vprašalnik sprašuje o finančnem učinku prejšnjih ciber incidentov, kaj izpolnim

Finančni vpliv je običajno ocena, ne pa podatek iz letnega poročila

Navedite to, kar lahko razumno utemeljite, in ne več kot to. Vprašalniki, ki se nanašajo na finančni vpliv prejšnjih kibernetskih incidentov, navadno pomenijo: ali je znana neposredna škoda (stroški sanacije, izgubljeni prihodki, kazni, odkupnina) in je ta znesek realno ocenjen ali le ocenjen. Če ni bilo nobenega incidenta, je odgovor preprost: nobenih incidentov, torej nobene škode. Če je bil incident, vendar škoda ni bila nikoli finančno kvantificirana, ne navedite zneska, ki ga ne morete dokazati — napišite, da vpliv ni bil finančno kvantificiran, ali se sklicujte na to, kar je znano (na primer čas sanacije ali trajanje izpada).

Opazite obseg vprašanja: nekateri odjemalci sprašujejo o incidentih v vašem podjetju samem, drugi o incidentih v celotni verigi, katere del ste. Slednje vpliva na varnostni pogoji za lastne dobavitelje — incident pri dobavitelju ni samodejno »vaš« incident, razen če je vplival na vašo storitev. Če nimate dokumentiranega registra incidentov, je to samo po sebi že ustrezna informacija: govori kaj o postopkom za obravnavo varnostnih incidentovRaje navedite »brez registriranih incidentov« kot da spekulirate o znesku.

Od kje to izhaja: obveznost poročanja in presoja tveganja iz člena 21

Vprašanje o finančnem vplivu je povezano z dvema stvarema iz člena 21(2) Direktive NIS2: zahtevo, da entiteta beležiit in ocenjuje incidente (del desetih ukrepov), in širšo obveznostjo analize tveganja iz člena 21(2) točka a. ISO/IEC 27001 Prilogo A to razvija s kontrolnimi ukrepi za upravljanje incidentov, vključno z dokumentiranjem posledic incidenta — ne nujno v evrih, pač pa dokumentirano. Po Zakonu o kibernetski varnosti, ki stopi v veljavo 15. avgusta 2026, je poročanje o pomembnih incidentih za entitete, na katere se uporablja Direktiva NIS2, obvezno; ali se to nanaša na vaše podjetje, je odvisno od tega, ali vi sami spadate pod direktivo — glej ali je podjetje zajeto v Direktivo NIS2Dokler ta zakon ne stopi v veljavo, finančna kvantifikacija škode ni zakonska obveznost, je pa kaj, kar želijo videti vaši odjemalci pri lastni presoji tveganja.