Commenti: Art. 32b

L’esercente dispone di un approccio a livello aziendale per mantenere o ripristinare prontamente i processi operativi, e in particolare i processi operativi di rilevanza sistemica, al verificarsi di incidenti.
L’esercente definisce le risorse necessarie (edifici, collaboratori, istallazioni tecniche, dati, fornitori di servizi esterni) per le singole aree di attività e valuta le possibili conseguenze sui vari processi operativi, e in particolare sui processi operativi di rilevanza sistemica, di una indisponibilità parziale o completa di tali risorse (analisi di impatto operativo). La valutazione considera anche le interdipendenze fra le diverse aree operative e le dipendenze da prestatori di servizi esterni.
Sulla base dell’analisi di impatto operativo l’esercente stabilisce il tempo massimo tollerabile per il ripristino dei processi operativi al verificarsi di un incidente e il livello di ripristino richiesto (obiettivi di ripristino), nonché le risorse necessarie a tale scopo. Il tempo massimo di ripristino è di due ore per i processi di rilevanza sistemica, anche nel caso di incidenti maggiori (come l’indisponibilità di un edificio di importanza critica e del relativo personale).
L’esercente stabilisce la procedura con cui intende conseguire gli obiettivi di ripristino di cui al capoverso 3 (strategia di continuità operativa) e formula piani che descrivono nei particolari le modalità di intervento e le persone responsabili (piani di continuità operativa).
Dopo ogni cambiamento sostanziale, ma comunque almeno una volta l’anno, l’esercente riesamina e sottopone a test i piani di continuità operativa per verificarne l’attualità, la realizzabilità e l’efficacia. Se necessario, in tali verifiche esso coinvolge partecipanti e importanti prestatori di servizi.