spørgeskemaet spørger om økonomisk påvirkning af tidligere cyberincidenter, hvad udfylder jeg

Økonomisk påvirkning er normalt et skøn, ikke et årregnskabstal

Udfyld hvad du med rimelighed kan dokumentere, og ikke mere end det. Spørgeskemaer, der spørger om den økonomiske påvirkning af tidligere cyberangreb, betyder normalt: er der kendt et direkte skadesbeløb (genoprettelsesomkostninger, tabt omsætning, bøder, løsepenge), og er beløbet realistisk vurderet eller kun estimeret. Hvis der ikke har været et angreb, er svaret enkelt: ingen angreb, så ingen skadesbeløb. Hvis der var et angreb, men skaden aldrig blev fastslået økonomisk, skal du ikke udfylde et beløb, som du ikke kan dokumentere — skriv i stedet, at påvirkningen ikke er blevet kvantificeret økonomisk, eller henvis til hvad der faktisk foreligger (for eksempel genoprettelsestid eller varighed af nedetid).

Vær opmærksom på omfanget af spørgsmålet: nogle kunder spørger efter angreb i din egen virksomhed, andre efter angreb i hele den kæde, som du er del af. Det andet berører sikkerhedskrav til egne leverandører — et angreb hos en leverandør er ikke automatisk "dit" angreb, medmindre det påvirkede din service. Hvis du ikke har et dokumenteret incidentregister, er det i sig selv allerede relevant information: det siger noget om proceduren for håndtering af sikkerhedshændelser. Udfyld hellere "ingen registrerede angreb" end at gætte på et beløb.

Hvor dette kommer fra: indmeldelsespligten og risikovurderingen i artikel 21

Spørgsmålet om økonomisk påvirkning hænger sammen med to ting fra artikel 21 stk. 2 NIS2: kravet om at en enhed skal registrere og vurdere angreb (del af de ti foranstaltninger) og den bredere risikoanalisepligt i artikel 21 stk. 2 litra a. ISO/IEC 27001 Annex A udmønter dette gennem kontrolforanstaltninger omkring incidenthåndtering, herunder dokumentation af konsekvenserne af et angreb — ikke nødvendigvis i euro, men dokumenteret. Under Cybersikkerhedsloven, som træder i kraft den 15. august 2026, bliver indmeldelse af væsentlige angreb for enheder omfattet af NIS2 obligatorisk; om det gælder din egen virksomhed, afhænger af, om du selv er omfattet af direktivet — se eller virksomheden er omfattet af NIS2-direktivet. Mens denne lov ikke er i kraft, er en økonomisk kvantificering af skade ikke et lovkrav, men vel noget, som kunder vil se i deres egen risikovurdering.