lista de perguntas questiona o impacto financeiro de incidentes cibernéticos anteriores, o que preencho

O impacto financeiro é geralmente uma estimativa, não um número de demonstrações financeiras

Preencha o que puder razoavelmente fundamentar, e nada mais. Questionários que perguntam sobre o impacto financeiro de incidentes cibernéticos anteriores geralmente pretendem: existe um valor de dano direto conhecido (custos de recuperação, receita perdida, multas, resgate) e esse valor foi estimado realisticamente ou apenas estimado? Se não houve incidente, a resposta é simples: nenhum incidente, portanto nenhum valor de dano. Se houve um incidente mas o dano nunca foi estabelecido financeiramente, não preencha um valor que não possa sustentar — escreva que o impacto não foi quantificado financeiramente ou refira-se ao que realmente está documentado (por exemplo, tempo de recuperação ou duração da indisponibilidade).

Atente para o âmbito da pergunta: alguns clientes perguntam sobre incidentes na sua própria empresa, outros sobre incidentes em toda a cadeia da qual faz parte. Este último afeta requisitos de segurança para fornecedoras próprias — um incidente em um fornecedor não é automaticamente "seu" incidente, a menos que tenha afetado seu serviço. Se não tem um registo de incidentes documentado, isso em si já é informação relevante: diz algo sobre o procedimento para o tratamento de incidentes de segurança. Prefira preencher "nenhum incidente registado" a adivinhar um valor.

Onde isto vem: a obrigação de notificação e a avaliação de risco do artigo 21º

A pergunta sobre impacto financeiro está ligada a duas coisas do artigo 21º, n.º 2 da NIS2: a exigência de que uma entidade registe e avalie incidentes (parte das dez medidas) e a obrigação mais ampla de análise de riscos do artigo 21º, n.º 2, alínea a). A ISO/IEC 27001 Anexo A desenvolve isto através de controlos em torno da gestão de incidentes, incluindo o registo das consequências de um incidente — não necessariamente em euros, mas documentado. De acordo com a Lei de Cibersegurança, que entra em vigor em 15 de agosto de 2026, a notificação de incidentes significativos para entidades abrangidas pela NIS2 é obrigatória; se se aplica à sua própria empresa depende se você está abrangido pela diretiva — veja ou se a empresa está abrangida pela diretiva NIS2. Enquanto essa lei não entrar em vigor, a quantificação financeira de danos não é uma obrigação legal, mas algo que os clientes querem ver na sua própria avaliação de risco.