dotazník se ptá na finanční dopad předchozích incidentů v oblasti kybernetické bezpečnosti, co vyplním

Finanční dopad je obvykle odhadem, nikoli údajem z ročního výkazu

Vyplňte to, co si rozumně můžete obhájit, a ne více. Dotazníky, které se ptají na finanční dopad předchozích kybernetických incidentů, obvykle znamenají: je znám přímý částka škody (náklady na opravu, ztracené tržby, pokuty, výkupné), a je tato částka reálně odhadnuta nebo pouze odhadnuta. Pokud incident nenastal, je odpověď jednoduchá: žádné incidenty, tedy žádná finanční škoda. Pokud se incident vyskytl, ale škoda nebyla nikdy finančně stanovena, nevyplňujte částku, kterou si nemůžete obhájit — napište, že dopad nebyl finančně kvantifikován, nebo se odkažte na to, co je skutečně známo (například doba opravy nebo doba výpadku).

Věnujte pozornost rozsahu otázky: někteří zákazníci se ptají na incidenty ve vaší vlastní společnosti, jiní na incidenty v celém řetězci, jehož jste součástí. Druhý případ se týká bezpečnostní požadavky na vlastní dodavatele — incident u dodavatele není automaticky "váš" incident, pokud neuškodil vašim službám. Pokud nemáte zdokumentovaný rejstřík incidentů, je to samo o sobě relevantní informace: vypovídá to o postupem pro řešení bezpečnostních incidentůRaději vyplňte "žádné zaregistrované incidenty" než hádejte částku.

Odkud to pochází: oznamovací povinnost a posouzení rizika podle článku 21

Otázka na finanční dopad souvisí se dvěma věcmi z článku 21 odst. 2 směrnice NIS2: požadavkem, aby subjekt zaznamenával a posuzoval incidenty (součást deseti opatření), a širší povinností analýzy rizik podle článku 21 odst. 2 písm. a. ISO/IEC 27001 Příloha A to vypracovává prostřednictvím kontrolních opatření týkajících se řízení incidentů, včetně zaznamenávání následků incidentu — nezbytně v eurech, ale zdokumentováno. Podle Zákona o kybernetické bezpečnosti, který vstoupí v platnost 15. srpna 2026, je hlášení významných incidentů povinné pro subjekty spadající pod směrnici NIS2; to, zda se to týká vaší vlastní společnosti, závisí na tom, zda sami spadáte pod tuto směrnici — viz zda společnost spadá pod směrnici NIS2Dokud tento zákon nevstoupí v platnost, není finanční kvantifikace škody právní povinností, ale je to něco, co zákazníci chtějí vidět ve své vlastní analýze rizik.