Titolo III – Disposizioni sulla stima dei costi e delle perdite annuali aggregati causati da gravi incidenti connessi alle TIC

Le entità finanziarie dovrebbero stimare i costi e le perdite annuali aggregati causati da gravi incidenti connessi alle TIC aggregando i costi e le perdite causati da gravi incidenti connessi alle TIC che rientrano nell’anno di riferimento per il quale l’autorità competente ha richiesto la stima. L’entità finanziaria può decidere se l’anno di riferimento debba corrispondere all’anno civile concluso o all’esercizio contabile concluso dell’entità finanziaria per il quale quest’ultima ha ultimato i suoi rendiconti finanziari. Una volta che l’entità finanziaria ha deciso se fornire la stima sulla base dell’anno civile o del suo esercizio contabile, tale decisione dovrebbe essere applicata alle stime future dei costi e delle perdite annuali aggregati. L’entità finanziaria può modificare tale decisione dandone notifica all’autorità competente e a condizione che quest’ultima non sollevi obiezioni entro due mesi dal ricevimento della notifica. Le entità finanziarie non dovrebbero includere i costi e le perdite causati dagli incidenti che si verificano prima o dopo l’anno di riferimento.

Le entità finanziarie dovrebbero includere nella stima tutti gli incidenti connessi alle TIC che, indipendentemente dal motivo, sono stati classificati come gravi conformemente al regolamento delegato della Commissione [OJ L, 2024/1772, 25.6.2024]⁵ sulla classificazione degli incidenti e

• (a) per i quali l’entità finanziaria ha presentato una relazione finale a norma dell’articolo 19, paragrafo 4, lettera c), del regolamento (UE) 2022/2554 nell’anno di riferimento pertinente, o
• (b) qualsiasi incidente per il quale l’entità finanziaria ha presentato negli anni di riferimento precedenti una relazione finale a norma dell’articolo 19, paragrafo 4, lettera c), del regolamento (UE) 2022/2554 che ha avuto un impatto finanziario quantificabile sull’entità finanziaria nell’anno di riferimento pertinente.

⁵ Regolamento delegato (UE) 2024/1772 della Commissione, del 13 marzo 2024, che integra il regolamento (UE) 2022/2554 del Parlamento europeo e del Consiglio per quanto riguarda le norme tecniche di regolamentazione che specificano i criteri per la classificazione degli incidenti connessi alle TIC e delle minacce informatiche, stabiliscono le soglie di rilevanza e specificano i dettagli delle segnalazioni di gravi incidenti, [ OJ L, 2024/1772, 25.6.2024, ELI: http://data.europa.eu/eli/reg_del/2024/1772/oj ]

Le entità finanziarie dovrebbero stimare i costi e le perdite annuali aggregati applicando le seguenti fasi in sequenza:

• (a) stimare singolarmente i costi e le perdite causati da ciascun grave incidente connesso alle TIC di cui al paragrafo 6. Tali stime dovrebbero produrre i costi e le perdite lordi tenendo conto dei tipi di costi e perdite di cui all’articolo 7, paragrafi 1 e 2, del regolamento delegato della Commissione [OJ L, 2024/1772, 25.6.2024];
• (b) per ciascun grave incidente connesso alle TIC, le entità finanziarie dovrebbero stimare anche i recuperi finanziari come specificato nell’allegato II del regolamento di esecuzione della Commissione [OJ L, 2025/302, 20.2.2025]⁶ ;
• (c) le entità finanziarie dovrebbero aggregare i costi e le perdite lordi e i recuperi finanziari relativi a tutti i gravi incidenti connessi alle TIC.

⁶ Regolamento di esecuzione (UE) 2025/302 della Commissione, del 23 ottobre 2024, che stabilisce norme tecniche di attuazione per l’applicazione del regolamento (UE) 2022/2554 del Parlamento europeo e del Consiglio per quanto riguarda i formati, i modelli e le procedure standard con cui le entità finanziarie devono segnalare un incidente grave connesso alle TIC e notificare una minaccia informatica significativa, [ OJ L, 2025/302, 20.2.2025, ELI: http://data.europa.eu/eli/reg_impl/2025/302/oj ]

Come base per le stime, le entità finanziarie dovrebbero fare riferimento ai costi, alle perdite e ai recuperi finanziari indicati nei loro rendiconti finanziari, come il conto profitti e perdite o, se del caso, nelle loro segnalazioni a fini di vigilanza dell’anno di riferimento pertinente. Le entità finanziarie dovrebbero includere nella stima anche gli accantonamenti contabili indicati nei loro rendiconti finanziari, come il conto profitti e perdite dell’anno di riferimento pertinente. Qualora non siano disponibili dati accurati, le entità finanziarie dovrebbero basare la stima, per quanto possibile, su altri dati e informazioni disponibili.

Le entità finanziarie dovrebbero includere gli adeguamenti dei costi e delle perdite di una stima presentata per un anno precedente nella stima dell’anno di riferimento pertinente in cui gli adeguamenti sono effettuati.

Le entità finanziarie dovrebbero includere nella relazione della stima dei costi e delle perdite annuali aggregati anche la scomposizione dei costi e delle perdite lordi e dei recuperi finanziari per ciascun grave incidente connesso alle TIC incluso nell’aggregazione.

Le entità finanziarie dovrebbero utilizzare il modello di cui all’allegato per trasmettere all’autorità competente la stima dei costi e delle perdite annuali aggregati per l’anno di riferimento. Per ciascuna voce di cui ai paragrafi 6 e 9 inclusa nella stima dell’anno di riferimento, le entità finanziarie dovrebbero utilizzare gli stessi codici di riferimento per gli incidenti forniti dall’entità finanziaria stessa utilizzati nella relazione finale trasmessa ai sensi dell’articolo 19, paragrafo 4, lettera c), del regolamento (UE) 2022/2554.