III jaotis – Sätted tõsiste IKT-intsidentide tekitatud aasta kogukulu ja - kahju hindamise kohta

Finantssektori ettevõtjad peaksid hindama tõsiste IKT-intsidentide tekitatud aasta kogukulu ja - kahju, liites selliste tõsiste IKT-intsidentide kulud ja kahjud, mis kuuluvad vaatlusaastasse, mille hindamist pädev asutus taotles. Finantssektori ettevõtja võib valida, kas vaatlusaasta peaks vastama lõppenud kalendriaastale või finantssektori ettevõtja lõppenud aruandeaastale, mille kohta on finantssektori ettevõtja koostanud oma finantsaruanded. Kui finantssektori ettevõtja on otsustanud, kas ta esitab hinnangu kalendriaasta või aruandeaasta alusel, tuleks sellist otsust kohaldada tulevaste aasta kogukulu ja -kahju hinnangute suhtes. Finantssektori ettevõtja võib seda otsust muuta, teatades sellest pädevale asutusele, ja tingimusel, et pädev asutus ei esita vastuväiteid kahe kuu jooksul alates teate saamisest. Finantssektori ettevõtjad ei tohiks arvesse võtta kulusid ja kahjusid, mis on seotud intsidentidega, mis toimuvad enne või pärast vaatlusaastat.

Finantssektori ettevõtjad peaksid arvesse võtma kõiki IKT-intsidente, mis on olenemata põhjusest klassifitseeritud tõsisteks vastavalt komisjoni delegeeritud määrusele [OJ L, 2024/1772, 25.6.2024]⁵ intsidentide liigitamise kohta ja

• (a) mille kohta esitas finantssektori ettevõtja asjaomasel vaatlusaastal lõpparuande vastavalt määruse (EL) 2022/2554 artikli 19 lõike 4 punktile c, või
• (b) mis tahes intsidente, mille kohta esitas finantssektori ettevõtja eelmistel vaatlusaastatel lõpparuande kooskõlas määruse (EL) 2022/2554 artikli 19 lõike 4 punktiga c ja millel oli asjaomasel vaatlusaastal finantssektori ettevõtjale kvantifitseeritav finantsmõju.

⁵ Komisjoni delegeeritud määrus (EL) 2024/1772, 13. märts 2024, millega täiendatakse Euroopa Parlamendi ja nõukogu määrust (EL) 2022/2554 regulatiivsete tehniliste standarditega, millega määratakse kindlaks IKT intsidentide ja küberohtude liigitamise kriteeriumid, kehtestatakse olulisuse läved ja täpsustatakse tõsiste intsidentide kohta esitatavate raportite üksikasju. [ OJ L, 2024/1772, 25.6.2024, ELI: http://data.europa.eu/eli/reg_del/2024/1772/oj ]

Finantssektori ettevõtjad peaksid hindama aasta kogukulu ja -kahju, kohaldades järgmisi järjestikuseid etappe:

• (a) hinnata eraldi iga tõsise IKT-intsidendi kulu ja kahju, nagu on osutatud lõikes 6; nendes hinnangutes tuleks esitada brutokulud ja -kahjud, võttes arvesse kulude ja kahjude liike, mis on sätestatud komisjoni delegeeritud määruse [OJ L, 2024/1772, 25.6.2024] artikli 7 lõigetes 1 ja 2;
• (b) finantssektori ettevõtjad peaksid iga tõsise IKT-intsidendi puhul hindama ka sissenõudmisi, nagu on sätestatud komisjoni rakendusmääruse [ OJ L, 2025/302, 20.2.2025 ]⁶ II lisas;
• (c) finantssektori ettevõtjad peaksid koondama tõsiste IKT-intsidentide brutokulud ja -kahjud ning sissenõudmised.

⁶ Komisjoni rakendusmäärus (EL) 2025/302, 23. oktoober 2024, millega kehtestatakse rakenduslikud tehnilised standardid Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 kohaldamiseks seoses standardvormide, -mallide ja -menetlustega, mida finantssektori ettevõtjad kasutavad tõsisest IKT intsidendist teavitamiseks ja olulisest küberohust teatamiseks. [ OJ L, 2025/302, 20.2.2025, ELI: http://data.europa.eu/eli/reg_impl/2025/302/oj ]

Hinnangute aluseks peaksid finantssektori ettevõtjad viitama kuludele, kahjudele ja sissenõudmistele, mis kajastuvad nende asjaomase vaatlusaasta finantsaruannetes, nt kasumiaruandes või, kui asjakohane, järelevalvelises aruandluses. Finantssektori ettevõtjad peaksid oma hinnangus arvesse võtma ka raamatupidamislikke eraldisi, mis kajastuvad nende finantsaruannetes, näiteks asjaomase vaatlusaasta kasumiaruandes. Kui täpsed andmed ei ole kättesaadavad, peaksid finantssektori ettevõtjad tuginema oma hinnangutes võimalikult suures ulatuses muudele kättesaadavatele andmetele ja teabele.

Finantssektori ettevõtjad peaksid eelneva aasta kohta esitatud hinnangu kulude ja kahjumite korrigeerimised lisama selle asjakohase vaatlusaasta hinnangusse, mille jooksul korrigeerimised tehakse.

Finantssektori ettevõtjad peaksid lisama oma aasta kogukulu ja -kahju hinnangu aruandesse ka kõigi kogumis sisalduvate tõsiste IKT-intsidentide brutokulude ja -kahjude ning sissenõudmiste jaotuse.

Finantssektori ettevõtjad peaksid kasutama lisas esitatud vormi, et esitada pädevale asutusele oma aasta kogukulu ja -kahju hinnang vaatlusaasta kohta. Iga punktide 6 ja 9 kohases kirjes, mis sisaldub vaatlusaasta hinnangus, peaksid finantssektori ettevõtjad kasutama samu finantssektori ettevõtja esitatud intsidendi viitekoode, mida kasutatakse lõpparuandes vastavalt määruse (EL) 2022/2554 artikli 19 lõike 4 punktile c.