a kérdőív az előző kiberbiztonsági incidensek pénzügyi hatásáról kérdez rá, mit írjak be

A pénzügyi hatás általában becslés, nem éves beszámoló szám

Töltsd ki azt, amit ésszerűen alá tudsz támasztani, és nem többet. A korábbi kibertámadások pénzügyi hatásáról érdeklődő kérdőívek jellemzően azt céozzák: van-e ismert közvetlen kárösszeg (helyreállítási költségek, elveszett bevétel, bírságok, váltságdíj), és azt az összeget reálisan becsülték-e, vagy csak találgatásból. Ha nem volt incidens, az válasz egyszerű: nincsenek incidensek, tehát nincs kárösszeg. Ha volt incidens, de a kárt soha nem rögzítették pénzügyileg, akkor ne írj be olyan összeget, amelyet nem tudsz alátámasztani — írj azt, hogy a hatás nem volt pénzügyileg számszerűsítve, vagy hivatkozz arra, ami ismert (például helyreállítási idő vagy üzemszünet időtartama).

Ügyeljünk a kérdés hatókörére: néhány ügyfél a saját vállalkozásodnál történt incidensekről kérdez, mások a teljes ellátási lánc incidenseiről, amelynek te a része vagy. Ez utóbbi érinti a saját szállítókra vonatkozó biztonsági követelmények — egy szállítód nál történt incidens nem automatikusan "az te" incidensed, hacsak nem érintette a te szolgáltatásnyújtásodat. Ha nincs dokumentált incidensregiszteredek, akkor az már önmagában releváns információ: valamit elmond az biztonsági incidensek kezelésének eljárásához-ról. Inkább írj be "nincs regisztrált incidens" helyett, mint hogy találgatásba kezdj az összeggel.

Honnan jön ez: a bejelentési kötelezettség és a kockázatértékelés az artikel 21-ből

A pénzügyi hatás után való érdeklődés az NIS2 21. cikk 2. bekezdésének két dolgához kapcsolódik: az a követelmény, hogy egy entitás incidenseket regisztrálja és értékeljen (a tíz intézmény része), valamint az ISO/IEC 27001 Annex A 21. cikk 2. bekezdés a) pontja szerinti tágabb kockázatelemzési kötelezettség. Az ISO/IEC 27001 Annex A ezt az incidenskezelésre vonatkozó ellenőrzési intézkedéseken keresztül dolgozza ki, beleértve az incidens következményeinek rögzítését — nem szükségszerűen euróban, de dokumentálva. A Kiberbevéligeti törvénytervezet, amely 2026. augusztus 15-én lép hatályba, az NIS2 alá tartozó entitások számára kötelezővé teszi a jelentős incidensek bejelentését; hogy ez vonatkozik-e a saját vállalkozásodra, attól függ, hogy te magad az irányelv hatálya alá esik-e — vagy az entitás az NIS2-irányelv hatálya alá esik. Amíg az a törvény nem lép hatályba, a kár pénzügyi számszerűsítése nem jogszabályi kötelezettség, de olyan dolog, amelyet ügyfelei saját kockázatelemzésükben látni szeretnének.