Дял III — Разпоредби относно оценката на агрегираните годишни разходи и загуби от съществени инциденти с ИКТ

Финансовите субекти следва да оценяват агрегираните годишни разходи и загуби от съществени инциденти с ИКТ, като обобщават разходите и загубите от съществени инциденти с ИКТ, които попадат в рамките на референтната година, за която компетентният орган е поискал оценката. Финансовият субект може да избере дали референтната година следва да съответства на приключилата календарна година, или на приключилата счетоводна година на финансовия субект, за който финансовият субект е финализирал финансовите си отчети. След като финансовият субект вземе решение дали ще предостави оценката въз основа на календарната година, или въз основа на своята счетоводна година, това решение следва да се прилага към бъдещите оценки на агрегираните годишни разходи и загуби. Финансовият субект може да промени това решение, като уведоми компетентния орган, и при условие че компетентният орган не възрази в срок от два месеца след получаване на уведомлението. Финансовите субекти не следва да включват разходите и загубите, свързани с онези инциденти, които попадат преди или след тази референтна година.

Финансовите субекти следва да включат в оценката всички свързани с ИКТ инциденти, които, независимо от причината, са класифицирани като съществени в съответствие с Делегиран регламент на Комисията [OJ L, 2024/1772, 25.6.2024 ]⁵ относно класификацията на инциденти и

• а. за което финансовият субект е представил окончателен доклад в съответствие с член 19, параграф 4, буква в) от Регламент (ЕС) 2022/2554 през съответната референтна година, или
• б. всеки инцидент, за който финансовият субект е представил през предходни референтни години окончателен доклад в съответствие с член 19, параграф 4, буква в) от Регламент (ЕС) 2022/2554 , който е имал количествено измеримо финансово въздействие върху финансовия субект през съответната референтна година.

⁵ Делегиран регламент (ЕС) 2024/1772 на Комисията от 13 март 2024 година за допълнение на Регламент (ЕС) 2022/2554 на Европейския парламент и на Съвета по отношение на регулаторните технически стандарти, с които се определят подробно критериите за класифициране на инциденти с ИКТ и киберзаплахи, праговете на същественост и информацията в докладите за съществени инциденти [ OJ L, 2024/1772, 25.6.2024, ELI: http://data.europa.eu/eli/reg_del/2024/1772/oj ]

Финансовите субекти следва да оценяват агрегираните годишни разходи и загуби, като прилагат следните последователни стъпки:

• а. изчисляване поотделно на разходите и загубите за всеки съществен инцидент с ИКТ, както е посочено в точка 6. Тези оценки следва да генерират брутните разходи и загуби, като се вземат предвид видовете разходи и загуби, както е посочено в член 7, параграфи 1 и 2 от Делегиран регламент на Комисията [OJ L, 2024/1772, 25.6.2024 ];
• б. за всеки съществен инцидент с ИКТ финансовите субекти следва също така да прогнозират финансовите възстановявания, както е посочено в приложение II към Регламент за изпълнение на Комисията [ OJ L, 2025/302, 20.2.2025 ]⁶ ;
• в. финансовите субекти следва да обобщават брутните разходи и загуби, както и финансовите възстановявания при съществени инциденти с ИКТ.

⁶ Регламент за изпълнение (ЕС) 2025/302 на Комисията от 23 октомври 2024 година за определяне на технически стандарти за изпълнение с оглед на прилагането на Регламент (ЕС) 2022/2554 на Европейския парламент и на Съвета по отношение на стандартните формуляри, образци и процедури за докладване от страна на финансовите субекти за съществен инцидент с ИКТ и за уведомяване за значителна киберзаплаха [ OJ L, 2025/302, 20.2.2025, ELI: http://data.europa.eu/eli/reg_impl/2025/302/oj ]

Като основа за оценките финансовите субекти следва да се позоват на разходите, загубите и финансовите възстановявания, които са отразени в техните финансови отчети, като например отчета за приходите и разходите, или, когато е приложимо, в надзорната отчетност, за съответната референтна година. В своите приблизителни оценки финансовите субекти следва да включват и счетоводни провизии, които са отразени във финансовите им отчети, като например отчета за приходите и разходите за съответната референтна година. Когато не са налични точни данни, финансовите субекти следва да базират оценката си на други налични данни и информация, доколкото това е възможно.

Финансовите субекти следва да включат корекциите на разходите и загубите на дадена оценка, която са представили за предходна година, в оценката на съответната референтна година, в която са направени корекциите.

Финансовите субекти следва да включат в доклада за своята оценка на агрегираните годишни разходи и загуби също така разбивка на брутните разходи и загуби и на финансовите възстановявания за всеки съществен инцидент с ИКТ, който е бил включен в обобщението.

Финансовите субекти следва да използват образеца в приложението, за да представят на компетентния орган оценката на съвкупните си годишни разходи и загуби за референтната година. За всяка позиция по точки 6 и 9, която е включена в оценката на референтната година, финансовите субекти следва да използват същите референтни кодове за инциденти, предоставени от финансовия субект, като тези, използвани в окончателния отчет в съответствие с член 19, параграф 4, буква в) от Регламент (ЕС) 2022/2554.