Hlava III – Ustanovení o odhadu souhrnných ročních nákladů a ztrát způsobených závažnými incidenty souvisejícími s IKT

Finanční subjekty by měly odhadnout souhrnné roční náklady a ztráty způsobené závažnými incidenty souvisejícími s IKT tak, že sečtou náklady a ztráty způsobené závažnými incidenty souvisejícími s IKT, které spadají do referenčního roku, za nějž příslušný orgán požadoval odhad. Finanční subjekt si může zvolit, zda bude referenční rok odpovídat buď ukončenému kalendářnímu roku, nebo ukončenému účetnímu období finančního subjektu, pro které finanční subjekt dokončil svou účetní závěrku. Jakmile se finanční subjekt rozhodne, zda poskytne odhad na základě kalendářního roku, nebo příslušného účetního období, mělo by se toto rozhodnutí uplatnit na budoucí odhady souhrnných ročních nákladů a ztrát. Finanční subjekt může toto rozhodnutí změnit zasláním oznámení příslušnému orgánu a za předpokladu, že příslušný orgán do dvou měsíců od obdržení oznámení nevznese námitky. Finanční subjekty by neměly do odhadu zahrnovat náklady a ztráty související s incidenty, ke kterým došlo v období před uvedeným referenčním rokem nebo po něm.

Finanční subjekty by měly do odhadu zahrnout všechny incidenty související s IKT, které byly bez ohledu na důvod klasifikovány jako závažné v souladu s nařízením Komise v přenesené pravomoci [ OJ L, 2024/1772, 25.6.2024 ]⁵ o klasifikaci incidentů, a

• a) incidenty, o nichž finanční subjekt předložil závěrečnou zprávu v souladu s čl. 19 odst. 4 písm. c) nařízení (EU) 2022/2554 v příslušném referenčním roce, nebo
• b) jakýkoli incident, o němž finanční subjekt předložil v předchozích referenčních letech závěrečnou zprávu v souladu s čl. 19 odst. 4 písm. c) nařízení (EU) 2022/2554 a který měl vyčíslitelný finanční dopad na finanční subjekt v příslušném referenčním roce.

⁵ Nařízení Komise v přenesené pravomoci (EU) 2024/1772 ze dne 13. března 2024, kterým se doplňuje nařízení Evropského parlamentu a Rady (EU) 2022/2554, pokud jde o regulační technické normy, v nichž jsou upřesněna kritéria klasifikace incidentů souvisejících s IKT a kybernetických hrozeb, stanoveny prahové hodnoty významnosti a upřesněny údaje v hlášeních závažných incidentů . [ OJ L, 2024/1772, 25.6.2024, ELI: http://data.europa.eu/eli/reg_del/2024/1772/oj ]

Finanční subjekty by měly odhadnout souhrnné roční náklady a ztráty provedením těchto postupných kroků:

• a) jednotlivě odhadnout náklady a ztráty spojené s každým závažným incidentem souvisejícím s IKT uvedeným v odstavci 6. Tyto odhady by měly obsahovat hrubé náklady a ztráty se zohledněním druhů nákladů a ztrát, jak je stanoveno v čl. 7 odst. 1 a 2 nařízení Komise v přenesené pravomoci [ OJ L, 2024/1772, 25.6.2024 ];
• b) u každého závažného incidentu souvisejícího s IKT by finanční subjekty měly rovněž odhadnout zpětně získané finanční prostředky, jak je uvedeno v příloze II prováděcího nařízení Komise [ OJ L, 2025/302, 20.2.2025 ]⁶ ;
• c) finanční subjekty by měly sečíst hrubé náklady a ztráty a zpětně získané finanční prostředky v rámci všech závažných incidentů souvisejících s IKT.

⁶ Prováděcí nařízení Komise (EU) 2025/302 ze dne 23. října 2024, kterým se stanoví prováděcí technické normy pro uplatňování nařízení Evropského parlamentu a Rady (EU) 2022/2554, pokud jde o standardní formuláře, vzory a postupy pro hlášení závažného incidentu souvisejícího s IKT a oznamování významné kybernetické hrozby finančními orgány . [ OJ L, 2025/302, 20.2.2025, ELI: http://data.europa.eu/eli/reg_impl/2025/302/oj ]

Jako základ pro své odhady by finanční subjekty měly odkazovat na náklady, ztráty a zpětně získané finanční prostředky, které jsou uvedeny v jejich účetní závěrce, jako je výkaz zisků a ztrát, nebo případně ve zprávách pro účely dohledu za příslušný referenční rok. Do svého odhadu by finanční subjekty měly rovněž zahrnout účetní rezervy, které jsou uvedeny v jejich účetních závěrkách, jako je výkaz zisků a ztrát za příslušný referenční rok. Pokud nejsou k dispozici přesné údaje, finanční subjekty by měly svůj odhad v co největší možné míře založit na jiných dostupných údajích a informacích.

Finanční subjekty by měly zahrnout úpravy nákladů a ztrát uvedených v odhadu, který předložily za předchozí rok, do odhadu za příslušný referenční rok, v němž se úpravy provádějí.

Finanční subjekty by měly ve zprávě o svém odhadu souhrnných ročních nákladů a ztrát uvést rovněž rozpis hrubých nákladů a ztrát a zpětně získaných finančních prostředků za každý významný incident související s IKT, který byl do souhrnu zahrnut.

K předložení odhadu svých souhrnných ročních nákladů a ztrát za referenční rok příslušnému orgánu by finanční subjekty měly použít šablonu uvedenou v příloze. Pro každou položku podle odstavců 6 a 9, která je zahrnuta do odhadu za referenční rok, by finanční subjekty měly používat stejné referenční kódy incidentu, jaké uvedly v závěrečné zprávě předložené v souladu s čl. 19 odst. 4 písm. c) nařízení (EU) 2022/2554.