chestionarul întreabă dacă am avut un incident de securitate cibernetică în ultimii ani

O întrebare despre incident privește faptele, nu imaginea

Întrebarea dacă ați avut un incident de securitate cibernetică în ultimii ani cere un răspuns factual: da sau nu, iar în caz afirmativ de obicei cu o scurtă explicație despre natura, impact și rezolvare. Nu există răspuns corect sau greșit — un "da" cu o rezolvare corespunzătoare este pentru mulți clienți mai credibil decât un "nu" nemotivat de la un furnizor care nu poate demonstra nimic despre securitatea sa. Ceea ce contează: puteți susține răspunsul?

Dacă a existat un incident, dovada nu este incidentul în sine ci rezolvarea acestuia: a fost raportată, investigată și urmărită conform unei proceduri fixe? Exact asta procedura de gestionare a incidentelor de securitate întreabă, și clienții combină adesea această întrebare cu celelalte două. Dacă nu a existat niciun incident, atunci "nu" este răspunsul, eventual cu o trimitere la măsurile de detecție care o demonstrează — vezi procesul de detectare și remediere a vulnerabilităților. Fără un registru sau jurnal de incidente, "nu" este încă un răspuns valid, dar fără o dovadă suport; puteți menționa acest lucru în explicație în loc să inventați o dovadă care nu există.

De ce se numără printre cele zece măsuri

Gestionarea incidentelor ("incident handling") este una dintre cele zece măsuri concrete specifice pe care articolul 21 alineatul 2 din Directiva NIS2 (Directiva (UE) 2022/2555) le menționează ca parte a politicii de securitate a unei entități. În transpunerea olandeză prin Legea privind securitatea cibernetică — care intră în vigoare pe 15 august 2026 — aceeași cerință se regăsește pentru entitățile care cad sub acea lege. Prin urmare, o întrebare despre incidente anterioare este în practică adesea o testare indirectă a întrebării dacă organizația are un proces de gestionare a incidentelor, nu doar privind incidentul în sine. Cel care aplică ISO/IEC 27001 recunoaște aceeași temă în Anexa A, sub măsurile de control pentru "information security incident management".