Titre III – Dispositions relatives à l’estimation des coûts et pertes annuels agrégés occasionnés par des incidents majeurs liés aux TIC

Les entités financières doivent estimer les coûts et les pertes annuels agrégés occasionnés par des incidents majeurs liés aux TIC en agrégeant les coûts et les pertes des incidents majeurs liés aux TIC qui relèvent de l’année de référence pour laquelle l’autorité compétente a sollicité l’estimation. L’entité financière peut choisir si l’année de référence correspond à l’année civile achevée ou à l’exercice comptable clos pour lequel l’entité financière a finalisé ses états financiers. Une fois qu’une entité financière a opté pour l’estimation sur la base de l’année civile ou de son exercice comptable, cette décision sera appliquée aux futures estimations des coûts et pertes annuels agrégés. L’entité financière peut modifier cette décision en informant l’autorité compétente, à condition que celle-ci ne s’y oppose pas dans un délai de deux mois à compter de la réception de la notification. Les entités financières ne doivent pas inclure les coûts et pertes liés aux incidents occasionnés avant ou après l’année de référence.

Les entités financières doivent inclure dans l’estimation tous les incidents liés aux TIC qui, quelle qu’en soit leur raison, ont été qualifiés de majeurs conformément au règlement délégué de la Commission [OJ L, 2024/1772, 25.6.2024]⁵ sur la classification des incidents et

• (a) pour lesquels l’entité financière a présenté un rapport définitif conformément à l’article 19, paragraphe 4, point c), du règlement (UE) 2022/2554 au cours de l’année de référence pertinente, ou
• (b) tout incident pour lequel l’entité financière a présenté, au cours des années de référence précédentes, un rapport définitif conformément à l’article 19, paragraphe 4, point c), du règlement (UE) 2022/2554, qui a eu une incidence financière quantifiable sur l’entité financière au cours de l’année de référence concernée.

⁵ Règlement délégué (UE) 2024/1772 de la Commission du 13 mars 2024 complétant le règlement (UE) 2022/2554 du Parlement européen et du Conseil par des normes techniques de réglementation précisant les critères de classification des incidents liés aux TIC et des cybermenaces, fixant des seuils d’importance significative et précisant les détails des rapports d’incidents majeurs, [ OJ L, 2024/1772, 25.6.2024, ELI: http://data.europa.eu/eli/reg_del/2024/1772/oj ]

Les entités financières doivent estimer les coûts et pertes annuels agrégés en appliquant les étapes successives suivantes:

• (a) estimer individuellement les coûts et les pertes de chaque incident majeur lié aux TIC, tel que visé au paragraphe 6. Ces estimations doivent montrer les coûts et pertes bruts compte tenu des types de coûts et de pertes visés à l’article 7, paragraphes 1 et 2, du règlement délégué de la Commission [OJ L, 2024/1772, 25.6.2024];
• (b) pour chaque incident majeur lié aux TIC, les entités financières doivent également estimer les recouvrements financiers tels qu’ils figurent à l’annexe II du règlement d’exécution de la Commission [ OJ L, 2025/302, 20.2.2025 ]⁶ ;
• (c) les entités financières doivent agréger les coûts et pertes bruts et les recouvrements financiers pour tous les incidents majeurs liés aux TIC.

⁶ Règlement d’exécution (UE) 2025/302 de la Commission du 23 octobre 2024 définissant des normes techniques d’exécution pour l’application du règlement (UE) 2022/2554 du Parlement européen et du Conseil en ce qui concerne les formulaires, modèles et procédures types permettant aux entités financières de notifier un incident majeur lié aux TIC et de notifier une cybermenace importante, [ OJ L, 2025/302, 20.2.2025, ELI: http://data.europa.eu/eli/reg_impl/2025/302/oj ]

Les entités financières doivent baser leurs estimations sur les coûts, pertes et recouvrements financiers reflétés dans leurs états financiers, tels que le compte de résultat, ou, le cas échéant, dans l’information prudentielle de l’année de référence pertinente. Dans leur estimation, les entités financières doivent également inclure les provisions comptables reflétées dans leurs états financiers, telles que le compte de résultat de l’année de référence pertinente. Lorsque des données exactes ne sont pas disponibles, les entités financières doivent, dans la mesure du possible, fonder leur estimation sur d’autres données et informations disponibles.

Les entités financières doivent inclure les ajustements des coûts et pertes de l’estimation présentée pour l’année précédente dans l’estimation de l’année de référence concernée, au cours de laquelle les ajustements seront effectués.

Les entités financières doivent également inclure, dans leur estimation des coûts et pertes annuels agrégés, la ventilation des coûts et pertes bruts et des recouvrements financiers pour chaque incident majeur lié aux TIC qui a été inclus dans l’agrégation.

Les entités financières doivent utiliser le modèle figurant en annexe pour soumettre à l’autorité compétente l’estimation de leurs coûts et pertes annuels agrégés pour l’année de référence. Pour chaque élément visé aux paragraphes 6 et 9 inclus dans l’estimation de l’année de référence, les entités financières doivent utiliser les mêmes codes de référence d’incident que ceux qu’elles ont utilisés dans le rapport définitif d’incident, conformément à l’article 19, paragraphe 4, point c), du règlement (UE) 2022/2554.