Fragebogen fragt nach der finanziellen Auswirkung früherer Cyberincidenten, was trage ich ein

Finanzielle Auswirkungen sind normalerweise eine Schätzung, keine Jahresabschlusszahl

Geben Sie ein, was Sie angemessen begründen können, und nicht mehr. Fragebögen, die nach den finanziellen Auswirkungen früherer Cybervorfälle fragen, bedeuten normalerweise: Ist ein direkter Schadensersatzbetrag bekannt (Wiederherstellungskosten, entgangene Einnahmen, Bußgelder, Lösegeld), und wurde dieser Betrag realistisch geschätzt oder nur geschätzt? Falls kein Vorfall aufgetreten ist, ist die Antwort einfach: keine Vorfälle, also kein Schadensersatzbetrag. Falls es einen Vorfall gab, aber der Schaden nie finanziell festgestellt wurde, geben Sie dann keinen Betrag ein, den Sie nicht belegen können — schreiben Sie, dass die Auswirkungen nicht finanziell quantifiziert wurden, oder verweisen Sie darauf, was tatsächlich feststeht (z. B. Wiederherstellungszeit oder Ausfallsdauer).

Achten Sie auf den Umfang der Frage: Einige Kunden fragen nach Vorfällen in Ihrem Unternehmen selbst, andere nach Vorfällen in der gesamten Kette, deren Teil Sie sind. Das zweite berührt Sicherheitsanforderungen an eigene Lieferanten — ein Vorfall bei einem Lieferanten ist nicht automatisch "Ihr" Vorfall, es sei denn, er hat Ihre Dienstleistung beeinträchtigt. Wenn Sie kein dokumentiertes Vorfallsregister führen, ist das selbst bereits relevante Information: es sagt etwas über dem Verfahren zur Behandlung von Sicherheitsvorfällen. Füllen Sie lieber "keine registrierten Vorfälle" ein als eine Schätzung eines Betrags.

Woher das kommt: die Meldepflicht und die Risikobewertung des Artikels 21

Die Frage nach finanziellen Auswirkungen hängt mit zwei Dingen aus Artikel 21 Absatz 2 NIS2 zusammen: die Anforderung, dass eine Entität Vorfälle registriert und bewertet (Teil der zehn Maßnahmen), und die breitere Risikobewertungspflicht des Artikels 21 Absatz 2 Buchstabe a. ISO/IEC 27001 Annex A konkretisiert dies durch Kontrollmaßnahmen rund um Vorfallsmanagement, einschließlich der Dokumentation von Folgen eines Vorfalls — nicht notwendigerweise in Euro, aber dokumentiert. Unter dem Cybersicherheitsgesetz, das am 15. August 2026 in Kraft tritt, wird die Meldung erheblicher Vorfälle für unter NIS2 fallende Entitäten obligatorisch; ob das auf Ihr eigenes Unternehmen zutrifft, hängt davon ab, ob Sie selbst unter die Richtlinie fallen — siehe oder ob das Unternehmen unter die NIS2-Richtlinie fällt. Solange dieses Gesetz nicht in Kraft ist, ist eine finanzielle Quantifizierung von Schaden keine gesetzliche Verpflichtung, aber etwas, das Kunden in ihrer eigenen Risikobewertung sehen möchten.