Título III - Disposiciones sobre la estimación de los costes y pérdidas anuales agregados de los incidentes graves relacionados con las TIC

Las entidades financieras estimarán los costes y pérdidas anuales agregados de los incidentes graves relacionados con las TIC agregando los costes y pérdidas de los incidentes graves relacionados con las TIC que se produzcan en el año de referencia para el que la autoridad competente haya solicitado la estimación. La entidad financiera podrá elegir si el año de referencia corresponde, bien al año natural completo, o bien al ejercicio contable completo de la entidad financiera para el que la entidad financiera haya finalizado sus estados financieros. Una vez que la entidad financiera haya decidido si proporcionará la estimación basada en el año natural o en su ejercicio contable, dicha decisión se aplicará a las futuras estimaciones de costes y pérdidas anuales agregados. La entidad financiera podrá modificar dicha decisión notificándola a la autoridad competente y siempre que la autoridad competente no se oponga en el plazo de dos meses a partir de la recepción de la notificación. Las entidades financieras no incluirán los costes y pérdidas relacionados con los incidentes que se produzcan antes o después de ese año de referencia.

Las entidades financieras incluirán en la estimación todos los incidentes relacionados con las TIC que, independientemente de la razón, hayan sido clasificados como graves de conformidad con el Reglamento Delegado [OJ L, 2024/1772, 25.6.2024]⁵ de la Comisión sobre la clasificación de incidentes y

• (a) para los que la entidad financiera haya presentado un informe final de conformidad con el artículo 19, apartado 4, letra c), del Reglamento (UE) 2022/2554 en el año de referencia pertinente, o
• (b) para los que la entidad financiera haya presentado en años de referencia anteriores un informe final de conformidad con el artículo 19, apartado 4, letra c), del Reglamento (UE) 2022/2554 que haya tenido un impacto financiero cuantificable en la entidad financiera en el año de referencia pertinente.

⁵ Reglamento Delegado (UE) 2024/1772 de la Comisión, de 13 de marzo de 2024, por el que se completa el Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo mediante normas técnicas de regulación que especifican los criterios para la clasificación de los incidentes relacionados con las TIC y las ciberamenazas, establecen umbrales de importancia relativa y especifican la información detallada de las notificaciones de incidentes graves. [ OJ L, 2024/1772, 25.6.2024, ELI: http://data.europa.eu/eli/reg_del/2024/1772/oj ]

Las entidades financieras estimarán los costes y pérdidas anuales agregados siguiendo los siguientes pasos de forma secuencial:

• (a) estimarán individualmente los costes y pérdidas de cada incidente grave relacionado con las TIC a que se refiere el apartado 6. Dichas estimaciones darán como resultado los costes y pérdidas brutos teniendo en cuenta los tipos de costes y pérdidas establecidos en el artículo 7, apartados 1 y 2, del Reglamento Delegado [OJ L, 2024/1772, 25.6.2024] de la Comisión;
• (b) para cada incidente grave relacionado con las TIC, las entidades financieras también estimarán las recuperaciones financieras según lo especificado en el anexo II del Reglamento de Ejecución [ OJ L, 2025/302, 20.2.2025 ]⁶ de la Comisión;
• (c) las entidades financieras agregarán los costes y pérdidas brutos y las recuperaciones financieras de los incidentes graves relacionados con las TIC.

⁶ Reglamento de Ejecución (UE) 2025/302 de la Comisión, de 23 de octubre de 2024, por el que se establecen normas técnicas de ejecución para la aplicación del Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo en lo que respecta a los formularios, las plantillas y los procedimientos normalizados que deberán aplicar las entidades financieras para informar de un incidente grave relacionado con las TIC y para notificar una ciberamenaza importante. [ OJ L, 2025/302, 20.2.2025, ELI: http://data.europa.eu/eli/reg_impl/2025/302/oj ]

Como base para las estimaciones, las entidades financieras se referirán a los costes, pérdidas y recuperaciones financieras que se reflejan en sus estados financieros, como la cuenta de pérdidas y ganancias, o, en su caso, en sus informes de supervisión, del año de referencia pertinente. En su estimación, las entidades financieras también incluirán las provisiones contables que se reflejan en sus estados financieros, como la cuenta de pérdidas y ganancias, del año de referencia pertinente. Cuando no se disponga de datos precisos, las entidades financieras basarán su estimación en otros datos e información disponibles en la medida de lo posible.

Las entidades financieras incluirán los ajustes sobre los costes y pérdidas de una estimación que presentó para un año anterior en la estimación del año de referencia pertinente en el que se realizan los ajustes.

Las entidades financieras incluirán en el informe de su estimación de los costes y pérdidas anuales agregados también el desglose de los costes y pérdidas brutos y de las recuperaciones financieras para cada incidente grave relacionado con las TIC que se hayan incluido en la agregación.

Las entidades financieras utilizarán la plantilla que figura en el anexo para presentar a la autoridad competente la estimación de sus costes y pérdidas anuales agregados para el año de referencia. Para cada elemento de los apartados 6 y 9 que se incluya en la estimación del año de referencia, las entidades financieras utilizarán los mismos códigos de referencia de incidentes facilitados por la entidad financiera que los utilizados en el informe final de conformidad con el artículo 19, apartado 4, letra c), del Reglamento (UE) 2022/2554.