upitnik pita o financijskom utjecaju prethodnih kibernetičkih incidenata, što popunim

Financijski utjecaj je obično procjena, a ne brojka iz godišnjeg izvještaja

Navedite ono što možete razumno potkrijepiti, i nije više od toga. Upitnici koji pitaju o financijskom utjecaju prethodnih kibernetičkih incidenata obično znače: postoji li poznata direktna vrijednost štete (troškovi sanacije, izgubljeni prihod, kazne, otkupnina), i je li ta vrijednost realno procijenjena ili samo procijenjena. Ako nije bilo incidenta, odgovor je jednostavan: nema incidenata, dakle nema iznosa štete. Ako je dogodio incident, ali šteta nikada nije financijski utvrđena, tada ne navodite iznos koji ne možete dokazati — napišite da utjecaj nije financijski kvantificiran, ili se pozovite na ono što je doista utvrđeno (na primjer vrijeme sanacije ili trajanje prekida).

Obratite pažnju na opseg pitanja: neki kupci pitaju o incidentima u vašoj vlastnoj tvrtki, drugi o incidentima u cijeloj dobavnoj lanci koju činite. Ta druga opcija dotaknuta je sigurnosni zahtjevi za vlastite dobavljače — incident kod dobavljača nije automatski "vaš" incident, osim ako nije utjecao na vašu uslugu. Ako nemate udokumentovani registar incidenata, to je samo po sebi relevantna informacija: nešto govori o postupkom rukovanja incidentima sigurnosti. Radije unesite "nema registriranih incidenata" nego pogađajući iznos.

Odakle je to došlo: obveza obavijesti i vrednovanje rizika iz članka 21

Pitanje o financijskom utjecaju povezano je s dvije stvari iz članka 21 stavka 2 NIS2: zahtjev da entitet registrira i vrednuje incidente (dio od deset mjera), i šira obveza vrednovanja rizika iz članka 21 stavka 2 točke a. ISO/IEC 27001 Prilog A razvija to pomoću kontrolnih mjera vezanih uz upravljanje incidentima, uključujući bilježenje posljedica incidenta — ne nužno u eurima, ali udokumentovano. Prema Zakonu o kibernetskoj sigurnosti, koji stupa na snagu 15. kolovoza 2026., obavijest o značajnim incidentima postaje obvezna za entitete koji spadaju pod NIS2; primjenjuje li se na vašu vlastitu tvrtku ovisi o tome spadate li sami pod direktivu — pogledajte ili tvrtka spada pod NIS2 direktivu. Dok taj zakon ne stupe na snagu, financijska kvantifikacija štete nije zakonska obveza, ali je nešto što kupci žele vidjeti u svojoj vlastnoj vrednovanja rizika.