enkäten frågar efter ekonomisk påverkan från tidigare cyberincidenter, vad fyller jag i

Ekonomisk påverkan är oftast en uppskattning, inte en siffra från årsredovisningen

Fyll i vad du rimligen kan underbygga, och inte mer än så. Frågeformulär som frågar om den ekonomiska påverkan från tidigare cyberincidenter syftar vanligtvis till: finns det ett direkt skadebidrag känt (återställningskostnader, förlorad omsättning, böter, lösensumma), och är det beloppet realistiskt uppskattat eller endast gissning. Om det inte har förekommit något incident är svaret enkelt: inga incidenter, alltså ingen skadebidrag. Om det förvisso förekommit ett incident men skadan aldrig har fastställts ekonomiskt, fyll då inte i ett belopp som du inte kan stödja — skriv att påverkan inte har kvantificerats ekonomiskt, eller hänvisa till vad som väl är fastlagt (till exempel återställningstid eller driftstopp).

Observera frågens omfattning: vissa kunder frågar om incidenter i din egen verksamhet, andra om incidenter i hela leveranskedjan som du är en del av. Det senare berör säkerhetskrav på egna leverantörer — ett incident hos en leverantör är inte automatiskt "ditt" incident, om det inte påverkade din tjänsteleverans. Har du inget dokumenterat incidentregister är det i sig redan relevant information: det säger något om förfarandet för hantering av säkerhetstillbud. Fyll hellre i "inga registrerade incidenter" än en gissning om ett belopp.

Där detta kommer ifrån: anmälningsplikten och riskbedömningen i artikel 21

Frågan om ekonomisk påverkan hänger ihop med två saker från artikel 21 stycke 2 i NIS2: kravet att en enhet registrerar och bedömer incidenter (en del av de tio åtgärderna), och den bredare skyldigheten för riskanalys i artikel 21 stycke 2 bokstav a. ISO/IEC 27001 Annex A utvecklar detta genom kontrollåtgärderna kring incidenthantering, inklusive dokumentation av följderna av ett incident — inte nödvändigtvis i euro, men väl dokumenterat. Under lag om cybersäkerhet, som träder i kraft den 15 augusti 2026, är anmälan av betydande incidenter obligatorisk för enheter som faller under NIS2; huruvida det gäller din egen verksamhet beror på om du själv omfattas av direktivet — se eller om verksamheten omfattas av NIS2-direktivet. Så länge denna lag inte är i kraft är ekonomisk kvantifiering av skada ingen rättslig skyldighet, men väl något som kunder vill se i sin egen riskbedömning.