η ερώτηση ζητά πληροφορίες για τις οικονομικές συνέπειες προηγούμενων κυβερνοεπεισοδίων, τι συμπληρώνω

Η χρηματική επίπτωση είναι συνήθως μια εκτίμηση, όχι ένα στοιχείο ετήσιας αναφοράς

Συμπληρώστε ό,τι μπορείτε να τεκμηριώσετε εύλογα, και όχι περισσότερα από αυτό. Οι ερωτηματολόγια που ζητούν τη χρηματική επίπτωση προηγούμενων περιστατικών κυβερνέθεσης, συνήθως σημαίνουν: υπάρχει γνωστό άμεσο ποσό ζημίας (κόστη επιδιόρθωσης, χαμένα έσοδα, πρόστιμα, λύτρα), και έχει εκτιμηθεί ρεαλιστικά ή μόνο προσεγγιστικά. Εάν δεν υπήρξε περιστατικό, η απάντηση είναι απλή: κανένα περιστατικό, επομένως καμία ζημία. Εάν υπήρξε περιστατικό αλλά η ζημία δεν προσδιορίστηκε ποτέ χρηματικά, τότε μην εισάγετε ποσό που δεν μπορείτε να τεκμηριώσετε — γράψτε ότι η επίπτωση δεν κβαντοποιήθηκε χρηματικά, ή παραπέμψτε σε ό,τι έχει καθοριστεί (για παράδειγμα χρόνος επιδιόρθωσης ή διάρκεια διακοπής).

Προσέξτε το πεδίο εφαρμογής της ερώτησης: ορισμένοι πελάτες ζητούν περιστατικά στη δική σας επιχείρηση, άλλοι περιστατικά σε ολόκληρη την αλυσίδα της οποίας είστε μέρος. Το δεύτερο αφορά απαιτήσεις ασφάλειας για δικούς προμηθευτές — ένα περιστατικό σε έναν προμηθευτή δεν είναι αυτόματα "δικό σας" περιστατικό, εκτός εάν επηρέασε την παροχή υπηρεσιών σας. Εάν δεν διαθέτετε τεκμηριωμένο μητρώο περιστατικών, αυτό είναι ήδη σχετική πληροφορία: λέει κάτι για τη διαδικασία διαχείρισης περιστατικών ασφάλειας. Προτιμήστε να εισάγετε "κανένα καταχωρημένο περιστατικό" παρά να μαντέψετε ένα ποσό.

Από πού προέρχεται αυτό: η υποχρέωση ειδοποίησης και η αξιολόγηση κινδύνου του άρθρου 21

Η ερώτηση σχετικά με τη χρηματική επίπτωση συνδέεται με δύο πράγματα από το άρθρο 21 παράγραφος 2 NIS2: η απαίτηση ότι μια οντότητα καταγράφει και αξιολογεί περιστατικά (μέρος των δέκα μέτρων), και η ευρύτερη υποχρέωση αξιολόγησης κινδύνου του άρθρου 21 παράγραφος 2 στοιχείο α. Το ISO/IEC 27001 Παράρτημα A το αναπτύσσει μέσω των δραστηριοτήτων ελέγχου γύρω από τη διαχείριση περιστατικών, συμπεριλαμβανομένης της καταγραφής των συνεπειών ενός περιστατικού — όχι απαραίτητα σε ευρώ, αλλά τεκμηριωμένα. Σύμφωνα με τον Κώδικα Κυβερνασφάλειας, που τίθεται σε ισχύ στις 15 Αυγούστου 2026, η ειδοποίηση σημαντικών περιστατικών για οντότητες που εμπίπτουν στην NIS2 είναι υποχρεωτική· εάν ισχύει στη δική σας επιχείρηση εξαρτάται από το εάν εσείς αυτοί εμπίπτετε στην οδηγία — δείτε εάν η επιχείρηση εμπίπτει στην οδηγία NIS2. Όσο αυτός ο νόμος δεν ισχύει, μια χρηματική κβαντοποίηση της ζημίας δεν είναι νομική υποχρέωση, αλλά κάτι που οι πελάτες θέλουν να δουν στη δική τους αξιολόγηση κινδύνου.