zoznam otázok sa pýta o finančný dopad predchádzajúcich kybernetických incidentov, čo vyplním

Finančný vplyv je zvyčajne odhad, nie cifra z ročnej správy

Vyplňte to, čo si môžete rozumne zdôvodniť, a nič viac. Zoznamami otázok, ktoré sa pýtajú na finančný vplyv predchádzajúcich kybernetických incidentov, sa zvyčajne myslí nasledovné: či je známa priama výška škody (náklady na obnovu, straty na príjmoch, pokuty, výkupné) a či je táto výška reálne odhadnutá alebo len odhadnutá. Ak nedošlo k incidentu, odpoveď je jednoduchá: žiadne incidenty, teda žiadna výška škody. Ak došlo k incidentu, ale škoda nikdy nebola finančne zistená, nevyplňujte sumu, ktorú nemôžete podložiť — napíšte, že vplyv nebol finančne kvantifikovaný, alebo sa odkážte na to, čo je už zistené (napríklad čas obnovy alebo trvanie výpadku).

Dbajte na rozsah otázky: niektorí zákazníci sa pýtajú na incidenty vo vašej samotnej organizácii, iní na incidenty v celom reťazci, ktorého ste súčasťou. Toto druhé sa týka bezpečnostné požiadavky na vlastných leverancielov — incident u dodávateľa nie je automaticky "váš" incident, pokiaľ neovplyvnil vašu prevádzku služieb. Ak nemáte dokumentovaný register incidentov, aj to je samo osebe relevantná informácia: hovorí niečo o postupom na spracovanie bezpečnostných incidentov. Radšej vyplňte "bez registrovaných incidentov" ako odhad čiastky.

Odkiaľ to pochádza: oznamovacia povinnosť a posúdenie rizika podľa článku 21

Otázka finančného vplyvu súvisí s dvoma vecami z článku 21 odsek 2 smernice NIS2: požiadavkou, aby subjekt registroval a posúdil incidenty (súčasť desiatich opatrení), a širšou povinnosťou analýzy rizík z článku 21 odsek 2 písm. a. Norma ISO/IEC 27001 Príloha A to rozpracúva prostredníctvom kontrolných opatrení zaťažujúcich správu incidentov vrátane zaznamenávania následkov incidentu — nie nevyhnutne v eurách, ale zdokumentovaných. Podľa Zákona o kybernetickej bezpečnosti, ktorý nadobúda účinnosti 15. augusta 2026, je oznamovanie významných incidentov pre subjekty spadajúce pod smernicu NIS2 povinné; či sa to na vašu vlastnú organizáciu vzťahuje, závisí od toho, či sám podľa smernice spadáte — pozri či organizácia spadá pod smernicu NIS2. Pokiaľ tento zákon nie je v platnosti, finančná kvantifikácia škody nie je zákonnou povinnosťou, ale niečo, čo chcú zákazníci vidieť v jej vlastnej analýze rizík.