le questionnaire demande l'impact financier d'incidents cyber antérieurs, que remplir

L'impact financier est généralement une estimation, non un chiffre du bilan

Remplissez ce que vous pouvez raisonnablement justifier, et rien de plus. Les questionnaires qui demandent l'impact financier des incidents de cybersécurité antérieurs visent généralement à établir : existe-t-il un montant de dommages directs connu (coûts de restauration, chiffre d'affaires perdu, amendes, rançons), et ce montant a-t-il été estimé de manière réaliste ou seulement approximativement. S'il n'y a pas eu d'incident, la réponse est simple : aucun incident, donc aucun montant de dommages. S'il y a eu un incident mais que le dommage n'a jamais été établi financièrement, n'entrez pas un montant que vous ne pouvez pas justifier — écrivez que l'impact n'a pas été quantifié financièrement, ou renvoyez à ce qui est établi (par exemple le temps de restauration ou la durée de l'interruption).

Attention à la portée de la question : certains clients demandent des incidents au sein de votre propre entreprise, d'autres des incidents dans toute la chaîne dont vous faites partie. Cette dernière touche à les exigences de sécurité imposées aux propres fournisseurs — un incident chez un fournisseur n'est pas automatiquement « votre » incident, sauf s'il a affecté votre prestation de services. Si vous n'avez pas de registre d'incidents documenté, c'est en soi une information pertinente : cela dit quelque chose sur la procédure de traitement des incidents de cybersécurité. Préférez entrer « aucun incident enregistré » plutôt qu'une estimation de montant.

D'où cela vient : l'obligation de notification et l'évaluation des risques de l'article 21

La question sur l'impact financier est liée à deux éléments de l'article 21, paragraphe 2, NIS2 : l'obligation pour une entité d'enregistrer et d'évaluer les incidents (faisant partie des dix mesures), et l'obligation plus large d'analyse des risques de l'article 21, paragraphe 2, point a. La norme ISO/IEC 27001 Annexe A le développe à travers les mesures de contrôle relatives à la gestion des incidents, notamment l'enregistrement des conséquences d'un incident — pas nécessairement en euros, mais documenté. En vertu de la Loi sur la cybersécurité, en vigueur le 15 août 2026, la notification des incidents significatifs pour les entités relevant de NIS2 devient obligatoire ; le fait que cela s'applique à votre propre entreprise dépend de si vous relevez vous-même de la directive — voir si l'entreprise relève de la directive NIS2. Tant que cette loi n'est pas en vigueur, une quantification financière des dommages n'est pas une obligation légale, mais c'est quelque chose que les clients veulent voir dans leur propre évaluation des risques.