chestionarul întreabă despre impactul financiar al incidentelor cibernetice anterioare, ce completez

Impactul financiar este de obicei o estimare, nu o cifră din situațiile financiare anuale

Completați ceea ce puteți susține în mod rezonabil, și nu mai mult decât atât. Chestionarele care întreabă despre impactul financiar al incidentelor cibernetice anterioare, intenționează de obicei: existe o valoare de daune directe cunoscută (costuri de remediere, pierderi de venituri, amenzi, răscumpărări), și este acea valoare estimată realist sau doar ghicit. Dacă nu a existat niciun incident, răspunsul este simplu: niciun incident, deci nicio valoare de daune. Dacă a existat un incident dar dauna nu a fost niciodată stabilită financiar, nu completați o valoare pe care nu o puteți dovedi — scrieți că impactul nu a fost cuantificat financiar, sau faceți referință la ceea ce este cunoscut (de exemplu, timp de remediere sau durată a căderii serviciului).

Acordați atenție sferei de aplicare a întrebării: unii clienți întreabă despre incidente în cadrul propriei dumneavoastră întreprinderi, alții despre incidente în întregul lanț de care sunteți parte. Cel din urmă se referă la cerințele de securitate pentru propriii furnizori — un incident la un furnizor nu este automat "al dumneavoastră" incident, decât dacă a afectat serviciile pe care le prestați. Dacă nu dețineți un registru documentat de incidente, atunci chiar aceasta este deja informație relevantă: spune ceva despre procedura de gestionare a incidentelor de securitate. Completați mai degrabă "niciun incident înregistrat" decât o estimare a unei valori.

De unde vine aceasta: obligația de notificare și evaluarea riscurilor din articolul 21

Întrebarea privind impactul financiar este conectată la două lucruri din articolul 21 alineatul 2 NIS2: cerința ca o entitate să înregistreze și să evalueze incidentele (parte din cele zece măsuri), și obligația de analiză a riscurilor mai largă din articolul 21 alineatul 2 litera a. ISO/IEC 27001 Anexa A detaliază aceasta prin măsurile de control ale managementului incidentelor, inclusiv documentarea consecințelor unui incident — nu neapărat în euro, dar bine documentate. În cadrul Legii privind securitatea cibernetică, care intră în vigoare pe 15 august 2026, notificarea incidentelor semnificative pentru entitățile care cad sub NIS2 devine obligatorie; dacă se aplică propriei dumneavoastră întreprinderi depinde de faptul dacă însuți cazi sub directivă — vezi dacă întreprinderea cade sub directiva NIS2. Până când acea lege intră în vigoare, o cuantificare financiară a daunelor nu este o cerință legală, dar este ceva pe care clienții doresc să o vadă în propria evaluare a riscurilor.