Cât te costă de fapt un incident de securitate

Când întrebi „cât costă un incident de securitate”, primești de obicei o cifră dintr-un raport global: media unor corporații cu mii de angajați, bănci și spitale din alte țări. Cifra aia nu spune nimic despre firma ta de 30 de oameni. Adevărul incomod e că nimeni nu-ți poate spune costul tău — dar vestea bună e că ți-l poți calcula singur, în vreo 10 minute, cu numere pe care le ai deja în contabilitate.

Hai să facem calculul împreună. Scenariul de lucru: o firmă de aproximativ 30 de oameni. Într-o dimineață de luni, ceva nu mai merge — un laptop cu fișierele criptate, un cont de email preluat de altcineva, un server care nu mai pornește. Ce anume s-a întâmplat contează mai puțin decât ai crede; structura costurilor e aproape aceeași.

1. Zilele în care plătești oamenii să aștepte

Primul cost, și de obicei cel mai mare, nu e tehnic. E timpul.

Fă exercițiul acum: ia factura lunară de salarii — brutul, cu tot cu taxe, cifra pe care o vezi oricum în fiecare lună. Împarte la 20 de zile lucrătoare. Atât te costă o zi în care firma există, dar nu produce. Acum înmulțește cu 2–3 zile — un interval realist în care sistemele sunt oprite, verificate și repuse în funcțiune, iar oamenii stau, întreabă și improvizează.

Ăla e doar începutul. Nu am pus încă nimic tehnic în calcul — doar salarii plătite pentru muncă ce nu se întâmplă. Iar nefuncționarea rareori e „totul sau nimic”: și după repornire urmează zile în care echipa recuperează restanțe în loc să avanseze.

2. Refacerea sistemelor

Al doilea rând din calcul: cine repară și cu ce.

Dacă lucrezi cu o firmă de IT externă, o intervenție de urgență se plătește altfel decât abonamentul lunar — ore în regim de criză, posibil în weekend. Se reinstalează sisteme, se verifică fiecare calculator, se schimbă parole peste tot, se testează dacă backup-ul chiar poate fi restaurat (mulți află abia acum). Uneori e nevoie de echipamente noi sau de un specialist extern pentru a înțelege ce s-a întâmplat de fapt.

Nu inventa o cifră: sună firma ta de IT și întreab-o direct cât ar costa o intervenție de urgență de câteva zile la voi. E o întrebare de cinci minute care îți dă al doilea număr real din calcul — și, în treacăt, îți spune ceva și despre cât de pregătită e firma de IT pentru ziua aia.

3. Clienții: notificarea, întrebările, contractele care alunecă

Dacă în incident au fost atinse date ale clienților, ai obligația legală să îi anunți. Dar dincolo de obligație, e partea grea: fiecare client anunțat înseamnă timpul cuiva din echipă la telefon și un șir de întrebări incomode la care trebuie răspuns cinstit.

Apoi vine efectul mai tăcut. Livrarea care trebuia să plece miercuri pleacă peste două săptămâni. Oferta aflată în negociere primește un „ne mai gândim”. Clientul mare care tocmai îți trimisese chestionarul lui de securitate — completat cu optimism — vrea acum detalii. Nimic din toate astea nu apare pe o factură, dar pune în calcul măcar un contract întârziat și scrie lângă el ce valorează.

4. Costurile care nu intră în Excel

Trei lucruri nu au rubrică în contabilitate, dar le simți luni de zile:

• Încrederea clienților. Se construiește în ani și se repară greu. Nu dispare peste noapte — dar la următoarea decizie de reînnoire, incidentul e în cameră.
• Oboseala echipei. Două săptămâni de criză — telefoane seara, weekend-uri pierdute, tensiune — lasă urme. Oamenii buni țin minte cum s-a simțit.
• Timpul tău. Poate cel mai scump dintre toate: săptămânile în care managerul nu vinde, nu recrutează și nu conduce firma, ci gestionează criza. Tot ce ai amânat în perioada aia e și el un cost.

Și un rând adesea uitat: dacă ai o asigurare care acoperă riscuri cibernetice, la reînnoire prima se recalculează cu incidentul la dosar.

5. Dacă ești sub NIS2: partea reglementată

Pentru majoritatea firmelor mici, calculul se oprește la punctele de mai sus. Dar dacă firma ta intră sub incidența NIS2 — transpusă în România prin OUG 155/2024 — se adaugă un etaj: incidentele semnificative se raportează la DNSC pe termene precise, începând cu o avertizare în primele 24 de ore, iar nerespectarea obligațiilor poate aduce amenzi calculate ca procent din cifra de afaceri. Am scris separat despre cum funcționează cascada de raportare — dacă ești în zona asta, merită citit înainte, nu în ziua incidentului.

Calculul de 10 minute, pe scurt

Ia o foaie sau un rând nou în Excel și completează:

1. Salarii pe zi (factura lunară de salarii ÷ 20) × 3 zile de nefuncționare
2. Intervenția de urgență IT — cifra primită la telefon de la firma ta de IT
3. Timpul echipei cu clienții — cine sună, cine răspunde, câte zile
4. Un contract întârziat sau pierdut — cel mai plauzibil, nu cel mai negru
5. Un rând „necunoscute” — pentru tot ce nu ai de unde ști dinainte

Adună. Cifra care iese e a ta — nu media nimănui — și e argumentul cel mai onest într-o discuție despre buget.

Partea onestă: nu e apocalipsă

Să fie clar: majoritatea firmelor care trec printr-un incident își revin. Nu scriem asta ca să te sperii, iar cine îți vinde securitate prin frică îți vinde prost. Punctul e altul: comparația. Pune cifra pe care tocmai ai calculat-o lângă costul măsurilor de bază — backup testat regulat, autentificare cu doi factori, oameni instruiți să recunoască un email de phishing. Prevenția costă o fracțiune din cifra de pe foaie. Nu pentru că spune un raport, ci pentru că tocmai ai făcut calculul cu numerele tale.

---

Dacă ai făcut exercițiul și vrei să treci de la cifră la plan — ce acoperi întâi, ce poate aștepta, ce nu te costă aproape nimic — scrie-ne. Primul pas e un briefing de 30 de minute, gratuit și fără prezentare de vânzări: ne uităm împreună pe calculul tău și pleci cu pașii următori, indiferent dacă lucrăm împreună sau nu.

Sau vezi direct unde ești față de NIS2: începe cu CERTO.