Списъкът с въпроси пита за финансовото воздействие на предишни киберинциденти, какво попълвам

Финансовото въздействие е обикновено оценка, а не цифра от годишния доклад

Попълнете онова, което можете разумно да документирате, и нищо повече от това. Въпросниците, които питат за финансовото въздействие на предишни киберинциденти, обикновено имат предвид: дали е известна преки суми за щети (разходи за възстановяване, загубена приходи, глоби, откупуване), и дали тази сума е реалистично прецена или само прогнозирана. Ако няма инцидент, отговорът е прост: няма инциденти, следователно няма щети. Ако е имало инцидент, но щетата никога не е установена финансово, тогава не попълвайте сума, която не можете да документирате — напишете, че въздействието не е количествено определено финансово, или посочете онова, което е установено (например време за възстановяване или продължителност на прекъсването).

Обърнете внимание на обхвата на въпроса: някои клиенти питат за инциденти във вашето собствено предприятие, други за инциденти в цялата верига, чиято част сте вие. Второто засяга изисквания за сигурност спрямо собствените доставчици — инцидент при доставчик не е автоматично "ваш" инцидент, освен ако не е засегнал вашата услуга. Ако нямате документиран регистър на инциденти, то самото това е вече релевантна информация: това казва нещо за процедурата за обработка на инциденти в областта на сигурността. По-добре попълнете "няма регистрирани инциденти" отколкото да хвърлите се към някаква сума.

Откъде идва това: задължението за докладване и оценката на риска от член 21

Въпросът за финансовото въздействие е свързан с две неща от член 21, параграф 2 на NIS2: изискването организацията да регистрира и оценява инциденти (част от десетте мерки), и по-широкото задължение за анализ на риска от член 21, параграф 2, буква а. ISO/IEC 27001 Приложение A разработва това чрез мерките за управление на инциденти, включително документиране на последствията от инцидент — не непременно в евро, но документирано. По силата на Закона за киберсигурност, който влиза в сила на 15 август 2026 г., докладване на значими инциденти е задължително за организациите, които попадат под NIS2; дали това се прилага за вашето предприятие зависи от това дали самите вие попадате под директивата — вижте или дали предприятието попада под директива NIS2. Докато този закон не влезе в сила, финансово количествено определяне на щети не е законово задължение, но е нещо, което клиентите желаят да видят при собствената си оценка на риска.