C_202605593SV.000101.fmx.xml

KOMMISSIONENS REKOMMENDATION

av den 29 oktober 2026

om riktlinjer för operativ kontinuitet och stresstester för nationella kontaktpunkter inom unionens civilskyddsmekanism

(C/2026/5593)

EUROPEISKA KOMMISSIONEN HAR UTFÄRDAT DENNA REKOMMENDATION

med beaktande av Europaparlamentets och rådets beslut nr 1313/2013/EU av den 17 december 2013 om en civilskyddsmekanism för unionen (1), särskilt artikel 7, och

av följande skäl:

(1)	Enligt artikel 196.1 b i fördraget om Europeiska unionens funktionssätt (EUF-fördraget) ska unionen främja snabbt och effektivt operativt samarbete inom unionen mellan de nationella civilskyddsorganen.

(2)	Unionen har en stödjande befogenhet på civilskyddsområdet, i enlighet med artikel 6 f i EUF-fördraget.

(3)

Syftet med unionens civilskyddsmekanism (civilskyddsmekanismen), som inrättades genom beslut nr 1313/2013/EU, är att stärka samarbetet mellan unionen och medlemsstaterna och underlätta samordningen på civilskyddsområdet för att effektivisera system för förebyggande av, beredskap för och insatser vid naturkatastrofer och katastrofer som orsakats av människor.

(4)

Unionen har fått erfara flera mycket störande händelser under de senaste åren, särskilt konsekvenserna av covid-19-pandemin, Rysslands anfallskrig mot Ukraina, den omfattande it-störningen 2024, stormen Éowyn i Irland i januari 2025 och strömavbrottet 2025 på Iberiska halvön. Störande händelser kan förhindra eller fördröja funktionerna hos civilskyddssystemen, vilka bör vara i drift dygnet runt alla dagar i veckan.

(5)

Genom artikel 7 i Europaparlamentets och rådets beslut nr 1313/2013/EU fastställs att Centrumet för samordning av katastrofberedskap (ERCC) ska säkerställa att det finns operativ kapacitet dygnet runt alla dagar i veckan och bistå medlemsstaterna och kommissionen i arbetet med att nå civilskyddsmekanismens mål. I artikel 3 i kommissionens genomförandebeslut (EU) 2025/704 (2) anges vidare att varje medlemsstat ska utse en nationell kontaktpunkt för ERCC som är tillgänglig dygnet runt alla dagar i veckan.

(6)

I kommissionens rekommendation av den 8 februari 2023 om unionsmål för resiliens vid katastrofer (3) uppmanas ERCC och civilskyddsmyndigheterna i medlemsstaterna och de länder som deltar i civilskyddsmekanismen att inom ramen för sina respektive mandat förbättra kapaciteten för planering av driftskontinuitet. I rekommendationen anges också att civilskyddsmekanismen bör stödja genomförandet av stresstester när det gäller krisledningsrummens driftkontinuitet och samarbeta med medlemsstaterna om uppföljningen av erfarenhetsåterföring och rekommendationer. Stresstestningen av krisledningsrum i hela Europa fungerade som flaggskeppsinitiativ för mål 5, ”Säkerställa ett robust civilskyddssystem”, i enlighet med kommissionens meddelande om unionsmål för resiliens mot katastrofer (4).

(7)

Dessa insatser är förenliga med andra ramar som syftar till att stärka resiliensen, inbegripet EU:s strategi för en beredskapsunion (5) och Natos grundläggande krav på nationell resiliens (6). I åtgärd 51 i strategin efterlyses särskilt antagandet av ”riktlinjer för ‘stresstestning’ av katastrof- och kriscentrum i hela EU”.

(8)

Det är därför nödvändigt att fokusera på den operativa kontinuiteten för civilskyddsmekanismens nationella kontaktpunkter och att öka deras resiliens, så att de kan förbli operativa vid störande händelser. Målet är att förbättra kontaktpunkternas planer och praxis för operativ kontinuitet genom systematisk utvärdering och stresstester.

(9)

Dessutom får insatskapaciteter som kan göras tillgängliga på begäran genom civilskyddsmekanismen inte tillhöra den nationella kontaktpunktens myndighet. Att säkra kommunikationen med de enheter som förvaltar dessa kapaciteter under störningar är avgörande för civilskyddsmekanismens operativa kontinuitet.

(10)

Rutinerna för att säkerställa kontinuiteten i verksamheten kan lätt förbises till dess att en störning inträffar. Sådana störningar härrör inte nödvändigtvis från mer omfattande kriser eller nödsituationer, utan kan ha sitt ursprung i mindre incidenter eller förbisedda eller suboptimala förhållanden. För att det ska kunna fattas välgrundade beslut om förebyggande och riskreducerande åtgärder fastställs i den nationella kontaktpunktens plan för operativ kontinuitet att det är nödvändigt att identifiera potentiella orsaker till störningar som påverkar den nationella kontaktpunktens kritiska funktioner (7). Dessutom står personal i skiftarbetessystem som omfattar hela dygnet inför särskilda psykosociala utmaningar och utmaningar när det gäller välbefinnandet, bland annat hälsoproblem till följd av nattskift, arbetsrelaterad stress och bortavaro från familjen. Om dessa problem inte åtgärdas kan de bidra till utbrändhet, hög personalomsättning och eventuellt brist på personal.

(11)

Rutinerna för operativ kontinuitet bör kunna fortsätta fungera effektivt oavsett störningens art eller orsak, dvs. oavsett om den beror på naturkatastrofer, olyckor, tekniska fel, den mänskliga faktorn, driftsavbrott i infrastruktur eller allmännyttiga tjänster, att stora delar av personalen är otillgänglig, handlingar som begås med ont uppsåt, inbegripet cyberincidenter och hybridverksamhet, eller något annat.

(12)

Genom att vara förberedda på potentiella störningar kan de nationella kontaktpunkterna reagera snabbt och effektivt, vilket medför att störande händelser blir mer kortvariga och får mindre omfattande konsekvenser. Att vara förberedd säkerställer inte bara att verksamheten kan återupptas inom rimlig tid, utan begränsar också de negativa konsekvenserna för berörda parter och externa aktörer som är beroende av den nationella kontaktpunktens verksamhet. Det skyddar också organisationens uppdrag och anseende.

(13)

Störningar till följd av cyberincidenter kännetecknas av specifika egenskaper som särskilt behöver uppmärksammas. Till skillnad från andra hot mot den operativa kontinuiteten kan den typen av störningar vara avsiktliga, fortplanta sig genom sammanlänkade system och äventyra inte bara tillgängligheten till data och kommunikation utan också dess integritet eller konfidentialitet.

(14)

Regelbunden utbildning och regelbundna övningar och uppdateringar är grundläggande för att ett program för operativ kontinuitet blir effektivt. Ju oftare man övar på sin plan för operativ kontinuitet desto bättre förberedd blir organisationen, eftersom övningar bidrar till att identifiera brister och bekanta personalen med förfarandena. Välutbildad personal, som tydligt förstår sina arbetsuppgifter och som är insatta i sina ansvarsområden, presterar mer effektivt vid störningar. Genom att involvera berörda parter i övningarna säkerställer man att även dessa är insatta i kommunikationsprotokollen och vet vad de kan förvänta sig under verkliga störande händelser.

(15)

Övningar, stresstester och verkliga incidenter ger värdefulla lärdomar. För att säkerställa att planen för operativ kontinuitet hela tiden är aktuell bör den uppdateras regelbundet så att de lärdomar som dragits från utbildningar, övningar, stresstester, verkliga händelser och tekniska framsteg integreras i planen.

(16)

I de fall den nationella kontaktpunkten ingår i en entitet som omfattas av tillämpningsområdet för tillämpliga bestämmelser i Europaparlamentets och rådets direktiv (EU) 2022/2555 (8) bör de lärdomar som dragits från stresstestet beaktas vid genomförandet av riskhanteringsåtgärder för cybersäkerhet, särskilt när det gäller driftskontinuitet, säkerhetskopiering, katastrofhantering och krishantering.

(17)

Att säkerställa den operativa kontinuiteten för den nationella behöriga civilskyddsmyndigheten går utöver den nationella kontaktpunktens funktion. Den här rekommendationen kan därför också bli en värdefull referens för utvecklingen av operativ kontinuitet inom nationella organisationer och civilskyddssystem, i enlighet med skäl 7 i beslut nr 1313/2013/EU.

(18)

Rekommendationen bör vara heltäckande och återspegla skillnaderna i de nationella kontaktpunkternas strukturer och funktioner i medlemsstaterna och de länder som deltar i civilskyddsmekanismen. Den bör tillämpas på ett flexibelt sätt och anpassas till varje nationell kontaktpunkts mandat, kontext, situation och operativa ram, med tanke på att alla nationell kontaktpunkter har olika särdrag, verkar inom olika rättsliga ramar och står inför olika utmaningar, vilket kan kräva skräddarsydda strategier för att säkerställa operativ kontinuitet.

(19)	Denna rekommendation bygger på resultaten av samråden med kommissionens expertgrupp för operativ kontinuitet dygnet runt alla dagar i veckan vid störande händelser, som inrättades av kommissionen 2025, och bör komplettera befintliga väletablerade standarder och riktlinjer för driftskontinuitet (9).

HÄRIGENOM REKOMMENDERAS FÖLJANDE.

1. MOTTAGARE AV REKOMMENDATIONEN

Denna rekommendation riktar sig till nationella behöriga myndigheter i medlemsstaterna och i de länder som deltar i civilskyddsmekanismen.

Medlemsstaterna kan komma att finna rekommendationen relevant för andra nationella kriscentrum och enheter som förvaltar civilskyddsmekanismens kapaciteter.

2. DEFINITIONER

I denna rekommendation gäller följande definitioner:

(a)	nationell behörig myndighet: en myndighet som inom ramen för civilskyddsmekanismen utsetts av en medlemsstat eller en stat som deltar i EU:s civilskyddsmekanism (10), i enlighet med artikel 29 i beslut nr 1313/2013/EU.

(b)	nationell kontaktpunkt: en kontaktpunkt för ERCC i en medlemsstat eller i ett land som deltar i EU:s civilskyddsmekanism som är tillgänglig dygnet runt alla dagar i veckan och som utsetts i enlighet med artikel 9.7 i beslut nr 1313/2013/EU och artikel 3.1 i genomförandebeslut (EU) 2025/704.

(c)

kritiska funktioner: verksamhet, insatser eller tjänster som utförs av den nationella kontaktpunkten och som är avgörande för att den ska kunna fullgöra sitt mandat och uppdrag, och som antingen inte får avbrytas eller som måste återupptas inom en kort, på förhand fastställd tidsram. Vid tillämpningen av dessa riktlinjer ska en funktion betraktas som kritisk på grundval av hur snabbt den behöver återställas efter en störning, och inte enbart på grundval av dess strategiska, operativa eller institutionella betydelse. Funktioner av strategisk, operativ eller institutionell betydelse som kan tåla störningar eller långvariga fördröjningar utan att det innebär oacceptabla konsekvenser ska därför inte betraktas som kritiska funktioner.

(d)	kritisk personal: personal som arbetar vid den nationella kontaktpunkten och som utför eller stöder kritiska funktioner, personal som ingår i gruppen som är ansvarig för att hantera eller reagera på en störande händelse eller personal som har båda dessa roller.

(e)

begränsad grupp av kritisk personal: kritisk personal vars begränsade antal utgör en sårbarhet för den operativa kontinuiteten om de är frånvarande eller otillgängliga för arbete, eftersom de har de certifieringar, säkerhetsprövningar, befogenheter, beslutsansvar, åtkomsträttigheter, kunskap, kvalifikationer eller språkkunskaper som krävs för att utföra specifika arbetsuppgifter som är nödvändiga för att säkerställa kontinuiteten i en kritisk funktion.

(f)	personalflaskhals: situation där kontinuiteten i en kritisk funktion är beroende av att en eller flera personer ur den begränsade gruppen av kritisk personal finns tillgängliga.

(g)

operativ kontinuitet: en nationell kontaktpunkts kapacitet att upprätthålla sina kritiska funktioner, vilka omfattar verksamhet, drift eller tjänster, när de resurser som krävs för dessa funktioner, t.ex. kritisk personal, inkommande information, tjänster, produkter, leveranser, budgetresurser, utrustning, informations- och kommunikationssystem (IKT-system) eller lokaler, blir otillgängliga, skadade, oanvändbara eller avbrutna.

(h)	plan för operativ kontinuitet eller plan: antingen ett enda dokument eller ett antal förfaranden för upprätthållandet av den operativa kontinuiteten vid den nationella kontaktpunkten.

(i)	störande händelse: en incident eller situation som förhindrar eller avsevärt fördröjer den nationella kontaktpunktens fullgörande av en kritisk funktion.

(j)	återställning: återupprättande av den nationella kontaktpunktens operativa kapaciteter, lokaler, system och resurser efter en störning.

3. REKOMMENDATIONER FÖR DE NATIONELLA KONTAKTPUNKTERNAS OPERATIVA KONTINUITET

3.1. Grundläggande rekommendationer

Den nationella kontaktpunkten bör utarbeta en enhetlig och heltäckande plan för operativ kontinuitet eller en dokumenterad uppsättning förfaranden som omfattar alla delar av den operativa kontinuiteten. Avsnitt 3.2 innehåller ytterligare rekommendationer för planen för operativ kontinuitet.

Syftet med att ha en plan för operativ kontinuitet är att säkerställa att den nationella kontaktpunkten kan fullgöra sina kritiska funktioner när störande händelser inträffar och förutsättningarna försämras. När man planerar för operativ kontinuitet bör man därför utgå ifrån att störande händelser kommer att inträffa och att det kanske inte är möjligt att omedelbart, eller i vissa fall överhuvudtaget, återgå till normala operativa förhållanden. Den nationella kontaktpunkten bör kunna upprätthålla kritiska funktioner under försämrade förhållanden genom att använda alternativa förfaranden, alternativa lokaler, alternativa kommunikationskanaler och minskade resurser tills full kapacitet har återställts.

Vid störande händelser bör man vid prioriteringen av resurser säkerställa att den nationella kontaktpunktens kritiska funktioner kan upprätthållas. Detta kan innebära att icke kritiska funktioner inte kan upprätthållas.

Rutinerna för operativ kontinuitet bör säkerställa oavbruten insamling, analys, validering och spridning av den operativa information som krävs för att upprätthålla den nationella kontaktpunktens lägesuppfattning och stödja beslutsfattande under hela störningen.

Utbildad personal är den viktigaste resursen när det gäller att säkerställa operativ kontinuitet. Även om planen för den operativa kontinuiteten, tillhörande rutiner och kompletterande åtgärder bidrar till kontinuitet är denna i slutändan beroende av att personalen kan fatta beslut och tillämpa åtgärderna under press.

Utgångspunkten för planeringen av den operativa kontinuiteten bör vara en grundlig förståelse av de administrativa och operativa rutinerna för den organisation som den nationella kontaktpunkten tillhör. För att uppnå detta bör samarbete mellan avdelningar aktivt främjas och underlättas.

Den nationella kontaktpunkten bör analysera potentiella källor till störningar i sin verksamhet. Analysen bör inriktas på vad dessa störningar skulle kunna innebära för den nationella kontaktpunktens verksamhet och på att utarbeta en beredskapsplan för att säkerställa kritiska funktioners kontinuitet.

Vid bedömningen av hot mot den operativa kontinuiteten bör särskild uppmärksamhet ägnas åt tidskänsliga processer och flaskhalsar, bland annat följande:

(a)	Enskilda informationskällor eller uppgifter som endast är kända av ett begränsat antal personer, inbegripet säkerhetsskyddsklassificerade uppgifter.

(b)	Unik utrustning eller unika tjänsteleverantörer som kritiska funktioner är beroende av.

(c)	Gemensamma kommunikationskanaler, kontaktpersoner eller beslutsfattare.

(d)	Tillgänglighet på personal ur den begränsade gruppen av kritisk personal.

Flaskhalsar i fråga om personal, lokaler, kommunikation, IKT-system, logistik och beslutsfattande bör identifieras och åtgärdas. Om det krävs bör lämpliga förebyggande och riskreducerande åtgärder fastställas och testas, inbegripet de som föreslås i avsnitt 3.9.

10.

Vid varje störning, övning och stresstest bör erfarenheter som gjorts kartläggas och leda till förbättringar av rutinerna för operativ kontinuitet, vilket stärker resiliensen över tid.

11.

När det gäller operativ kontinuitet och stresstester för nationella kontaktpunkter inom civilskyddsmekanismen bör nedanstående icke uttömmande kategorier av störande händelser beaktas. Bilaga I innehåller en beskrivning av varje kategori.

(a)	Otillgängliga lokaler

(b)	Störningar i elförsörjningen

(c)	Störningar av eller fel i IKT-system

(d)	Omfattande personalfrånvaro eller frånvaro av personal ur den begränsade gruppen av kritisk personal

12.

Den nationella kontaktpunkten bör säkerställa att den kan upprätthålla sin operativa verksamhet om en eller flera av de störande händelser som anges i punkt 11 ovan inträffar.

3.2. Den nationella kontaktpunktens plan för operativ kontinuitet

13.

Varje nationell kontaktpunkt bör utarbeta en enhetlig, heltäckande och skriftlig plan för operativ kontinuitet, eller en likvärdig dokumenterad uppsättning förfaranden, som omfattar alla delar av den operativa kontinuiteten och som integrerar och systematiserar insatserna vid störningar, inbegripet riskreducerande åtgärder och avtal om omedelbara insatser.

14.

Planen för operativ kontinuitet bör innehålla alternativa rutiner för alla kritiska processer, särskilt tidskänsliga sådana, för att säkerställa att de kan fortsätta om primära resurser inte fungerar. Kompletterande åtgärder och alternativa rutiner bör kunna fungera helt självständigt. De bör inte vara beroende av samma resurser, t.ex. samma byggnad, kraftkälla, kommunikationsväg, IKT-plattform eller tjänsteleverantör. De bör inte heller skapa nya beroenden som skulle kunna medföra ytterligare risker för störningar.

15.

Planen för operativ kontinuitet testas regelbundet under realistiska förhållanden. Planer som inte har validerats genom utbildning, övningar eller stresstester bör inte anses vara operativa. Programmet för operativ kontinuitet bör omfatta regelbunden obligatorisk utbildning för kritisk personal. Regelbundna tester och övningar bör genomföras som inbegriper aktivering av planen och systematisk översyn och uppdatering av den, för att säkerställa att all berörd personal och alla berörda parter är medvetna om och har fått utbildning i vad uppdateringarna innebär.

16.

Beroende på organisationens struktur bör den nationella kontaktpunkten vid utarbetandet av planen för operativ kontinuitet involvera personal som inte direkt arbetar med kritiska funktioner men som har de kvalifikationer eller den kunskap som krävs för att få en övergripande bild av organisationens funktioner.

17.

De nationella kontaktpunkterna bör överväga att inom sin organisation ha en funktion för samordning av kontinuiteten som är inriktad på planen för operativ kontinuitet. Beroende på den nationella kontaktpunktens storlek och struktur bör funktionen för samordning av kontinuiteten utövas av en enda samordnare, av en särskild grupp som samlar företrädare för de relevanta operativa områdena eller genom andra rutiner som är anpassade till det nationella sammanhanget. Om ett team bildas bör de personer som ingår ha kvalifikationer på de operativa områden som är relevanta för genomförandet av planen, såsom IKT-system, alternativa lokaler, personalresurser eller logistik. Funktionen för samordning av kontinuiteten bör ha till uppgift att säkerställa ett konsekvent genomförande, regelbunden översyn och uppdatering av planen för den operativa kontinuiteten, inbegripet verifiering av de resurser och rutiner som planen bygger på.

3.3. Identifiering av kritiska funktioner

18.

Den nationella kontaktpunkten bör identifiera de kritiska funktionerna i sin organisation och upprätta och upprätthålla en förteckning över dem. Utöver de funktioner som rör civilskyddsmekanismen, såsom att hantera begäranden om bistånd samt erbjuda och sätta in civilskyddsmekanismens insatskapaciteter, kan den nationella kontaktpunkten också behöva säkerställa kontinuiteten för andra kritiska funktioner för organisationen. Exempel på detta är samordning med nationella eller regionala myndigheter, kontakter med andra internationella organisationer, utfärdande av varningar till allmänheten och stöd till beslutsfattande på högre nivå.

För varje kritisk funktion bör den nationella kontaktpunkten fastställa mål för operativ effektivitet som definierar den maximalt godtagbara försämringen av tjänster under störande händelser. Dessa mål bör, när så är lämpligt, omfatta längsta acceptabla störningsperiod, återställningstid, acceptabel förlust av operativ information, lägsta personalnivåer, kommunikationstillgänglighet och beslutskapacitet. Målen bör ligga till grund för utformningen av planen för operativ kontinuitet och för utvärderingen av stresstesternas resultat. Bilaga II innehåller exempel på mål för operativ effektivitet.

19.

Det är tillrådligt att rangordna kritiska funktioner efter hur de prioriteras eller efter hur brådskande det är att återuppta dem.

3.4. Analys av verksamhetsprocesser och reservresurser

20.

Med utgångspunkt i inventeringen av kritiska funktioner bör den nationella kontaktpunkten göra en analys av verksamhetsprocesserna och utarbeta reservlösningar för att säkerställa kontinuiteten i sina kritiska funktioner. Analysen bör ge en heltäckande bild av hur funktionerna fungerar genom att, för varje funktion, fastställa följande:

(a)	Vilka arbetsuppgifter som ingår i funktionen.

(b)	När och i vilken och ordningsföljd arbetsuppgifterna ska utföras, inbegripet hur länge, samt tidskänsliga delar.

(c)	Vem som utför vilken arbetsuppgift, inbegripet den profil, de kvalifikationer eller den utbildning som krävs.

(d)	Informationsflödet, inklusive hur data, begäranden och output rör sig mellan aktörer och system.

(e)	Vem som validerar eller godkänner processen eller processerna.

(f)

Vilka resurser som används och vilka produktionsfaktorer som krävs från externa aktörer, inbegripet information, dataset, tjänster, produkter, materiel, budgetresurser, utrustning, IKT-system och lokaler, t.ex. privata företag som levererar energi eller tillhandahåller säkerhetstjänster. Särskild uppmärksamhet bör ägnas informationens säkerhetsskyddsklassificeringsnivå samt de lokaler och den utrustning som används för att hantera den.

(g)	Vilka output som kommer från funktionen, inbegripet information, specifika produkter eller tjänster, eller samordnings-, validerings- eller godkännandeåtgärder.

(h)	Vilka externa organisationer eller intressentgrupper som får tillgång till dessa output.

(i)

Vilka beroenden och ömsesidiga beroenden som finns och är nödvändiga för verksamhetens drift, inbegripet relationer till och överenskommelser med externa aktörer såsom myndigheter i andra medlemsstater och i länder som deltar i civilskyddsmekanismen, civilskyddspartner, operatörer av kritisk infrastruktur, tjänsteleverantörer, leverantörer m.fl.; specificera vilka produktionsfaktorer eller output som förväntas.

(j)	Vilka reservresurser och alternativa rutiner som finns att tillgå.

21.

När de nationella kontaktpunkterna genomför sina analyser av verksamhetsprocesserna uppmanas de att beakta tabellen i bilaga III.

3.5. Rekommenderade metoder för alternativa lokaler och alternativ utrustning

22.

Den nationella kontaktpunkten bör säkerställa att den kan fortsätta sin operativa verksamhet om dess lokaler tillfälligt blir otillgängliga eller oanvändbara, bland annat genom att säkerställa tillgången till viktig utrustning.

23.

Primära och alternativa lokaler och tillfälliga lösningar bör vara säkra och ha en lämplig säkerhetsskyddsklassificeringsnivå. Detta bör stå i proportion till den typ av kris som hanteras och till hur känsliga de uppgifter som hanteras är eller till deras säkerhetsskyddsklassificeringsnivå.

3.6. Rekommenderad praxis för elförsörjning

24.

Den nationella kontaktpunkten bör säkerställa att den kan fortsätta sin operativa verksamhet vid lokala eller mer omfattande strömavbrott.

25.

Primära och alternativa lokaler, inbegripet tillfälliga lokaler, bör ha resilient elförsörjning med reservsystem, så att den nationella kontaktpunkten kan fortsätta sin verksamhet och tillhandahålla sina kritiska funktioner under längre strömavbrott.

26.

De åtgärder som fastställs för nationella kontaktpunkter bör i förekommande fall genomföras på ett sätt som är förenligt med nationella riskberedskapsplaner avseende el som upprättats i enlighet med Europaparlamentets och rådets förordning (EU) 2019/941 (11) och nationella förebyggande åtgärdsplaner och krisplaner som upprättats i enlighet med Europaparlamentets och rådets förordning (EU) 2017/1938 (12) om tryggad gasförsörjning samt med befintliga nationella krishanteringsrutiner.

3.7. Rekommenderad praxis för IKT-system

27.

Den nationella kontaktpunkten bör säkerställa att de IKT-system som stöder dess kritiska funktioner är tillförlitliga och resilienta. Särskild uppmärksamhet bör ägnas åt följande:

(a)

Kontinuitet i tillgången till databaser, handlingar och e-postmeddelanden, inbegripet tillgång till uppdaterade kontaktlistor, kontinuitet i kommunikationen med ERCC, medlemsstaterna och de länder som deltar i civilskyddsmekanismen samt kontinuitet i process- och hanteringssystemen för insamling och övervakning av information och registrering av vidtagna åtgärder.

(b)

Teknikintegrering, genom att säkerställa att kritiska system är kompatibla och interoperabla med distanslösningar och alternativa platser, inbegripet dessa platsers möjlighet att ansluta till det gemensamma kommunikations- och informationssystemet för olyckor (Cecis) och att hantera säkerhetsskyddsklassificerade uppgifter vid arbete på distans. Dessa rutiner bör verifieras genom lämplig testning.

(c)	Informations- och kommunikationssäkerhet, inbegripet möjligheten att upprätta säkerhetsskyddsklassificerade anslutningar och utbyta säkerhetsskyddsklassificerade meddelanden på både nationell och internationell nivå.

(d)	Register över alla tredjepartsleverantörer av utrustning och programvara som används vid den nationella kontaktpunkten.

28.

Särskild uppmärksamhet bör ägnas åt cyberincidenter som en särskild kategori av IKT-avbrott. Den nationella kontaktpunkten bör överväga att upprätta samordningsprotokoll med den nationella cybersäkerhetsmyndigheten som en del av sina mer omfattande rutiner för operativ kontinuitet. Sådana åtgärder bör omfatta kanaler för tidig varning, gemensamma protokoll för incidenthantering och klargörande av respektive roller under en cyberincident som påverkar den nationella kontaktpunkten.

3.8. Rekommenderad praxis för personalresurser

29.

Den nationella kontaktpunkten bör säkerställa dels att den har tillräckligt med personal för att kunna fortsätta sin operativa verksamhet om det uppstår situationer med minskad tillgång på personal, dels att dess personal har den profil och kompetens som krävs.

30.

Den nationella kontaktpunkten bör beakta följande:

(a)

Säkerställa att det finns tillgång till personal med lämplig kompetens och bakgrund, inbegripet erfarenhet av krishantering och, i tillämpliga fall, den säkerhetsprövning som krävs för att hantera säkerhetsskyddsklassificerade uppgifter. Den bör utveckla och införa metoder för att verifiera yrkeskompetens och tillhandahålla omfattande introduktions- och fortbildningsprogram för att upprätthålla och vidareutveckla personalens kompetens. Härigenom säkerställs att personalen är fullt förberedd och kan reagera effektivt på aktiveringar av civilskyddsmekanismen. Utbildningen bör också omfatta förebyggande av störningar orsakade av den mänskliga faktorn eller handlingar som begås med ont uppsåt, inbegripet viktig medvetenhet om cybersäkerhet och informationssäkerhet, t.ex. den risk som social manipulering utgör.

(b)

Tillhandahålla regelbunden utbildning för att hålla personalen uppdaterad om rutinerna för operativ kontinuitet och om användningen av utrustning och IKT-system på centrala och alternativa platser. Den bör undersöka behovet av ytterligare utbildning för sin personal när det gäller hantering av långvariga katastrofer och kriser och insatser inom ramen för civilskyddsmekanismen.

(c)	Utarbeta planer för att säkerställa personalrotation under långvariga nödsituationer, inbegripet hantering av snabbinsatskapacitet. Den bör inrätta arbetsgrupper med tydliga roller och planer för avlösning i personalstyrkan för att förbättra samordningen under kriser.

(d)	Fastställa transportlösningar för att säkerställa att kritisk personal, i förekommande fall, kan ta sig till den plats där de ska utföra sina arbetsuppgifter oavsett om det gäller den primära verksamhetsplatsen, en alternativ plats eller en mobil enhet.

(e)	Införa lämpliga skyddsåtgärder för att säkerställa skyddet av personalens hälsa och säkerhet.

(f)

Utarbeta planer för personalens välbefinnande som omfattar mat, vatten, övernattningsmöjligheter, tillgång till lokaler vid den nationella kontaktpunkten och psykologiskt stöd för att hjälpa personalen att hantera stress och utmattning. Dessa planer bör ta höjd för långvariga insatser i avgränsade miljöer och ta hänsyn till den kritiska personalens individuella eller personliga omständigheter, inbegripet familjerelaterade behov i förekommande fall.

(g)	Fastställa dataskydds- och integritetspolicyer för att säkerställa att planeringen för operativ kontinuitet är förenlig med skyddet av personuppgifter under och efter incidenter.

31.

Kritiska funktioner bör stödjas av lämpliga rutiner för operativ kontinuitet, strukturerad och systematisk kompetensöverföring samt regelbundna övningar så att funktionerna kan utföras av flera utbildade medarbetare. Härigenom undviks att personalflaskhalsar uppstår. Ingen enskild kritisk funktion bör vara beroende uteslutande av att en enskild medarbetare finns tillgänglig.

3.9. Förebyggande och riskreducerande åtgärder för varje kategori av störande händelse

32.

Följande avsnitt innehåller en vägledande förteckning över rekommenderade förebyggande och riskreducerande åtgärder för varje kategori av störande händelse. Dessa åtgärder kan förvisso genomföras parallellt, men varje medlemsstat bör välja de lämpligaste och mest effektiva åtgärderna med utgångspunkt i den nationella kontaktpunktens mandat, kontext, situation, kapacitet, den operativa och rättsliga ramens struktur och de potentiella orsakerna till störningar som skulle kunna påverka den nationella kontaktpunktens kritiska funktioner. Avsikten med förteckningen är inte att alla åtgärder tillämpas samtidigt, eftersom genomförandet av en åtgärd i vissa fall kan vara oförenligt med tillämpningen av en annan åtgärd eller kräva alltför stora investeringar.

33.

Rekommenderade förebyggande och riskreducerande åtgärder för att lösa problemet med otillgängliga lokaler:

(a)	Den nationella kontaktpunkten bör bedriva sin verksamhet från anläggningar på två eller fler olika platser, där verksamheten bedrivs parallellt, så att de olika anläggningarna kan tillhandahålla ömsesidig reservkapacitet och stödja varandra vid en alltför stor arbetsbelastning.

(b)	Omlokalisering till alternativa lokaler som förvaltas av den nationella kontaktpunktens myndighet.

(c)	I förväg ordnad transport för kritisk personal till alternativa lokaler (även under ogynnsamma väderförhållanden).

(d)	Distansarbete (med flexibla arbetsuppgifter som kan utföras utanför den nationella kontaktpunktens fysiska plats).

(e)	Mobila lednings- och kontrollenheter som tillfälligt kan hysa kritisk personal från den nationella kontaktpunkten.

(f)	Aktivering av administrativa arrangemang med andra myndigheter om användning av deras lokaler.

(g)	Delegering.

34.

Rekommenderade förebyggande och riskreducerande åtgärder för att hantera avbrott i elförsörjningen:

(a)	Aktivering av generatorer och avbrottsfri kraftförsörjning.

(b)	Rutiner för prioriterade leveranser av bränsle och avtal med leverantörer.

(c)	Energioberoende och alternativa energikällor för kritiska funktioner.

(d)	Maximering av tillgänglig elkapacitet.

(e)	Omlokalisering till alternativa lokaler som förvaltas av den nationella kontaktpunktens myndighet och där elförsörjningen kan garanteras.

(f)	Distansarbete från en byggnad med garanterad elförsörjning.

(g)	Mobila lednings- och kontrollenheter som är självförsörjande i fråga om el.

(h)	Aktivering av administrativa arrangemang med andra myndigheter om användning av deras lokaler med garanterad elförsörjning.

(i)	Delegering.

35.

Rekommenderade förebyggande och riskreducerande åtgärder för att hantera avbrott eller fel i IKT-systemen:

(a)	Redundans.

(b)	Regelbunden och säker säkerhetskopiering av data, inklusive med kopior på annan plats och offline.

(c)	Alternativa IKT-system, IKT-plattformar och kommunikationskanaler.

(d)	IKT-supportteam för akuta situationer eller tekniska jourteam.

(e)	Förfaranden för hantering av cyberincidenter som samordnas med den nationella cybersäkerhetsmyndigheten.

(f)	Kopior offline av viktiga kontaktlistor, centrala förfaranden och operativa dokument.

(g)	Mobila enheter för ledning och kontroll med tillgång till primära IKT-system och reserv-IKT-system.

(h)	Flytt till alternativa lokaler med tillgång till primära IKT-system och reserv-IKT-system hos den nationella kontaktpunktens myndighet.

(i)	Aktivering av administrativa arrangemang med andra myndigheter om användning av deras lokaler med tillgång till IKT-system.

36.

Rekommenderade förebyggande och riskreducerande åtgärder för att hantera omfattande personalfrånvaro och frånvaro av personal ur den begränsade gruppen av kritisk personal:

(a)	Övertidshantering (kortsiktig lösning).

(b)	Omfördelning av uppgifter till tillgänglig personal.

(c)	En på förhand utsedd grupp av utbildad intern personal som kan vara tillgänglig med kort varsel

(d)	Prioritering av rekrytering av personal.

(e)	Investeringar för att behålla kritisk personal.

(f)	Stöd till den kritiska personalens familjer.

(g)	Förebyggande av personalflaskhalsar genom att delegera befogenheter och främja delat ledarskap.

37.

Bilaga IV innehåller teknisk vägledning för genomförandet av var och en av de åtgärder som förtecknas.

3.10. Kontinuitet i verksamheten vid aktivering av civilskyddsmekanismen

38.

För att förbättra samarbetet med civilskyddsmekanismen och säkerställa kontinuiteten rekommenderas följande åtgärder:

(a)

I det fall landet har tillgång till de transeuropeiska telematiktjänsterna för myndigheter (Testa) eller Testa-Eiris (efterträdare till Testa), identifiera vem som är landets nationella Testa-samordnare. Säkerställa att landets kontaktpunkt för Cecis har kontaktuppgifter till landets nationella Testa-samordnare och att dessa uppgifter hålls uppdaterade. Säkerställa att landets kontaktpunkt för Cecis har satt sig in i planen för operativ kontinuitet när det gäller dess lokala/nationella åtkomst till den nationella Testa-nätporten.

(b)	Utarbeta protokoll för att skilja mellan fel i Testa-konnektiviteten och fel i Cecis-plattformen när man begär bistånd genom civilskyddsmekanismen, och för att kunna begära bistånd om det inträffar en störning av Testa i den nationella kontaktpunktens land.

(c)

När så är lämpligt undersöka arrangemang för ömsesidigt operativt stöd med andra nationella myndigheter för att säkerställa att den nationella kontaktpunkten kan fortsätta att utföra sina kritiska funktioner om en störning inträffar som avsevärt försämrar den nationella kontaktpunktens möjligheter att fortsätta sin operativa verksamhet. Dessa arrangemang bör särskilt inbegripa myndigheter med tillgång till Testa, så att den nationella kontaktpunkten kan få tillgång till Cecis från alternativa lokaler.

(d)

När så är lämpligt undersöka möjligheten att upprätta bilaterala administrativa arrangemang för ömsesidigt operativt stöd med angränsande medlemsstater som ingår i civilskyddsmekanismen eller länder som deltar i civilskyddsmekanismen, i situationer där en störning väsentligt försämrar den nationella kontaktpunktens förmåga att upprätthålla den operativa kontinuiteten och det inte går att tillämpa de rutiner som avses i led b. Sådana arrangemang bör göra det möjligt för den nationella kontaktpunkten att använda dessa länders lokaler och få tillgång till Testa-nätet.

(e)	Tillhandahålla utbildning om Cecis för ny personal och planera regelbundna övningar för personalen.

(f)	Med utgångspunkt i den nationella civilskyddsstrukturen bör planen för kontinuitet innehålla arrangemang för att säkerställa smidig kommunikation mellan den nationella kontaktpunkten och andra relevanta myndigheter som har befogenhet att vid behov begära aktivering av civilskyddsmekanismen.

(g)	Planen för operativ kontinuitet bör beakta de nationella intressenter som äger och förvaltar sådana civilskyddsmekanismresurser som inte tillhör den nationella kontaktpunktens myndighet men som på begäran genom civilskyddsmekanismen kan göras tillgängliga för insatser.

39.

Planen bör anpassas till kommissionens rekommendation av den 29 november 2024 om EU:s riktlinjer för värdnationsstöd (13), särskilt när det gäller den nationella kontaktpunktens aktivering av civilskyddsmekanismen och dess roll när det gäller värdnationsstöd (14).

3.11. Aktivering av planen för operativ kontinuitet

40.

Beroende på störningens art och omfattning bör den nationella kontaktpunktens plan för operativ kontinuitet fastställa olika aktiveringsnivåer, inbegripet en partiell aktivering i de fall den nationella kontaktpunkten fortsätter sin verksamhet från sina huvudlokaler enligt anpassade förfaranden, och en fullständig aktivering som kräver flytt till alternativa lokaler eller andra alternativa rutiner.

41.

Kriterierna, aktiveringsnivåerna och de utlösande faktorerna samt den myndighet som har befogenhet att godkänna en aktivering bör fastställas på nationell nivå, i linje med varje nationell kontaktpunkts struktur och operativa ram. Ett belysande exempel på ett aktiveringsflöde finns i bilaga V.

42.

Aktiveringsförfaranden bör göra det möjligt att i god tid aktivera rutinerna för operativ kontinuitet som en reaktion på både faktiska och förväntade störningar, inbegripet händelser som inträffar utanför normal arbetstid och händelser för vilka en förhandsvarning har utfärdats.

43.

Om en incident stör den nationella kontaktpunktens operativa kontinuitet och utlöser aktiveringen av dess plan för operativ kontinuitet bör den nationella kontaktpunkten överväga att underrätta ERCC.

3.12. Utbildning, övningar och regelbundna tester

44.

Det bör genomföras regelbundna utbildningar om och övningar och tester av planerna för operativ kontinuitet. Det rekommenderas att man planerar regelbundna informationsmöten samt utbildningstillfällen och övningar med anknytning till planerna för kontinuitet. Annan regelbunden utbildning, såsom utbildning för ny personal, bör också omfatta nödvändiga delar av planen för operativ kontinuitet. Man bör också överväga att genom regelbundna riktade informationsmöten och övningar inbegripa externa intressenter som skulle kunna påverkas av en störning i den nationella kontaktpunktens verksamhet.

45.

Planen för operativ kontinuitet bör testas åtminstone en gång om året. Tätare tester bör övervägas om det är motiverat med hänsyn till den nationella kontaktpunktens struktur, operativa situation eller riskprofil.

3.13. Återställning

46.

När de negativa effekterna av den störande händelsen har begränsats bör den nationella kontaktpunkten betrakta den gradvisa återgången till normal verksamhet som en separat fas av den operativa kontinuiteten. Återställningen är den fas då den nationella kontaktpunkten går tillbaka till normal verksamhet efter att ha tillämpat rutiner för operativ kontinuitet, och inbegriper återupptagande av viktiga (men inte kritiska) funktioner som tillfälligt kan ha avbrutits.

47.

I planen för operativ kontinuitet bör det fastställas villkor för när man kan påbörja återställningen, anges vilken myndighet som har befogenhet att godkänna övergången och specificeras de etapper som ska genomföras för att på ett säkert sätt återgå till normal verksamhet.

48.

Följande bör beaktas för återställningsfasen:

(a)

Verifiering av förutsättningarna för återställningen. Innan återgången till normal verksamhet inleds bör den nationella kontaktpunkten undersöka om den störande händelse som orsakade avbrottet har åtgärdats eller begränsats i tillräcklig utsträckning, huruvida de primära lokalerna, IKT-systemen och kommunikationskanalerna åter är fullt operativa och huruvida databasernas och dokumentens integritet har verifierats. För att undvika att förlora information som genererats medan rutinerna för operativ kontinuitet fanns på plats bör särskild uppmärksamhet ägnas åt data som reproducerats under störningen.

(b)

Stegvis återupprättande av kritiska funktioner. Kritiska funktioner bör inte omedelbart återgå till normal verksamhet. Den nationella kontaktpunkten bör överväga att låta dem återgå i omvänd prioriteringsordning, och börja med de funktioner för vilka en kortare störning under övergången är mest tolerabel, samtidigt som funktioner med högsta prioritet upprätthålls genom rutinerna för kontinuitet tills den normala miljön har bekräftats vara stabil. Verksamheten bör bedrivas parallellt under övergången för att minska risken för fel som får dominoeffekter.

(c)

Återupptagande av viktiga funktioner. Icke-kritiska funktioner som tillfälligt avbrutits under störningen bör återupptas först när de kritiska funktionerna har bekräftats vara stabila under normala arbetsrutiner. I vilken ordning och hur fort återupptagandet sker bör anpassas till personalens tillgänglighet, med tanke på att rutiner för operativ kontinuitet ofta ökar arbetsbördan och är utmattande för personalen.

(d)	Kontroll av om det finns ytterligare sårbarheter. Den nationella kontaktpunkten bör kontrollera att rutinerna för operationell kontinuitet inte har skapat ytterligare sårbarheter innan den återgår till normal verksamhet.

49.

De nationella kontaktpunkterna bör även genomföra följande:

(a)	Avrapportering efter händelsen. För att hjälpa till att identifiera vad som fungerade och vad som inte fungerade bör den nationella kontaktpunkten planera ett avrapporteringsmöte för alla personalkategorier som deltog i insatserna.

(b)	Dokumentation av händelsen. Den nationella kontaktpunkten bör efter händelsen utarbeta ett strukturerat dokument som sammanfattar händelseförloppet, aktiveringen av rutinerna för operativ kontinuitet, hur kritiska funktioner fungerade, de brister som identifierades och de lärdomar som drogs.

(c)

Integrering av identifierade lärdomar i planen för operativ kontinuitet. Efter varje störande händelse som utlöser en aktivering av planen för operativ kontinuitet bör den nationella kontaktpunkten fastställa en tidsram för uppdatering av planen, så att identifierade lärdomar införlivas innan de försvinner från det operativa minnet. Den nationella kontaktpunkten bör därför inrätta ett förfarande för att spåra brister och korrigerande åtgärder, och för att på nytt testa de uppdaterade åtgärderna när så är lämpligt. I förekommande fall bör identifierade lärdomar också leda till förbättringar av den nationella kontaktpunktens normala verksamhet.

3.14. Kommunikationsstrategi

50.

Effektiv hantering av störande händelser inbegriper olika typer av kommunikation, och varje nationell kontaktpunkt bör utveckla en solid kommunikationsstrategi som erkänner den nationella kontaktpunktens ansvar för allmän kommunikation och för kriskommunikation. Denna strategi bör ligga till grund för den nationella kontaktpunktens beslut och åtgärder när det gäller informationsutbyte vid störningar och säkerställa att alla berörda eller drabbade parter får ta del av nödvändig information och att de, i tillämpliga fall, kan agera i enlighet med denna, och därigenom bidra till att skydda organisationens anseende och upprätthålla förtroendet. Bilaga VI innehåller förslag på punkter som den nationella kontaktpunkten ska beakta vid utarbetandet av en solid kommunikationsstrategi.

4. REKOMMENDATIONER FÖR ANORDNANDE OCH GENOMFÖRANDE AV ETT STRESSTEST

51.

Kommissionen rekommenderar att stresstester av nationella kontaktpunkter genomförs i civilskyddsmekanismen. I detta avsnitt ges vägledning om hur ett stresstest utformas och utvärderas.

4.1. Syfte och tillämpningsområde

52.

Syftet med stresstestet bör vara att bedöma den nationella kontaktpunktens kapacitet att fortsätta att utföra sina kritiska funktioner under störningar. Därför bör stresstestet ske i form av en övning med begränsad omfattning som är utformad för att kunna utvärdera hur befintliga rutiner för operativ kontinuitet fungerar och hur den nationella kontaktpunkten utför vissa kritiska funktioner under störningar, bland annat genom att testa både primära och alternativa resurser.

53.

Stresstestet bör ha följande allmänna mål:

(a)	Se över, uppdatera och validera planen för operativ kontinuitet samt bedöma den nationella kontaktpunktens kvalifikationer, utrustning och rutiner när det gäller den operativa kontinuiteten.

(b)	Förbättra förståelsen för prioriteringar och begränsningar samt förändra synsätt avseende den nationella kontaktpunktens operativa kontinuitet.

(c)	Identifiera svagheter, luckor, flaskhalsar och beroenden samt möjligheter till förbättringar när det gäller planen för operativ kontinuitet och resurser som upprätthåller kritiska funktioner, tillhörande utbildning, utrustning och rutiner vid den nationella kontaktpunkten.

(d)	Bedöma förmågan hos kritisk personal vid den nationella kontaktpunkten på olika nivåer, inbegripet ledningen, att utföra sina arbetsuppgifter och ta ansvar för sina ansvarsområden.

(e)	Bedöma samordning och kommunikation inom organisationen och med externa partner under störningar.

54.

Vid planeringen av stresstestet rekommenderas att man formulerar specifika mål för testet som är mätbara och anpassade till de kritiska funktioner som ska testas.

55.

Stresstestet bör inte syfta till att identifiera hot som skulle kunna utlösa incidenter som kan störa den nationella kontaktpunktens normala verksamhet.

4.2. Omfattning

56.

Stresstestet bör omfatta följande:

(a)	De specifika målen för stresstestet.

(b)	De kritiska funktioner som ska utvärderas.

(c)	Arten av och varaktigheten hos den störning som påverkar den operativa kontinuiteten.

(d)	De resurser som tas i anspråk, inbegripet personal och deras arbetsuppgifter, lokaler, utrustning och IKT-system.

(e)	I vilken utsträckning externa intressenter är involverade.

4.3. Scenarier

57.

En scenariobaserad strategi bör omfatta konsekvenserna av incidenter (utlösande faktorer) som kan orsaka störningar i verksamheten och leda till att den nationella kontaktpunktens plan för operationell kontinuitet aktiveras. Det rekommenderas att man övar på olika scenarier och att deras komplexitet varieras för att därigenom förbereda organisationen för en rad möjliga utfall. Det bör säkerställas att scenarierna är utmanande men realistiska för att ge meningsfulla insikter om hur effektivt planen för operativ kontinuitet fungerar. I bilaga VII ges två exempel på scenarier.

58.

De nationella kontaktpunkterna rekommenderas att använda följande icke uttömmande förteckning över utlösande faktorer för aktivering av den nationella kontaktpunktens plan för operativ kontinuitet: Otillgängliga lokaler (1), avbrott i elförsörjningen (2), avbrott eller fel i IKT-systemen (3) samt omfattande personalfrånvaro och frånvaro av personal ur den begränsade gruppen av kritisk personal(4).

(a)	Utlösande faktor 1 Otillgängliga lokaler. Den byggnad där den nationella kontaktpunkten är inhyst har fått fysiska skador, kan inte nås eller har evakuerats. Dessa omständigheter gör den oanvändbar på obestämd tid.

(b)

Utlösande faktor 2 Avbrott i elförsörjningen. På grund av ett fel i elnätet har den byggnad där den nationella kontaktpunkten är verksam ingen el. Strömavbrottet varar längre än den tid som den nationella kontaktpunktens reservgenerator kan vara i drift innan den behöver fyllas på med bränsle. Om det inte är känt exakt hur länge generatorns bränslekapacitet räcker bör avbrottet behandlas som ett avbrott med okänd varaktighet.

(c)	Utlösande faktor 3 Avbrott eller fel i IKT-systemen. Till följd av ett fel i IKT-systemen fungerar inte den nationella kontaktpunktens programvara eller applikation(er) effektivt. Felet hindrar också tillgången till viktiga databaser, vilket gör att IKT-systemen ligger nere under obestämd tid.

(d)

Utlösande faktor 4 Omfattande personalfrånvaro och frånvaro av personal ur den begränsade gruppen av kritisk personal. En betydande del av personalen har plötsligt inte möjlighet att fullgöra sina arbetsuppgifter. Detta skulle kunna innebära frånvaro av personal ur den begränsade gruppen av kritisk personal och leda till fördröjningar eller avbrott i verksamheten. Situationen bedöms bli så långvarig att den återstående personalens kapacitet för övertidsarbete överskrids.

59.

Stresstesterna bör gradvis kombinera flera störande händelser för att bedöma den nationella kontaktpunktens förmåga att upprätthålla kritiska funktioner under störningar med dominoeffekter eller kombinerade störningar som påverkar flera resurser samtidigt.

4.4. Deltagare

60.

Det rekommenderas att identifiera deltagare i enlighet med stresstestets fastställda mål, kritiska funktioner och scenario.

4.5. Utvärdering, kartläggning av lärdomar och genomförande av förbättringar

61.

Vid planeringen av stresstestet är det tillrådligt att inrätta ett utvärderingssystem. Detta bidrar till att identifiera brister och områden med förbättringspotential i planen för operativ kontinuitet samtidigt som man bedömer hur framgångsrik övningen var i sin helhet. Det utgör också en grund för framtida planering och utbildningar vad gäller den nationella kontaktpunktens operativa kontinuitet.

62.

Det rekommenderas att utvärderingsformatet struktureras med hänsyn till både verkliga händelser och övningar eller utbildningsverksamhet, inbegripet stresstester. För stresstestet rekommenderas de nationella kontaktpunkterna att använda utvärderingsmallen i bilaga VIII. I denna mall föreslås att den operativ kontinuiteten utvärderas ur två kompletterande aspekter:

(a)	Efterlevnaden av planen för operationell kontinuitet.

(b)	Upprätthållandet av kritiska funktioner och fullgörandet av på förhand fastställda mål för effektivitet.

63.

Dessutom är tabellen i bilaga IX avsedd att hjälpa de nationella kontaktpunkterna att sammanställa utvärderingen, kartlägga lärdomar och föreslå förbättringar. Bilaga X innehåller en mall för ett frågeformulär som utformats för att samla in återkoppling från deltagarna.

64.

Efter att ha genomfört ett stresstest av sina nationella kontaktpunkter uppmanas medlemsstaterna och de länder som deltar i civilskyddsmekanismen att dela med sig av icke-känsliga lärdomar och föreslagna förbättringar till ERCC.

Utfärdad i Bryssel den 29 oktober 2026.

På kommissionens vägnar

Hadja LAHBIB

Ledamot av kommissionen

(1) EUT L 347, 20.12.2013, s. 924, ELI: http://data.europa.eu/eli/dec/2013/1313/oj.

(2) Kommissionens genomförandebeslut (EU) 2025/704 av den 10 april 2025 om tillämpningsföreskrifter för Europaparlamentets och rådets beslut nr 1313/2013/EU om en civilskyddsmekanism för unionen och om upphävande av kommissionens genomförandebeslut 2014/762/EU och (EU) 2019/1310 (EUT L, 2025/704, 15.4.2025, ELI: http://data.europa.eu/eli/dec_impl/2025/704/oj).

(3) EUT C 56, 15.2.2023, s. 1.

(4) Meddelande från kommissionen till Europaparlamentet, rådet, Europeiska ekonomiska och sociala kommittén samt Regionkommittén: Unionsmål för resiliens mot katastrofer: att samarbeta för att hantera framtida krissituationer, 8.2.2023, COM(2023) 61 final.

(5) Gemensamt meddelande till Europaparlamentet, Europeiska rådet, rådet, Europeiska ekonomiska och sociala kommittén samt Regionkommittén om EU:s strategi för en beredskapsunion, 26.3.2025, JOIN(2025) 130 final.

(6) Åtagande att öka resiliensen, som utfärdades av de stats- och regeringschefer som deltog i mötet i Nordatlantiska rådet i Warszawa 8–9 juli 2016.

(7) Till exempel programvaruuppdateringar, brist på information om ändringar av företagets e-postdomän och om uppdateringar av kontaktuppgifter, långvarig brist på personal eller en situation där stora delar av den kritiska personalen pensioneras samtidigt och inte kan ersättas förrän den dagen de går i pension.

(8) Europaparlamentets och rådets direktiv (EU) 2022/2555 av den 14 december 2022 om åtgärder för en hög gemensam cybersäkerhetsnivå i hela unionen, om ändring av förordning (EU) nr 910/2014 och direktiv (EU) 2018/1972 och om upphävande av direktiv (EU) 2016/1148 (NIS 2-direktivet) (EUT L 333, 27.12.2022, s. 80, ELI: http://data.europa.eu/eli/dir/2022/2555/oj).

(9) Internationella standarder: ISO 22301:2019 (Ledningssystem för kontinuitetshantering), FEMA:s Federal Continuity Directive 1 (2017), Federal Continuity Directive 2 (2017), Continuity Guidance Circular (2018, 2024 uppdatering), Business Process Analysis och Business Impact Analysis User Guide (2019), samt Good Practice Guidelines (2018) från Business Continuity Institute.

(10) När det gäller deltagande stater, se artikel 28 i beslut nr 1313/2013/EU.

(11) Europaparlamentets och rådets förordning (EU) 2019/941 av den 5 juni 2019 om riskberedskap inom elsektorn och om upphävande av direktiv 2005/89/EG (EUT L 158, 14.6.2019, s. 1, ELI: http://data.europa.eu/eli/reg/2019/941/oj).

(12) Europaparlamentets och rådets förordning (EU) 2017/1938 av den 25 oktober 2017 om åtgärder för att säkerställa försörjningstryggheten för gas och om upphävande av förordning (EU) nr 994/2010 (EUT L 280, 28.10.2017, s. 1, ELI: http://data.europa.eu/eli/reg/2017/1938/oj).

(13) C(2024) 8339.

(14) Värdnationsstöd definieras i artikel 4.9 i beslut nr 1313/2013/EU som alla åtgärder som vidtas under beredskaps- och insatsfasen av den stat som tar emot eller skickar bistånd, eller av kommissionen, i syfte att undanröja alla förutsebara hinder för internationellt bistånd som tillhandahålls genom civilskyddsmekanismen. Häri ingår stöd från medlemsstaterna för att underlätta transitering av detta bistånd genom deras territorium.

BILAGA IV

Vägledning för tillämpningen av förebyggande och riskreducerande åtgärder

I detta avsnitt ges vägledning för hur förebyggande och riskreducerande åtgärder kan genomföras, uppdelat per kategori störande händelse. För att undvika upprepningar beskrivs åtgärder som är tillämpliga på flera olika kategorier av störande händelser endast en gång, i den första tillämpliga kategorin.

—

Otillgängliga lokaler:

—

Den nationella kontaktpunkten bör bedriva sin verksamhet från anläggningar på två eller fler olika platser, där verksamheten bedrivs parallellt, så att de olika anläggningarna kan tillhandahålla ömsesidig reservkapacitet och stödja varandra vid en alltför stor arbetsbelastning. Varje anläggning bör vara i gång dygnet runt och vara fullt utrustad för att kunna hantera hela arbetsbelastningen om de andra anläggningarna måste lägga ned sin verksamhet tillfälligt. Placeringen bör väljas utifrån en riskanalys där olika riskzoner och tillgänglighet beaktas, och primära och alternativa lokaler bör förläggas till olika riskzoner och kunna nås via olika transportvägar. I områden där det finns risk för jordbävningar bör anläggningarna till exempel vara belägna på olika tektoniska plattor. I områden där översvämningar kan inträffa bör anläggningarna ligga på olika höjd eller i olika flodbäcken.

—

Flytt till alternativa lokaler som förvaltas av den nationella kontaktpunktens myndighet. Överväg att ha alternativa lokaler på minst två platser. Den ena platsen bör ligga nära huvudlokalerna, för att underlätta en snabb flytt och snabbt återupptagande av kritiska funktioner. Den andra platsen bör ligga tillräckligt långt borta för att allvarliga störande händelser, såsom översvämningar eller snöstormar, inte ska påverkar båda platser samtidigt. Se till att både information och kommunikation är säker och att kritisk IKT-utrustning och kritiska IKT-system – såsom Cecis eller utrustning som krävs för säkerhetsklassad kommunikation – är kompatibla, både i huvudlokalerna och i de alternativa lokalerna.

—

I förväg ordnad transport för kritisk personal till alternativa lokaler (även under ogynnsamma väderförhållanden). För att säkerställa att personalstyrkan är tillräckligt stor bör arrangemang finnas för transport av kritisk personal om planen för operativ kontinuitet aktiveras och alternativa lokaler eller mobila fjärrenheter behöver användas. Beakta möjlig inverkan på transportvägar, såsom trafikstockningar och blockering till följd av ogynnsamma väderförhållanden, infrastrukturproblem, oroligheter eller annat.

—

Distansarbete (med flexibla arbetsuppgifter som kan utföras utanför den nationella kontaktpunktens fysiska plats). Fastställ vilka kritiska funktioner, eller vilka steg i de kritiska funktionerna, som kan utföras på distans. Det kan röra sig om funktioner/steg som inte är beroende av sådan utrustning eller sådana system som endast kan användas på plats i huvudlokalerna. Överväg att upprätta en beredskapsplan eller ett beredskapssystem för omstrukturering av personalens arbetsuppgifter, så att vissa anställda kan arbeta hemifrån medan andra flyttas till alternativa lokaler.

—

Mobila lednings- och kontrollenheter som tillfälligt kan hysa kritisk personal från den nationella kontaktpunkten. Kritiska funktioner bör kunna tillhandahållas mobilt från dessa enheter, som bör ha tillgång till operativa informationssystem och Cecis. Det bör fastställas vilken utrustning och vilken självförsörjningsnivå som krävs i dessa enheter för att säkerställa operativ beredskap. Enheterna bör utformas för att tillfälligt kunna upprätthålla verksamheten och stödja huvudlokalerna med reservkapacitet under en på förhand fastställd period.

—

Aktivering av administrativa arrangemang med andra myndigheter om användning av deras lokaler. Slut avtal med andra nationella eller regionala myndigheter om tillfällig delad användning av deras lokaler. Avgör vad som krävs i form av planlösning, system, utrustning och säkerhetsåtgärder för att de kritiska funktionerna ska kunna tillhandahållas på ett effektivt sätt. Se till att avtalen omfattar regelbundna övningar och genomför tester för att kontrollera dessa alternativa lokalers beredskap och lämplighet.

—	Delegering: Se till att det finns arrangemang för delegering av funktioner till andra nationella myndigheter och inrätta ett system för detta.

—

Avbrott i elförsörjningen:

—

Aktivering av generatorer och avbrottsfri kraftförsörjning: Se till att det finns generatorer och system för avbrottsfri kraftförsörjning som är dimensionerade för att kunna upprätthålla den nationella kontaktpunktens kritiska funktioner under en fastställd minimiperiod. Kapaciteten bör vara tillräcklig för att täcka verksamhetens behov vid ett långvarigt strömavbrott. Generatorerna och systemen för avbrottsfri kraftförsörjning bör testas regelbundet för att säkerställa att de är driftsklara.

—

Arrangemang för prioriterad bränsleförsörjning och avtal med leverantörer. Arrangemang rörande bränsleförsörjning bör inriktas på upprätthållande av verksamheten och baseras på den bränslelagringskapacitet som finns på plats och den förväntade bränsleförbrukningen. Ytterligare åtgärder kan omfatta tillgång till mobila bränslebehållare med pumpsystem och/eller avtal om prioriterad leverans med närbelägna bränsleleverantörer.

—

Energioberoende och alternativa energikällor för kritiska funktioner. Om möjligt bör den nationella kontaktpunkten kunna fungera utan tillgång till det nationella kraftnätet. Om nätet ligger nere i flera dagar – vilket kan ske vid större katastrofer – skulle kontinuiteten kunna upprätthållas genom diversifierade kraftkällor och ett självförsörjande mikronät för exempelvis vind- eller solkraft. Överväg att installera alternativa energikällor, till exempel solcellspaneler med batterilagring, vars kapacitet är tillräcklig för driften av den nationella kontaktpunktens kritiska funktioner.

—

Maximering av tillgänglig elkapacitet. Utarbeta interna protokoll för hur den tillgängliga elkapaciteten kan maximeras genom att begränsa användningen av icke-nödvändig utrustning och successivt koppla ifrån sådant som inte krävs för att stödja kritiska funktioner. Det får reservkraften att räcka längre utan behov av ytterligare investeringar.

—	Flytt till alternativa lokaler med elförsörjning hos den nationella kontaktpunktens myndighet (relevanta rekommendationer återfinns i avsnittet ”Otillgängliga lokaler”).

—	Distansarbete från en byggnad med säker elförsörjning (relevanta rekommendationer återfinns i avsnittet ”Otillgängliga lokaler”).

—	Mobila lednings- och kontrollenheter som är självförsörjande på el (relevanta rekommendationer återfinns i avsnittet ”Otillgängliga lokaler”).

—	Aktivering av administrativa arrangemang med andra myndigheter om användning av deras lokaler med säker elförsörjning (relevanta rekommendationer återfinns i avsnittet ”Otillgängliga lokaler”).

—	Delegering (relevanta rekommendationer återfinns i avsnittet ”Otillgängliga lokaler”).

—

Avbrott eller funktionsfel i IKT-system:

—

Redundans. Genom redundans säkerställs att ett funktionsfel i en komponent inte leder till ett avbrott i den funktion som den upprätthåller. Den nationella kontaktpunkten bör säkerställa redundans på olika, sinsemellan kompletterande, nivåer: i) utrustning (dubblering av kritiska komponenter), ii) konnektivitet (flera leverantörer och olika åtkomstvägar och iii) applikationer och data (replikering av kritiska databaser och dokument på en sekundär plats). Redundansarrangemang bör sörja för tillräcklig kapacitet för att verksamheten ska kunna fortgå även vid ett funktionsfel i den huvudsakliga IKT-miljön, och arrangemangen bör testas regelbundet för att säkerställa att beredskap finns och att redundansen fungerar sömlöst vid avbrott. Det är nödvändigt att undvika gemensamma beroenden med det primära systemet, till exempel av samma kraftkälla, leverantör eller fysiska infrastruktur, vilka skulle kunna sluta att fungera samtidigt.

—

Fiberledningar är mycket sårbara för markförskjutningar, vilket kan leda till dämpning eller förlust av signaler och avbrott i tjänster. För att minska denna risk rekommenderas satellitbaserade system för automatisk överlämning vid funktionsfel som standardåtgärd för redundans, så att reservnätet kan upprätthålla samma situationsmedvetenhet som det primära nätverket. Geografisk dataspegling bör ha en aktiv–aktiv-arkitektur, med primära miljöer och reservmiljöer som är synkroniserade, så att båda sömlöst kan ta över från varandra. Denna redundans- och speglingsmetod skapar hög tillgänglighet och prestanda i fibernät.

—

Regelbunden och säker säkerhetskopiering av data, inklusive med kopior på annan plats och offline. Inrätta och vidhåll en strukturerad strategi för säkerhetskopiering av alla data och konfigurationer som är nödvändiga för den nationella kontaktpunktens verksamhet. I strategin bör det anges vad som ska säkerhetskopieras och hur ofta, var säkerhetskopiorna ska bevaras (inklusive kopior på annan plats eller offline) och vem som ansvarar för hanteringen av kopiorna. Säkerhetskopierat material bör krypteras och skyddas mot obehörig åtkomst.

—

Alternativa IKT-system och kommunikationskanaler. Upprätta alternativa verktyg och kanaler som kan användas vid funktionsfel i primära IKT-system eller nätverk. Detta kan vara satellitkommunikation, mobila radioenheter för frekvensbanden HF, VHF eller UHF, analoga telefonlinjer, säkra meddelandeapplikationer eller webbaserade plattformar som är hysta utanför den huvudsakliga infrastrukturen. Personalen bör veta när och hur de ska övergå till dessa alternativ.

—

IKT-supportteam för nödsituationer/jourhavande tekniska insatsenheter. Se till att IKT-stöd kan tillhandahållas snabbt, antingen internt (inom organisationen) eller av en extern leverantör, genom att utarbeta tydliga tillgänglighets- och insatsarrangemang. Tekniskt stöd ska kunna sättas in snabbt vid behov, så att IKT-systemen snabbt kan återupprättas.

—

Förfaranden för insatser vid cyberincidenter som samordnas med den nationella cybersäkerhetsmyndigheten. Upprätta samordningsprotokoll med den nationella cybersäkerhetsmyndigheten, inbegripet kanaler för tidig varning, gemensamma förfaranden för incidenthantering och tydligt fastställda roller och ansvarsområden vid en cyberincident som påverkar den nationella kontaktpunkten.

—	Kopior offline av viktiga kontaktlistor, centrala förfaranden och operativa dokument. Information som kontaktlistor, incidentförfaranden och viktiga mallar bör finnas tillgänglig i format som kan användas utan tillgång till de huvudsakliga IKT-systemen.

—	Mobila lednings- och kontrollenheter med tillgång till primära IKT-system och reserv-IKT-system (relevanta rekommendationer återfinns i avsnittet ”Otillgängliga lokaler”).

—	Flytt till alternativa lokaler med tillgång till primära IKT-system och reserv-IKT-system hos den nationella kontaktpunktens myndighet (relevanta rekommendationer återfinns i avsnittet ”Otillgängliga lokaler”).

—	Aktivering av administrativa arrangemang med andra myndigheter om användning av deras lokaler med tillgång till IKT-system (relevanta rekommendationer återfinns i avsnittet ”Otillgängliga lokaler”).

—

Storskalig personalfrånvaro och frånvaro av personal ur den begränsade gruppen av kritisk personal:

—

Övertidshantering (kortsiktig lösning). Upprätta ett protokoll för övertid där det fastställs tydliga skäl till aktivering av övertid, vem som får lov att godkänna övertid, tidsbegränsningar (arbetspassens maximala längd, det högsta antalet timmar per vecka och det högsta antalet på varandra följande dagar), kortaste vilotid mellan arbetspass och efter att det högsta antalet timmar per vecka eller det högsta antalet på varandra följande dagar har uppnåtts, ett rättvist system för personalrotation så att samma person inte tillfrågas upprepade gånger, ett system för registrering av övertidstimmar, på förhand fastställd tilläggsersättning, praktiskt stöd vid förlängda arbetsdagar (t.ex. måltider, platser för vila och transport hem vid behov).

—	Omfördelning av kritiska funktioner till tillgänglig personal. Utarbeta beredskapsrutiner där det anges hur kritiska funktioner ska omfördelas när viktiga anställda är frånvarande. Här ingår att identifiera ersättare för varje kritisk roll och att förenkla förfarandena när så är möjligt.

—

En på förhand utsedd grupp av utbildad intern personal, som kan vara tillgänglig med kort varsel. Inrätta ett system för inkallning av reservpersonal från en på förhand utsedd grupp. Sätt upp tydliga regler för vem som får kalla in reservpersonal och hur, med aktiveringskriterier, kommunikationskanaler för inkallelse, krav rörande personalen (t.ex. säkerhetsprövning, utbildning eller sakkunskaper) och rutiner för hur ledighet eller övertid ska hanteras. Gör regelbundna översyner för att säkerställa att systemet fungerar väl. Se till att den personal som ingår i gruppen är väl förtrogna med dessa regler.

—

Gruppen kan byggas upp i) genom att utbilda personal från andra enheter genom enhetsöverskridande utbildningsprogram så att flera anställda kan sköta samma kritiska funktioner, med fokus på roller som identifierats som flaskhalsar, och ii) genom att inrätta en ”vilande reservgrupp” med tidigare kritisk personal från den nationella kontaktpunkten som skapas genom rotering av personal från kontaktspunktsuppgifter till andra avdelningar efter en fastställd period. Med en sådan vilande reservgrupp kan personalantalet snabbt ökas vid plötsligt ökande belastning, och personalen kan sättas in snabbt, utan de månader av utbildning och säkerhetsprövning som normalt krävs för sådana känsliga roller. I båda fallen bör rutinerna formaliseras, så att personal som ingår i reservgruppen ges regelbunden fortbildning, så att deras kunskaper förblir aktuella och de snabbt kan sättas in vid en större kris.

—

Prioritering av rekrytering. För att de nationella kontaktpunkterna ska kunna vara i gång dygnet runt alla dagar i veckan krävs en stabil bemanningsnivå. Den nationella kontaktpunkten skulle kunna inrikta sin rekrytering på roller som stöder kritiska funktioner och planera framåt för att motverka förutsebar personalbrist (t.ex. samtidiga pensionsavgångar eller tidsbegränsade anställningsavtal som löper ut) genom att påbörja rekryteringen i god tid. Åtgärder såsom påskyndade anställningsförfaranden kan användas. Dessutom kan kontinuerlig fortbildning av befintlig personal öka bemanningsstabiliteten genom att möjliggöra intern rörlighet, kompetensutveckling och övertagande av kritiska funktioner.

—

Investeringar för att behålla kritisk personal. För att behålla den nationella kontaktpunktens personal bör de anställda motiveras med en kombination av förmåner och incitament. Icke-monetära incitament kan vara extra semesterdagar efter en viss tjänsteperiod, flexibla tjänstgöringsarrangemang (på villkor att kraven på minsta bemanning kan uppfyllas), viloplatser på arbetsplatsen, stöd till familjer (t.ex. barnomsorg) och tillgång till rabatterade eller kostnadsfria tjänster som kollektivtrafik, hälso- och sjukvård, kultur och idrott.

—

Stöd till den kritiska personalens familjer. Den kritiska personalens tillgänglighet kan bero på deras familjesituation, särskilt om familjemedlemmar befinner sig i riskzonen eller riskerar att lämnas utan tillsyn. Överväg att vid behov införa skyddsarrangemang för familjemedlemmar till den nationella kontaktpunktens kritiska personal, så att de anställda fortsatt kan vara tillgängliga för att arbeta.

—

Förhindra personalflaskhalsar genom att delegera befogenheter och främja delat ansvar. Se till att ansvarsområden och arbetsuppgifter är tydligt uppdelade. Inför protokoll för delegering av befogenheter. Utse efterträdare till olika roller, som kan ta över om beslutsfattare med ansvar för kritiska funktioner är otillgängliga. Ange under vilka omständigheter och i vilken ordningsföljd de skulle åta sig dessa roller. När beslut och ansvarsfördelning tillåter detta, sörj för kapacitetsuppbyggnad och regelbunden utbildning så att befogenheter kan tas över i händelse av störningar. Överväg om det går att dela upp ett ansvarsområde på flera anställda, eller gemensamt vara ansvariga, med ett rotationssystem för att undvika flaskhalsar. Överväg att tillhandahålla en uppdaterad handbok för nya anställda som kan hjälpa dem med mindre erfarenhet att sköta många uppgifter på egen hand, samtidigt som fastställda standarder och protokoll efterlevs.

Kapacitet	Vägledande mål (bör bedömas och anpassas till nationella krav)
Inledande situationsmedvetenhet	inom 15 minuter
Aktivering av kontinuitetsåtgärder	inom 30 minuter
Upprättande av alternativa kommunikationskanaler	inom 30 minuter
Alternativ ledningsplats tagen i drift	inom 2 timmar
Beslutsfrämjande kapacitet	om möjligt oavbruten
Bränsleautonomi	i minst 72 timmar
Livsmedels- och vattenautonomi	i minst 72 timmar
Cecis taget i drift	inom 60 minuter
En första operativ lägesrapport till ERCC	inom den första cykeln för operativ rapportering

Grundläggande funktion 1	Funktionens namn
Beskrivning	Beskriv funktionen och de arbetsuppgifter som ingår i denna.
Produktionsfaktorer	Ange alla produktionsfaktorer (information, dataset, tjänster, produkter, materiel, budgetresurser, utrustning, IKT-system och lokaler) som krävs för att tillhandahålla funktionen och, i tillämpliga fall, de externa enheter som levererar dessa.
Output	Ange den information och de produkter, tjänster eller åtgärder som är resultatet av funktionen i fråga och ange vilka (externa) organisationer, enheter eller berörda grupper som är mottagare till denna output.
Ledarskap (validering eller godkännande)	Ange, i förekommande fall, de befattningar som innehar en validerings- eller godkännanderoll som behövs för att funktionen ska kunna tillhandahållas.
Kritisk personal	Ange den kritiska personalens befattningar och, i förekommande fall, deras profil, sakkunskap och utbildning, t.ex. säkerhetsprövning.
Lokaler	Ange den eller de fysiska platser eller lokaler från vilka den kritiska funktionen tillhandahålls.
Utrustning och system	Ange den utrustning, de system och det materiel som krävs för att funktionen ska kunna tillhandahållas. Det kan t.ex. vara säkra lokaler, datorer för krypterad kommunikation, videoväggar, lokaler för högnivåmöten, videokonferensutrustning och datorer med tillgång till transeuropeiska telematiktjänster för myndigheter (Testa).
Nödvändig dokumentation	Ange de data och den information som krävs för att funktionen ska kunna tillhandahållas.
Beroenden och ömsesidiga beroenden	Ange vilka förbindelser eller arrangemang som finns kring punkterna ovan och ange, i förekommande fall, vilken typ av förbindelse eller arrangemang det gäller, vilka kritiska tjänster som behövs (t.ex. elförsörjning eller IKT), effekterna vid ett avbrott i tjänsten eller försörjningen samt vilka avtal som har träffats med de enheter som levererar tjänsterna eller försörjningen. Bedömningen bör också omfatta en beskrivning av ömsesidiga beroenden, inbegripet kaskadeffekter som uppstår när en störning i en tjänst (t.ex. el eller IKT) påverkar andra tjänster, med en förstärkt påverkan på verksamheten som resultat.
Reservkapacitet	Ange de alternativa resurser eller arrangemang som skulle sättas in för att fortsätta verksamheten om de huvudsakliga resurserna eller arrangemangen påverkades av en störande händelse.

Efterlevnad av planen för operativ kontinuitet	Poäng (0–3): … Beskrivning …
Upprätthållande av kritiska funktioner och uppfyllande av på förhand fastställda mätbara mål för operativ effektivitet	Poäng (0–3): … Beskrivning …
Resultat och kommentarer	…
Konstaterade brister och lärdomar	…
Förslag på förbättringar	…
Åtgärder som bör vidtas	…