Glava III. – Odredbe o procjeni agregiranih godišnjih troškova i gubitaka koji su posljedica značajnih IKT incidenata

Financijski subjekti trebaju procijeniti agregirane godišnje troškove i gubitke koji su posljedica značajnih IKT incidenata agregiranjem troškova i gubitaka od značajnih IKT incidenata obuhvaćenih referentnom godinom za koju je nadležno tijelo zatražilo procjenu. Financijski subjekt može odabrati hoće li se referentna godina odnositi na dovršenu kalendarsku godinu ili na dovršenu računovodstvenu godinu financijskog subjekta za koju je financijski subjekt dovršio svoje financijske izvještaje. Nakon što financijski subjekt odluči hoće li dostaviti procjenu na temelju kalendarske godine ili računovodstvene godine, takvu odluku treba primijeniti na buduće procjene agregiranih godišnjih troškova i gubitaka. Financijski subjekt može promijeniti tu odluku tako da o tome obavijesti nadležno tijelo i pod uvjetom da nadležno tijelo ne uloži prigovor u roku od dva mjeseca od primitka obavijesti. Financijski subjekti ne trebaju uključivati troškove i gubitke povezane s incidentima koji su se dogodili prije ili nakon te referentne godine.

Financijski subjekti trebaju u procjenu uključiti sve IKT incidente koji su, bez obzira na razlog, klasificirani kao značajni u skladu s Delegiranom uredbom Komisije o klasifikaciji incidenata [ OJ L, 2024/1772, 25.6.2024 ]⁵ i

• (a) za koje je financijski subjekt podnio završno izvješće u skladu s člankom 19. stavkom 4. točkom
• (c) Uredbe (EU) 2022/2554 u relevantnoj referentnoj godini ili
• (b) svaki incident za koji je financijski subjekt u prethodnim referentnim godinama dostavio završno izvješće u skladu s člankom 19. stavkom 4. točkom (c) Uredbe (EU) 2022/2554 koji je imao mjerljiv financijski učinak na financijski subjekt u relevantnoj referentnoj godini.

⁵ Delegirana uredba Komisije (EU) 2024/1772 оd 13. ožujka 2024. o dopuni Uredbe (EU) 2022/2554 Europskog parlamenta i Vijeća u pogledu regulatornih tehničkih standarda kojima se utvrđuju kriteriji za klasifikaciju IKT incidenata i kiberprijetnji, pragovi značajnosti i pojedinosti izvješća o značajnim incidentima, [ OJ L, 2024/1772, 25.6.2024, ELI: http://data.europa.eu/eli/reg_del/2024/1772/oj ]

Financijski subjekti trebaju procijeniti agregirane godišnje troškove i gubitke primjenom sljedećih uzastopnih koraka:

• (a) procjenom troškova i gubitaka svakog velikog incidenta koji je posljedica značajnih IKT incidenata iz stavka 6. pojedinačno. Tim procjenama treba utvrditi bruto troškove i gubitke, uzimajući u obzir vrste troškova i gubitaka kako je utvrđeno u članku 7. stavcima 1. i 2. Delegirane uredbe Komisije [ OJ L, 2024/1772, 25.6.2024 ]
• (b) za svaki značajniji IKT incident financijski subjekti trebaju procijeniti i financijske povrate, kako je navedeno u Prilogu II. Provedbenoj uredbi Komisije [ OJ L, 2025/302, 20.2.2025 ]⁶
• (c) financijski subjekti trebaju agregirati bruto troškove i gubitke te financijske povrate za značajne IKT incidente.

⁶ Provedbena uredba Komisije (EU) 2025/302 оd 23. listopada 2024. o utvrđivanju provedbenih tehničkih standarda za primjenu Uredbe (EU) 2022/2554 Europskog parlamenta i Vijeća u pogledu standardnih predložaka, obrazaca i postupaka koje financijski subjekti koriste za izvješćivanje o značajnom IKT incidentu i obavješćivanje o ozbiljnoj kibernetičkoj prijetnji, [ OJ L, 2025/302, 20.2.2025, ELI: http://data.europa.eu/eli/reg_impl/2025/302/oj ]

Osnova za procjene koje provode financijski subjekti trebaju biti troškovi, gubitci i financijski povrati iskazani u njihovim financijskim izvještajima, kao što je račun dobiti i gubitka ili, ako je primjenjivo, u njihovu nadzornom izvješćivanju za relevantnu referentnu godinu. U svoju procjenu financijski subjekti trebaju uključiti i računovodstvene odredbe koje se odražavaju u njihovim financijskim izvještajima, kao što je račun dobiti i gubitka za relevantnu referentnu godinu. Ako točni podatci nisu dostupni, financijski subjekti trebaju temeljiti svoju procjenu na drugim dostupnim podatcima i informacijama u mjeri u kojoj je to moguće.

Financijski subjekti trebaju uključiti prilagodbe troškova i gubitaka procjene koju su dostavili za prethodnu godinu u procjenu relevantne referentne godine u kojoj su usklađenja izvršena.

Financijski subjekti trebaju u izvješće o svojoj procjeni agregiranih godišnjih troškova i gubitaka uključiti i raščlambu bruto troškova i gubitaka te financijskih povrata za svaki značajniji IKT incident koji je bio obuhvaćen agregiranjem.

Financijski subjekti trebaju upotrijebiti obrazac iz Priloga kako bi nadležnom tijelu dostavili procjenu svojih agregiranih godišnjih troškova i gubitaka za referentnu godinu. Za svaku stavku iz točaka 6. i 9. koja je uključena u procjenu referentne godine financijski subjekti trebaju upotrebljavati iste referentne oznake incidenta koje je dostavio financijski subjekt kao i one koje su upotrijebljene u završnom izvješću u skladu s člankom 19. stavkom 4. točkom (c) Uredbe (EU) 2022/2554.