Tytuł III – Przepisy dotyczące oszacowania zagregowanych rocznych kosztów i strat wynikających z poważnych incydentów związanych z ICT

Podmioty finansowe powinny oszacować zagregowane roczne koszty i straty wynikające z poważnych incydentów związanych z ICT poprzez zagregowanie kosztów i strat poważnych incydentów związanych z ICT, które wystąpiły w trakcie roku referencyjnego, w odniesieniu do którego właściwy organ zwrócił się o oszacowanie. Podmiot finansowy może wybrać, czy rok referencyjny powinien odpowiadać zakończonemu rokowi kalendarzowemu, czy też zakończonemu rokowi obrachunkowemu podmiotu finansowego, za który podmiot finansowy złożył sprawozdanie finansowe. Po podjęciu przez podmiot finansowy decyzji, czy oszacowanie będzie oparte na roku kalendarzowym, czy roku obrachunkowym, decyzję tę należy zastosować do przyszłych oszacowań łącznych rocznych kosztów i strat. Podmiot finansowy może zmienić tę decyzję, powiadamiając o tym właściwy organ, oraz pod warunkiem, że właściwy organ nie zgłosi sprzeciwu w terminie dwóch miesięcy od otrzymania powiadomienia. Podmioty finansowe nie powinny uwzględniać kosztów i strat związanych z tymi incydentami, które wystąpiły przed tym rokiem referencyjnym lub po jego zakończeniu.

Podmioty finansowe powinny uwzględnić w oszacowaniu wszystkie incydenty związane z ICT, które

• – niezależnie od przyczyny – zostały sklasyfikowane jako poważne zgodnie z rozporządzeniem delegowanym Komisji [ OJ L, 2024/1772, 25.6.2024 ]⁵ w sprawie klasyfikacji incydentów oraz
• (a) w odniesieniu do któr ych podmiot finansowy złożył sprawozdanie końcowe zgodnie z art. 19 ust. 4 lit. c) rozporządzenia (UE) 2022/2554 w danym roku referencyjnym, lub
• (b) wszelkie incydenty, w odniesieniu do których podmiot finansowy złożył w poprzednich latach referencyjnych sprawozdanie końcowe zgodnie z art. 19 ust. 4 lit. c) rozporządzenia (UE) 2022/2554 , które miały wymierne skutki finansowe dla podmiotu finansowego w danym roku referencyjnym.

⁵ Rozporządzenie delegowane Komisji (UE) 2024/1772 z dnia 13 marca 2024 r. uzupełniające rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 w odniesieniu do regulacyjnych standardów technicznych określających kryteria klasyfikacji incydentów związanych z ICT i cyberzagrożeń, progi istotności i szczegółowe informacje dotyczące zgłaszania poważnych incydentów . [ OJ L, 2024/1772, 25.6.2024, ELI: http://data.europa.eu/eli/reg_del/2024/1772/oj ]

Podmioty finansowe powinny oszacować zagregowane roczne koszty i straty, stosując następujące kroki w podanej kolejności:

• (a) osobno oszacować koszty i straty dla każdego poważnego incydentu związanego z ICT, o którym mowa w pkt 6. Oszacowanie powinno pokazać koszty i straty brutto, z uwzględnieniem rodzajów kosztów i strat, które określono w art. 7 ust. 1 i 2 rozporządzenia delegowanego Komisji [ OJ L, 2024/1772, 25.6.2024 ];
• (b) dla każdego poważnego incydentu związanego z ICT podmioty finansowe powinny również oszacować kwoty odzyskane, jak określono w załączniku II do rozporządzenia wykonawczego Komisji [ OJ L, 2025/302, 20.2.202 5]⁶ ;
• (c) podmioty finansowe powinny zagregować koszty i straty brutto oraz kwoty odzyskane w odniesieniu do poważnych incydentów związanych z ICT.

⁶ Rozporządzenie wykonawcze Komisji (UE) 2025/302 z dnia 23 października 2024 r. ustanawiające wykonawcze standardy techniczne do celów stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2022/2554 w odniesieniu do standardowych formularzy, wzorów i procedur stosowanych przez podmioty finansowe do celów zgłaszania poważnych incydentów związanych z ICT i powiadamiania o znaczących cyberzagrożeniach . [ OJ L, 2025/302, 20.2.2025, ELI: http://data.europa.eu/eli/reg_impl/2025/302/oj ]

Jako podstawę oszacowania podmioty finansowe powinny odnosić się do kosztów , strat i kwot odzyskanych , które są ujęte w ich sprawozdaniach finansowych, taki ch jak rachunek zysków i strat, lub, w stosownych przypadkach, w ich sprawozdawczości do celów nadzoru, za dany rok referencyjny. W swoich oszacowaniach podmioty finansowe powinny również uwzględnić rezerwy księgowe, które zostały ujęte w ich sprawozdaniach finansowych, takich jak rachunek zysków i strat za dany rok referencyjny. W przypadku gdy dokładne dane nie są dostępne, podmioty finansowe powinny, w miarę możliwości, opierać swoje oszacowania na innych dostępnych danych i informacjach.

Podmioty finansowe powinny uwzględnić k orektę oszacowania kosztów i strat przekazanych za poprzedni rok w oszacowaniu kosztów i strat dotyczących tego odpowiedniego roku referencyjnego, w którym dokonano korekty.

W sprawozdaniu zawierającym oszacowanie zagregowanych rocznych kosztów i strat podmioty finansowe powinny również zawrzeć podział kosztów i strat brutto oraz kwot odzyskanych na każd y poważn y incydent związan y z ICT, któr y uwzględniono w zagregowanych danych.

Przy przekazywaniu właściwemu organowi oszacowania zagregowanych rocznych kosztów i strat w odniesieniu do roku referencyjnego, podmioty finansowe powinny korzystać ze wzoru formularza zawartego w załączniku. W odniesieniu do każdej pozycji, o której mowa w pkt 6 i 9 i którą uwzględniono w oszacowaniu dla roku referencyjnego, podmioty finansowe powinny stosować te same kody referencyjne dotyczące incydentów podane przez podmiot finansowy, co kody użyte w sprawozdaniu końcowym, zgodnie z art. 19 ust. 4 lit. c) rozporządzenia (UE) 2022/2554.