il questionario chiede l'impatto finanziario di precedenti incidenti informatici, cosa compilo

L'impatto finanziario è solitamente una stima, non una cifra di bilancio

Compila ciò che puoi ragionevolmente documentare, e non più di quello. I questionari che chiedono l'impatto finanziario di precedenti incidenti informatici intendono solitamente: esiste un importo di danno direttamente noto (costi di ripristino, mancati ricavi, sanzioni, riscatto), e tale importo è stimato realisticamente o solo congetturato. Se non c'è stato alcun incidente, la risposta è semplice: nessun incidente, quindi nessun importo di danno. Se c'è stato un incidente ma il danno non è mai stato stabilito finanziariamente, non compilare un importo che non puoi documentare — scrivi che l'impatto non è stato quantificato finanziariamente, oppure rimanda a ciò che è invece documentato (ad esempio tempo di ripristino o durata dell'interruzione).

Presta attenzione alla portata della domanda: alcuni clienti chiedono incidenti presso la tua azienda stessa, altri chiedono incidenti in tutta la catena di cui fai parte. Quest'ultimo aspetto riguarda requisiti di sicurezza per i fornitori propri — un incidente presso un fornitore non è automaticamente "tuo" incidente, a meno che non abbia colpito la tua fornitura di servizi. Se non disponi di un registro degli incidenti documentato, questo è in sé informazione rilevante: dice qualcosa su la procedura per la gestione degli incidenti di sicurezza. Compila piuttosto "nessun incidente registrato" che non una stima verso un importo.

Da dove viene: l'obbligo di segnalazione e la valutazione del rischio dell'articolo 21

La domanda sull'impatto finanziario è collegata a due aspetti dell'articolo 21 paragrafo 2 NIS2: l'obbligo che un'entità registri e valuti gli incidenti (parte delle dieci misure), e il più ampio obbligo di analisi del rischio di cui all'articolo 21 paragrafo 2 lettera a. ISO/IEC 27001 Allegato A sviluppa ciò attraverso le misure di controllo relative alla gestione degli incidenti, compresa la documentazione delle conseguenze di un incidente — non necessariamente in euro, ma comunque documentate. Secondo la Legge sulla cibersicurezza, che entra in vigore il 15 agosto 2026, la segnalazione di incidenti significativi per le entità che rientrano nella NIS2 è obbligatoria; il fatto che si applichi alla tua azienda dipende dal fatto che tu stesso rientri nella direttiva — vedi se l'azienda rientra nella direttiva NIS2. Finché la legge non entrerà in vigore, la quantificazione finanziaria del danno non è un obbligo legale, ma è qualcosa che i clienti desiderano vedere nella loro propria valutazione del rischio.