 alebo Tier 4 disruption
- Incident s pravdepodobným dopadom > {{FIN_THRESHOLD}} EUR
- Zapojenie regulátora / orgánov činných v trestnom konaní
- Rozhodnutie Crisis Managera

### 5.3 War Room (Crisis HQ)

**Fyzický:** {{PHYSICAL_WARROOM}}
**Virtuálny:** {{VIRTUAL_WARROOM}} (napr. dedikovaný Slack / MS Teams channel)
**Hotline:** {{CRISIS_HOTLINE}}
**Email:** {{CRISIS_EMAIL}}

### 5.4 Kadencia porád
- **Počiatočné meeting:** do 1h od aktivácie
- **Status updates:** každé {{STATUS_FREQ}} (napr. 2h) počas aktívnej krízy
- **Daily debrief:** každý deň 18:00 počas prolongovanej krízy

---

## 6. Komunikácia

### 6.1 Interná komunikácia

| Kanál | Účel | Aktivuje |
|-------|------|----------|
| Dedikovaný Slack / MS Teams channel | Real-time koordinácia | CMT |
| All-staff email | Informovanie zamestnancov | Comms Lead |
| Intranet banner | Status page pre zamestnancov | IT |
| SMS cascade | Urgentná notifikácia | HR |

### 6.2 Externá komunikácia

| Stakeholder | Kanál | Timing | Vlastník |
|-------------|-------|--------|----------|
| Zákazníci | Status page + email | Do 4h | Comms Lead |
| Partneri | Priamy email | Do 24h | Partnership Manager |
| Regulátor (NIS2 24h) | Oficiálna hláška | Do 24h | CISO + Legal |
| Regulátor (GDPR 72h) | ÚOOÚ formulár | Do 72h (ak PII breach) | DPO |
| Médiá | Tlačová správa | Iba schválená vedením | CEO / Comms Lead |
| Zamestnanci | All-hands | Do 2h | HR |
| Investori / board | Priamy zavolanie | Do 24h | CEO |

### 6.3 Komunikačné šablóny

Pre-schválené šablóny (v tomto BCP ako prílohy):
- Príloha B1: Holding statement (prvé vyjadrenie)
- Príloha B2: Customer notification email
- Príloha B3: Press release template
- Príloha B4: NIS2 early warning (→ viď template "incident-24h-early-warning")
- Príloha B5: GDPR breach notification (→ viď DPO procedúra)

---

## 7. Obnova po havárii (DR)

### 7.1 Zálohovanie

| Typ dát | Frekvencia | Retencia | Umiestnenie | Test obnovy |
|---------|------------|----------|-------------|-------------|
| Produkčné DB | {{DB_BACKUP_FREQ}} | {{DB_RETENTION}} | {{DB_BACKUP_LOC}} | {{DB_RESTORE_TEST}} |
| File storage | {{FS_BACKUP_FREQ}} | {{FS_RETENTION}} | {{FS_BACKUP_LOC}} | {{FS_RESTORE_TEST}} |
| Konfigurácie (IaC) | Commit-triggered | Git history | GitHub/GitLab | {{IAC_RESTORE_TEST}} |
| User-generated content | {{UGC_BACKUP_FREQ}} | {{UGC_RETENTION}} | {{UGC_BACKUP_LOC}} | {{UGC_RESTORE_TEST}} |

**3-2-1 pravidlo:** 3 kópie dát, 2 na rôznych médiách, 1 offsite.
**Immutable backup:** áno / nie: {{IMMUTABLE_BACKUP}}

### 7.2 DR sites

| Typ | Umiestnenie | RTO | Aktuálny stav |
|-----|-------------|-----|---------------|
| Primary | {{PRIMARY_DC}} | — | Active |
| Warm standby | {{WARM_DC}} | {{WARM_RTO}} | {{WARM_STATUS}} |
| Cold standby | {{COLD_DC}} | {{COLD_RTO}} | {{COLD_STATUS}} |

### 7.3 Runbooks

Každý kritický systém má runbook:
- Umiestnenie: {{RUNBOOK_LOCATION}}
- Pravidelný review: {{RUNBOOK_REVIEW_FREQ}}
- Aktualizácia po change: povinná

---

## 8. Testovanie a cvičenia

### 8.1 Typy cvičení

| Typ | Frekvencia | Účastníci | Scope |
|-----|------------|-----------|-------|
| **Desktop / tabletop** | Kvartálne | CMT | Diskusia nad scenárom |
| **Simulation** | Polročne | CMT + IT | Simulované rozhodovanie bez skutočnej aktivácie |
| **Full live test** | Ročne | Celá firma | Aktivácia DR, skutočný switchover |
| **Red team exercise** | Ročne | Externý partner | Realistický cyber útok |

### 8.2 Posledné testy

| Dátum | Typ | Scenár | Výsledok | Lessons learned |
|-------|-----|--------|----------|-----------------|
| {{TEST_1_DATE}} | {{TEST_1_TYPE}} | {{TEST_1_SCENARIO}} | {{TEST_1_RESULT}} | {{TEST_1_LESSONS}} |
| {{TEST_2_DATE}} | {{TEST_2_TYPE}} | {{TEST_2_SCENARIO}} | {{TEST_2_RESULT}} | {{TEST_2_LESSONS}} |

### 8.3 Najbližšie plánované cvičenie
- Dátum: {{NEXT_TEST_DATE}}
- Typ: {{NEXT_TEST_TYPE}}
- Scenár: {{NEXT_TEST_SCENARIO}}
- Cieľ: {{NEXT_TEST_OBJECTIVE}}

---

## 9. Poistenie a finančná rezerva

- **Cyber insurance:** {{CYBER_INSURANCE}} — krytie {{CYBER_COVERAGE}}
- **Business interruption:** {{BI_INSURANCE}} — krytie {{BI_COVERAGE}}
- **D&O:** {{DO_INSURANCE}} (pre vedenie, NIS2 účel)
- **Krízový fond:** {{CRISIS_FUND}} EUR dostupných do 24h

### 9.1 Nárazová rezerva
- Pre okamžité krízové výdavky: {{EMERGENCY_BUDGET}}
- Autorizácia: {{CRISIS_BUDGET_AUTH}} (napr. CEO + CFO spoločne)

---

## 10. Governance

### 10.1 Ownership
- **BCP Owner:** {{BCP_OWNER}}
- **Executive Sponsor:** {{EXEC_SPONSOR}}
- **Board reporting:** {{BOARD_REPORTING_FREQ}} (min. ročne + po incidentoch)

### 10.2 Training
- Celofiremné BCP awareness: ročne
- CMT špecifický training: polročne
- New hire onboarding: povinná BCP orientation

### 10.3 Audit
- Interný audit: ročne
- Externý audit (pre certifikáciu ISO 22301 alebo SOC 2): {{EXTERNAL_AUDIT_FREQ}}
- Dozor regulátora (NIS2 kontrola): subjekt spolupracuje a poskytuje BCP na výzvu

---

## 11. Aktualizácia dokumentu

### 11.1 Triggers pre revíziu
- Ročná plánovaná revízia
- Významný organizačný alebo technologický change
- Po každom plnom live teste
- Po skutočnom incidente aktivujúcom BCP
- Zmena regulácie (NIS2 aktualizácie, sektorové vyhlášky)

### 11.2 Schvaľovací proces
1. Návrh zmien: BCP Owner
2. Review: CMT + DPO + Legal
3. Schválenie: Executive Sponsor
4. Notifikácia: všetky dotknuté tímy
5. Archivácia predchádzajúcej verzie

---

## Príloha A — Kontaktná matica (aktualizuje sa kvartálne)

| Rola | Meno | Pracovný tel. | Osobný tel. | Email | Záloha |
|------|------|---------------|-------------|-------|--------|
| Crisis Manager | {{CM_NAME}} | {{CM_WORK}} | {{CM_PERSONAL}} | {{CM_EMAIL}} | {{CM_BACKUP_NAME}} |
| CISO | {{CISO_NAME}} | {{CISO_WORK}} | {{CISO_PERSONAL}} | {{CISO_EMAIL}} | {{CISO_BACKUP_NAME}} |
| ... | ... | ... | ... | ... | ... |

## Príloha B — Komunikačné šablóny

### B1 — Holding statement (prvá reakcia, do 1h)
> "Sme si vedomí narušenia v [systém/služba]. Aktívne na ňom pracujeme. Ďalšie informácie poskytneme do [čas]. Za spôsobené nepríjemnosti sa ospravedlňujeme."

### B2 — Customer email (do 4h)
> Predmet: [Status update] Dočasné narušenie služby {{SERVICE}}
>
> Vážený zákazník, [popis situácie], [dopad], [naše opatrenia], [očakávaný čas obnovy], [kontakt pre otázky].

### B3 — Press release (iba po schválení)
[Predschválený template — viď {{PR_TEMPLATE_LOCATION}}]

## Príloha C — Checklist pre aktiváciu BCP

- [ ] Incident Commander nominovaný
- [ ] Crisis Team notifikovaný
- [ ] War Room aktivovaný
- [ ] Holding statement odoslaný (do 1h)
- [ ] Status page aktualizovaný
- [ ] Regulátor (NIS2 24h) pripravovaný
- [ ] Customer communication (do 4h)
- [ ] Status update kadencia nastavená
- [ ] Forenzná evidencia zabezpečená
- [ ] Insurance claim iniciovaná (ak aplikovateľné)
- [ ] Daily debrief naplánovaný

---

_Šablóna podľa NIS2 čl. 21 ods. 2 písm. c, ISO/IEC 22301 (Business Continuity Management System) a ENISA BCM guidelines. BCP musí byť živý dokument — bez pravidelných testov je to iba fikcia. Pre SME odporúčame minimum: 3-5 scenárov, CMT matica, ročný tabletop. Pre regulované subjekty (banky, zdravotníctvo) očakávajte rozšírený rozsah._