Titel III – Bestimmungen über die Schätzung der von schwerwiegenden IKT-bezogenen Vorfällen verursachten aggregierten jährlichen Kosten und Verluste

Finanzunternehmen sollten die von schwerwiegenden IKT-bezogenen Vorfällen verursachten aggregierten jährlichen Kosten und Verluste schätzen, indem sie die Kosten und Verluste für schwerwiegende IKT-bezogene Vorfälle aggregieren, die in das Referenzjahr fallen, für das die zuständige Behörde die Schätzung angefordert hat. Finanzunternehmen können als Referenzjahr entweder das abgeschlossene Kalenderjahr oder das abgeschlossene Geschäftsjahr des Finanzunternehmens, für welches das Finanzunternehmen seinen Jahresabschluss erstellt hat, wählen. Die Entscheidung eines Finanzunternehmens, ob die Schätzung auf der Grundlage des Kalenderjahres oder des Geschäftsjahres vorgelegt wird, sollte auch bei künftigen Schätzungen der aggregierten jährlichen Kosten und Verluste gelten. Finanzunternehmen können diese Entscheidung ändern, indem sie dies der zuständigen Behörde mitteilen, und unter der Voraussetzung, dass die zuständige Behörde innerhalb von zwei Monaten nach Eingang der Mitteilung keine Einwände dagegen erhebt. Finanzunternehmen sollten Kosten und Verluste im Zusammenhang mit Vorfällen, die vor oder nach diesem Referenzjahr liegen, nicht berücksichtigen.

Finanzunternehmen sollten in die Schätzung alle IKT-bezogenen Vorfälle einbeziehen, die unabhängig von den Gründen gemäß der Delegierten Verordnung der Kommission [OJ L, 2024/1772, 25.6.2024]⁵ zur Klassifizierung von Vorfällen als schwerwiegend eingestuft wurden, und

• (a) für die das Finanzunternehmen in dem betreffenden Referenzjahr gemäß Artikel 19 Absatz 4 Buchstabe c der Verordnung (EU) 2022/2554 eine Abschlussmeldung vorgelegt hat, oder
• (b) Vorfälle, zu denen das Finanzunternehmen in früheren Referenzjahren gemäß Artikel 19 Absatz 4 Buchstabe c der Verordnung (EU) 2022/2554 eine Abschlussmeldung vorgelegt hat und die im betreffenden Referenzjahr quantifizierbare finanzielle Auswirkungen auf das Finanzunternehmen hatten.

⁵ Delegierte Verordnung (EU) 2024/1772 der Kommission vom 13. März 2024 zur Ergänzung der Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates durch technische Regulierungsstandards zur Festlegung der Kriterien für die Klassifizierung von IKT-bezogenen Vorfällen und Cyberbedrohungen, der Wesentlichkeitsschwellen und der Einzelheiten von Meldungen schwerwiegender Vorfälle. [ OJ L, 2024/1772, 25.6.2024, ELI: http://data.europa.eu/eli/reg_del/2024/1772/oj ]

Finanzunternehmen sollten die aggregierten jährlichen Kosten und Verluste schätzen, indem sie wie folgt vorgehen:

• (a) Sie sollten die Kosten und Verluste für jeden einzelnen schwerwiegenden IKT-bezogenen Vorfall schätzen. Bei diesen Schätzungen sollten die Bruttokosten und -verluste unter Berücksichtigung der Arten von Kosten und Verlusten gemäß Artikel 7 Absätze 1 und 2 der Delegierten Verordnung der Kommission [OJ L, 2024/1772, 25.6.2024] ermittelt werden;
• (b) für jeden schwerwiegenden IKT-bezogenen Vorfall sollten Finanzunternehmen auch die finanziellen Wiedereinziehungen schätzen, wie in Anhang II der Durchführungsverordnung der Kommission [ OJ L, 2025/302, 20.2.2025 ]⁶ festgelegt;
• (c) Finanzunternehmen sollten die Bruttokosten und -verluste sowie die finanziellen Wiedereinziehungen für alle schwerwiegenden IKT-bezogenen Vorfälle aggregieren.

⁶ Durchführungsverordnung (EU) 2025/302 der Kommission vom 23. Oktober 2024 zur Festlegung technischer Durchführungsstandards für die Anwendung der Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates im Hinblick auf Standardformulare, Vorlagen und Verfahren für Finanzunternehmen zur Meldung eines schwerwiegenden IKT-bezogenen Vorfalls oder einer erheblichen Cyberbedrohung. [ OJ L, 2025/302, 20.2.2025, ELI: http://data.europa.eu/eli/reg_impl/2025/302/oj ]

Als Grundlage für die Schätzungen sollten Finanzunternehmen die Kosten, Verluste und finanziellen Wiedereinziehungen heranziehen, die in ihren Jahresabschlüssen wie der Gewinn- und Verlustrechnung oder gegebenenfalls in ihren Meldungen des betreffenden Referenzjahres an die Aufsicht ausgewiesen sind. Bei ihrer Schätzung sollten Finanzunternehmen auch buchhalterische Rückstellungen einbeziehen, die in ihren Jahresabschlüssen wie der Gewinn- und Verlustrechnung des betreffenden Referenzjahres ausgewiesen sind. Sind keine genauen Daten verfügbar, sollten Finanzunternehmen ihre Schätzung so weit wie möglich auf andere verfügbare Daten und Informationen stützen.

Finanzunternehmen sollten Anpassungen der Kosten und Verluste einer Schätzung, die sie für ein Vorjahr vorgelegt haben, in die Schätzung des betreffenden Referenzjahres aufnehmen, in dem die Anpassungen vorgenommen wurden.

Finanzunternehmen sollten in der Meldung ihrer Schätzung der aggregierten jährlichen Kosten und Verluste auch die Aufschlüsselung der in die Aggregation einbezogenen Bruttokosten und - verluste und der finanziellen Wiedereinziehungen für jeden schwerwiegenden IKT-bezogenen Vorfall aufnehmen.

Finanzunternehmen sollten für die Übermittlung der Schätzung ihrer aggregierten jährlichen Kosten und Verluste für das Referenzjahr die im Anhang beigefügte Vorlage verwenden. Für jeden der in die Schätzung des Referenzjahres einbezogenen Posten gemäß den Absätzen 6 und 9 sollten Finanzunternehmen dieselben vom Finanzunternehmen bereitgestellten Referenzcodes für Vorfälle verwenden, die auch in der Abschlussmeldung gemäß Artikel 19 Absatz 4 Buchstabe c der Verordnung (EU) 2022/2554 verwendet werden.