küsimustik küsib varasema küberincidendi finantsiaalse mõju kohta, mida ma sisestan

Finantsiaalse mõju on tavaliselt hinnang, mitte aastaraamatuarvud

Sisestage see, mida te põhjendatult saate dokumenteerida, ja mitte enam. Küsimustikud, mis küsivad varasema küberincidendi finantsiaalset mõju, tavaliselt tähendavad: kas teada on otsekahjusumma (taastamiskulud, kahjutulu, trahvid, lösirahamakset), ja kas see summa on realistlikult hinnatud või ainult oletuslik. Kui intsidenti pole olnud, on vastus lihtne: intsidente pole olnud, seega kahjusummat ei ole. Kui intsidenti küll oli, kuid kahju ei ole kunagi rahaliselt määratud, siis ärge sisestage summat, mida te ei saa põhjendada — kirjutage, et mõju ei ole rahaliselt kvantitatiseeritud, või viidake sellele, mis on tegelikult fikseeritud (näiteks taastamisaeg või seisaku kestus).

Tähelepanu küsimuse ulatusele: mõned kliendid küsivad intsidente teie ettevõttes endas, teised küsivad intsidente kogu kettes, mille osa te olete. See viimane puudutab turvalisuse nõudeid enda tarnijatele — tarnija intsidendi ei ole automaatselt "teie" intsidendi, kuna see ei mõjutanud teie teenust. Kui teil puudub dokumenteeritud intsidentide register, siis see iseeneses on juba oluline teave: see ütleb midagi turvalisusincidendi käsitlemise menetlusest. Pigem sisestage "ei ole registreeritud intsidente" kui arvamus summas.

Kust see pärineb: teatamise kohustus ja riskihinnang artiklist 21

Küsimus finantsiaalse mõju kohta on seotud kahe asjaga artikli 21 lõike 2 NIS2-st: nõue, et üksus registreeriab ja hindab intsidente (osa kümnest meetmest), ja laiema riskianalüüsi kohustus artikli 21 lõike 2 punktist a. ISO/IEC 27001 Annex A arendab seda välja kontrolliabimeetmete kaudu incidentide haldamise ümber, sealhulgas intsidendi tagajärgede registreerimine — mitte tingimata eurodes, küll aga dokumenteeritult. Küberturvalisuse seaduse alusel, mis jõustub 15. augustil 2026, on oluliste incidentsete teatamine kohustuslik NIS2-ga hõlmatud üksuste jaoks; see, kas see kehtib teie enda ettevõttele, sõltub sellest, kas te ise jääte direktiivi alla — vt kas ettevõte jääb NIS2 direktiivi alla. Kuni see seadus jõustub, finantsiaalse kahjude kvantitatiseerimine ei ole seaduslik kohustus, kuid see on midagi, mida kliendid nende enda riskihinnangus näha soovivad.