el cuestionario pregunta sobre el impacto financiero de incidentes cibernéticos anteriores, qué relleno

El impacto financiero es generalmente una estimación, no una cifra de estados financieros

Cumplimenta lo que puedas demostrar razonablemente, y nada más. Los cuestionarios que preguntan sobre el impacto financiero de incidentes cibernéticos anteriores, generalmente significan: ¿se conoce un importe de daño directo (costes de reparación, pérdidas de ingresos, multas, rescate), y se ha estimado de manera realista o es solo una estimación? Si no ha habido un incidente, la respuesta es simple: sin incidentes, por lo tanto, sin daño financiero. Si ha habido un incidente pero el daño nunca se ha cuantificado financieramente, no cumplas un importe que no puedas justificar — indica que el impacto no ha sido cuantificado financieramente, o remítete a lo que sí está documentado (por ejemplo, tiempo de reparación o duración de la interrupción).

Ten en cuenta el alcance de la pregunta: algunos clientes preguntan sobre incidentes en tu propia empresa, otros sobre incidentes en toda la cadena de la que formas parte. Esto segundo afecta requisitos de seguridad para proveedores propios — un incidente de un proveedor no es automáticamente "tu" incidente, a menos que haya afectado a tu prestación de servicios. Si no dispones de un registro de incidentes documentado, eso en sí ya es información relevante: dice algo sobre el procedimiento para el tratamiento de incidentes de seguridadMejor cumplimenta "sin incidentes registrados" que una estimación aproximada de un importe.

De dónde viene esto: la obligación de notificación y la evaluación de riesgos del artículo 21

La pregunta sobre impacto financiero está relacionada con dos cosas del artículo 21 apartado 2 NIS2: la obligación de que una entidad registre y evalúe incidentes (parte de las diez medidas), y la obligación más amplia de análisis de riesgos del artículo 21 apartado 2 letra a. ISO/IEC 27001 Anexo A lo desarrolla a través de las medidas de control en torno a la gestión de incidentes, incluyendo el registro de las consecuencias de un incidente — no necesariamente en euros, pero sí documentado. Con la Ley de Ciberseguridad, que entra en vigor el 15 de agosto de 2026, la notificación de incidentes significativos será obligatoria para entidades cubiertas por NIS2; que esto sea aplicable a tu propia empresa depende de si te encuentras bajo el ámbito de aplicación de la Directiva — véase o si la empresa está cubierta por la Directiva NIS2Mientras esa ley no esté en vigor, la cuantificación financiera del daño no es una obligación legal, pero es algo que los clientes quieren ver en su propia evaluación de riesgos.