lista kontrolna pyta o finansowy wpływ wcześniejszych incydentów cybernetycznych, co wpisuję

Wpływ finansowy to zwykle oszacowanie, a nie liczba z rocznego sprawozdania finansowego

Wpisz to, co możesz uzasadnić w rozsądny sposób, i nic więcej. Kwestionariusze pytające o finansowy wpływ wcześniejszych incydentów cyberbezpieczeństwa zazwyczaj mają na myśli: czy znana jest bezpośrednia kwota szkody (koszty naprawy, utracony przychód, grzywny, okup) i czy ta kwota została oszacowana realistycznie czy tylko hipotetycznie. Jeśli nie było incydentu, odpowiedź jest prosta: brak incydentów, więc brak kwoty szkody. Jeśli incydent miał miejsce, ale szkoda nigdy nie została ustalona finansowo, nie wpisuj kwoty, której nie możesz udowodnić — napisz, że wpływ nie został skwantyfikowany finansowo, lub powołaj się na to, co jest udokumentowane (na przykład czas naprawy lub okres przestoju).

Zwróć uwagę na zakres pytania: некоторые klienci pytają o incydenty w twojej własnej organizacji, inni o incydenty w całym łańcuchu, w którym bierzesz udział. To drugie dotyczy wymagania dotyczące bezpieczeństwa własnych dostawców — incydent u dostawcy nie jest automatycznie "twoim" incydentem, chyba że dotyczył twojej świadczenia usług. Jeśli nie masz udokumentowanego rejestru incydentów, to samo w sobie jest informacją istotną: mówi to coś o procedurą obsługi incydentów bezpieczeństwaWpisz raczej "brak zarejestrowanych incydentów" niż domyśl sobie kwoty.

Skąd to się bierze: obowiązek zgłaszania i ocena ryzyka z artykułu 21

Pytanie o wpływ finansowy wiąże się z dwiema rzeczami z artykułu 21 ust. 2 dyrektywy NIS2: wymogiem, aby podmiot rejestrował i oceniał incydenty (część z dziesięciu środków), oraz szerszym obowiązkiem analizy ryzyka z artykułu 21 ust. 2 lit. a. ISO/IEC 27001 Załącznik A rozwija to poprzez środki kontrolne dotyczące zarządzania incydentami, w tym dokumentowanie konsekwencji incydentu — niekoniecznie w euro, lecz udokumentowane. Zgodnie z Ustawą o Cyberbezpieczeństwie, która wejdzie w życie 15 sierpnia 2026 r., zgłoszenie istotnych incydentów dla podmiotów objętych dyrektywą NIS2 będzie obowiązkowe; to, czy dotyczy to twojej własnej organizacji, zależy od tego, czy sam jesteś objęty dyrektywą — zobacz czy organizacja jest objęta dyrektywą NIS2Dopóki ta ustawa nie wejdzie w życie, kwantyfikacja finansowa szkody nie jest obowiązkiem prawnym, ale jest czymś, co klienci chcą widzieć w swojej własnej ocenie ryzyka.