vragenlijst vraagt naar financiële impact van eerdere cyberincidenten, wat vul ik in

Financiële impact is meestal een schatting, geen jaarrekeningcijfer

Vul in wat je redelijkerwijs kunt onderbouwen, en niet meer dan dat. Vragenlijsten die naar de financiële impact van eerdere cyberincidenten vragen, bedoelen meestal: is er direct schadebedrag bekend (herstelkosten, gederfde omzet, boetes, losgeld), en is dat bedrag reëel ingeschat of alleen geschat. Als er geen incident is geweest, is het antwoord simpel: geen incidenten, dus geen schadebedrag. Als er wel een incident was maar de schade nooit financieel is vastgesteld, vul dan niet een bedrag in dat je niet kunt staven — schrijf dat de impact niet financieel gekwantificeerd is, of verwijs naar wat er wél vastligt (bijvoorbeeld hersteltijd of duur van uitval).

Let op de scope van de vraag: sommige klanten vragen naar incidenten bij jouw onderneming zelf, andere naar incidenten in de hele keten waarvan jij deel bent. Dat tweede raakt beveiligingseisen aan eigen leveranciers — een incident bij een leverancier is niet automatisch "jouw" incident, tenzij het jouw dienstverlening raakte. Heb je geen gedocumenteerd incidentenregister, dan is dat zelf al relevante informatie: het zegt iets over de procedure voor het behandelen van beveiligingsincidenten. Vul liever "geen geregistreerde incidenten" in dan een slag naar een bedrag.

Waar dit vandaan komt: de meldplicht en de risicobeoordeling van artikel 21

De vraag naar financiële impact hangt samen met twee dingen uit artikel 21 lid 2 NIS2: de eis dat een entiteit incidenten registreert en beoordeelt (onderdeel van de tien maatregelen), en de bredere risicoanalyseplicht van artikel 21 lid 2 onder a. ISO/IEC 27001 Annex A werkt dit uit via de beheersmaatregelen rond incidentmanagement, waaronder het vastleggen van gevolgen van een incident — niet noodzakelijk in euro's, wel gedocumenteerd. Onder de Cyberbeveiligingswet, die op 15 augustus 2026 in werking treedt, wordt melding van significante incidenten voor onder NIS2 vallende entiteiten verplicht; of dat op je eigen onderneming van toepassing is, hangt af van of je zelf onder de richtlijn valt — zie of de onderneming onder de NIS2-richtlijn valt. Zolang die wet niet in werking is, is een financiële kwantificering van schade geen wettelijke verplichting, maar wel iets dat klanten in hun eigen risicobeoordeling willen zien.