kyselylomake kysyy aiempien kyberpoikkeamien talousvaikutuksista, mitä vastaan

Taloudellinen vaikutus on yleensä arvio, ei tilinpäätösluku

Täytä tiedot, jotka voit kohtuullisesti perustella, eikä enempää kuin sitä. Kyselylomakkeet, joissa kysytään aiempien kyberturvallisuuspoikkeamien taloudellisista vaikutuksista, tarkoittavat yleensä seuraavaa: onko suora vahinkomäärä tiedossa (korjauskustannukset, menetetyt tulot, sakot, lunnaatteen määrä) ja onko tämä määrä realistisesti arvioitu vai vain arvailtu. Jos poikkeamaa ei ole tapahtunut, vastaus on yksinkertainen: ei poikkeamia, joten ei vahinkomäärää. Jos poikkeama tapahtui mutta vahinkoa ei ole koskaan taloudellisesti todennettu, älä täytä määrää, jota et voi perustella — kirjoita, että vaikutusta ei ole määritetty taloudellisesti, tai viittaa siihen, mikä on dokumentoitu (esimerkiksi korjausaika tai käyttökatkon kesto).

Kiinnitä huomiota kysymyksen laajuuteen: jotkut asiakkaat kysyvät poikkeamista omasta yrityksestäsi, toiset koko ketjussa, jonka osa olet. Jälkimmäinen koskee turvallisuusvaatimukset omille toimittajille — toimittajalla olleita poikkeamaa ei automaattisesti luokitella "sinun" poikkeamaksesi, ellei se vaikuttanut palveluntarjontaasi. Jos sinulla ei ole dokumentoitua poikkeamarekisteriä, sekin on sinänsä merkityksellistä tietoa: se kertoo jotain turvallisuuspoikkeamien käsittelystä johtuvaan menettelyynTäytä mieluummin "ei rekisteröityjä poikkeamia" kuin arvaus määrästä.

Tämän tausta: ilmoitusvelvollisuus ja riskinarviointi artiklan 21

Kysymys taloudellisista vaikutuksista liittyy artiklan 21 kohdan 2 NIS2-direktiivin kahteen asiaan: vaatimukseen, että yhteisö rekisteröi ja arvioi poikkeamat (osa kymmenesta toimenpiteestä), ja laajempaan riskinarviointivelvollisuuteen artiklan 21 kohdan 2 alakohdassa a. ISO/IEC 27001 Annex A kehittää tätä poikkeamien hallinnan valvontatoimenpiteiden kautta, joihin kuuluu poikkeaman seurausten dokumentointi — ei välttämättä euroissa, mutta dokumentoidusti. Cybervakuuslain (joka tulee voimaan 15. elokuuta 2026) nojalla NIS2-direktiivin piiriin kuuluvien yhteisöjen on ilmoitettava merkittävistä poikkeamista; se, koskettaako tämä omaa yritystäsi, riippuu siitä, kuuluuko yrityksesi itse direktiivin soveltamisalaan — katso tai määritä, kuuluuko yritys NIS2-direktiivin soveltamisalaan. Kunnes laki tulee voimaan, taloudellisen vahingon määrittäminen ei ole juridinen vaatimus, mutta se on asia, jonka asiakkaat haluavat nähdä omassa riskinarvioinnissaan.