§ 11. Driftsavbrudd og kriseberedskap

Foretaket skal ha en dokumentert kriseplan som skal iverksettes dersom IKT-driften ikke kan opprettholdes som følge av en krise. Med krise menes hendelser som forårsaker driftsavbrudd slik at foretakets IKT-drift ikke kan fortsette med normalt tilgjengelige ressurser. Kriseplanen skal minst omfatte -) oversikt over IKT-systemer som inngår i planen -) beskrivelse av kriseløsningen -) klare kriterier for oppstart av kriseløsningen -) akseptabel lengde på et driftsavbrudd før kriseløsningen iverksettes -) prosedyrer som inneholder de nødvendige aktiviteter for å gjenopprette IKT-driften -) oversikt over ansvarsforhold og prosedyrer ved oppstart av kriseløsningen -) informasjon til berørte ansatte, leverandører, kunder, offentlige myndigheter og media. Det skal minst en gang årlig gjennomføres opplæring, øvelse og testing av at kriseløsningen virker som forutsatt. Resultatet av testen skal dokumenteres.