Titel III – Bepalingen voor de raming van de geaggregeerde jaarlijkse kosten en verliezen van ernstige ICT-gerelateerde incidenten

Financiële entiteiten dienen de geaggregeerde jaarlijkse kosten en verliezen van ernstige ICT-gerelateerde incidenten te ramen door de kosten en verliezen voor grote ICT-gerelateerde incidenten die binnen het referentiejaar vallen waarvoor de bevoegde autoriteit de raming heeft gevraagd, samen te voegen. De financiële entiteit kan kiezen of het referentiejaar dient overeen te stemmen met hetzij het voltooide kalenderjaar, hetzij het voltooide boekjaar waarvoor de financiële entiteit haar jaarrekening heeft afgesloten. Zodra een financiële entiteit heeft besloten of zij de raming zal verstrekken op basis van het kalenderjaar dan wel het boekjaar, dient dit besluit te worden toegepast op toekomstige ramingen van de geaggregeerde jaarlijkse kosten en verliezen. De financiële entiteit kan dat besluit wijzigen door de bevoegde autoriteit daarvan in kennis te stellen, mits de bevoegde autoriteit niet binnen twee maanden na ontvangst van de kennisgeving bezwaar maakt. Financiële entiteiten mogen geen kosten en verliezen opnemen in verband met incidenten die vóór of na dat referentiejaar plaatsvinden.

Financiële entiteiten moeten in de raming alle ICT-gerelateerde incidenten opnemen die, ongeacht de reden, als ernstig zijn geclassificeerd overeenkomstig Gedelegeerde Verordening [OJ L, 2024/1772, 25.6.2024]⁵ van de Commissie betreffende de classificatie van incidenten, en

• (a) waarvoor de financiële entiteit overeenkomstig artikel 19, lid 4, punt c), van Verordening (EU) 2022/2554 in het desbetreffende referentiejaar een eindverslag heeft ingediend, of
• (b) elk incident waarvoor de financiële entiteit in voorgaande referentiejaren overeenkomstig artikel 19, lid 4, punt c), van Verordening (EU) 2022/2554 een eindverslag heeft ingediend dat een kwantificeerbare financiële impact had op de financiële entiteit in het desbetreffende referentiejaar.

⁵ Gedelegeerde Verordening (EU) 2024/1772 van de Commissie van 13 maart 2024 tot aanvulling van Verordening (EU) 2022/2554 van het Europees Parlement en de Raad met betrekking tot technische reguleringsnormen tot nadere bepaling van de criteria voor de classificatie van ICT-gerelateerde incidenten en cyberdreigingen, tot vaststelling van materialiteitsdrempels en tot bepaling van de nadere informatie van verslagen over ernstige incidenten, [ OJ L, 2024/1772, 25.6.2024, ELI: http://data.europa.eu/eli/reg_del/2024/1772/oj ]

Financiële entiteiten dienen de geaggregeerde jaarlijkse kosten en verliezen te ramen door de volgende sequentiële stappen toe te passen:

• (a) afzonderlijke raming van de kosten en verliezen van elk ernstig ICT-gerelateerd incident als bedoeld in punt 6. Die ramingen dienen de brutokosten en -verliezen op te leveren, rekening houdend met de soorten kosten en verliezen als bedoeld in artikel 7, leden 1 en 2, van Gedelegeerde Verordening [OJ L, 2024/1772, 25.6.2024] van de Commissie;
• (b) voor elk ernstig ICT-gerelateerd incident moeten financiële entiteiten ook een raming maken van de financiële terugvorderingen zoals gespecificeerd in bijlage II bij Uitvoeringsverordening [OJ L, 2025/302, 20.2.2025]⁶ van de Commissie;
• (c) financiële entiteiten dienen de brutokosten en verliezen en de financiële terugvorderingen bij ernstige ICT-gerelateerde incidenten samen te voegen.

⁶ Uitvoeringsverordening (EU) 2025/302 van de Commissie van 23 oktober 2024 tot vaststelling van technische uitvoeringsnormen voor de toepassing van Verordening (EU) 2022/2554 van het Europees Parlement en de Raad met betrekking tot de door financiële entiteiten te gebruiken standaardformulieren en modellen en te volgen procedures voor de rapportage van een ernstig ICT-gerelateerd incident en voor de kennisgeving van een significante cyberdreiging, [ OJ L, 2025/302, 20.2.2025, ELI: http://data.europa.eu/eli/reg_impl/2025/302/oj ]

Als basis voor de ramingen dienen financiële entiteiten te verwijzen naar de kosten, verliezen en financiële terugvorderingen die zijn weergegeven in hun financiële overzichten zoals de winst- en verliesrekening, of indien van toepassing in hun toezichtrapportage, van het relevante referentiejaar. In hun raming dienen financiële entiteiten ook rekening te houden met boekhoudkundige voorzieningen die tot uitdrukking komen in hun financiële overzichten, zoals de winst- en verliesrekening van het betreffende referentiejaar. Als er geen nauwkeurige gegevens beschikbaar zijn, dienen financiële entiteiten hun raming zoveel mogelijk te baseren op andere beschikbare gegevens en informatie.

Financiële entiteiten dienen aanpassingen van de kosten en verliezen van een raming die zij voor een eerder jaar hebben ingediend op te nemen in de raming van het desbetreffende referentiejaar waarin de aanpassingen worden gedaan.

Financiële entiteiten dienen in het verslag van hun raming van de geaggregeerde jaarlijkse kosten en verliezen ook de uitsplitsing van brutokosten en verliezen en van financiële terugvorderingen op te nemen voor elk belangrijk ICT-gerelateerd incident dat in de samenvoeging is opgenomen.

Financiële entiteiten dienen de template in de bijlage te gebruiken om de raming van hun geaggregeerde jaarlijkse kosten en verliezen voor het referentiejaar bij de bevoegde autoriteit in te dienen. Voor elk item onder de punten 6 en 9 dat is opgenomen in de raming van het referentiejaar, dienen financiële entiteiten dezelfde door de financiële entiteit verstrekte referentiecodes voor incidenten te gebruiken als die welke zijn gebruikt in het eindverslag overeenkomstig artikel 19, lid 4, punt c), van Verordening (EU) 2022/2554.