Título III - Disposições relativas à estimativa dos custos e perdas anuais agregados de incidentes de caráter severo relacionados com as TIC

As entidades financeiras devem estimar os custos e perdas anuais agregados dos incidentes de caráter severo relacionados com as TIC registados durante o ano de referência para o qual a autoridade competente solicitou a estimativa. A entidade financeira pode escolher se o ano de referência deve corresponder ao ano civil completo ou ao exercício contabilístico completo da entidade financeira relativamente à qual a entidade financeira tenha finalizado as suas demonstrações financeiras. Uma vez que uma entidade financeira tenha decidido se irá fornecer a estimativa com base no ano civil ou no seu ano contabilístico, tal decisão deve ser aplicada a futuras estimativas de custos e perdas anuais agregados. A entidade financeira pode alterar essa decisão notificando a autoridade competente e desde que a autoridade competente não formule objeções no prazo de dois meses a contar da receção da notificação. As entidades financeiras não devem incluir custos e perdas relacionados com os incidentes registados antes ou depois desse ano de referência.

As entidades financeiras devem incluir na estimativa todos os incidentes relacionados com as TIC que, independentemente do motivo, tenham sido classificados como de caráter severo em conformidade com o Regulamento Delegado da Comissão [OJ L, 2024/1772, 25.6.2024]⁵ relativo à classificação de incidentes e

• (a) para o qual a entidade financeira tenha submetido um relatório final em conformidade com a alínea c) do n.º 4 do artigo 19.º do Regulamento (UE) 2022/2554 no ano de referência relevante, ou
• (b) qualquer incidente relativamente ao qual a entidade financeira tenha submetido, em anos de referência anteriores, um relatório final em conformidade com a alínea c) do n.º 4 do artigo 19.º do Regulamento (UE) 2022/2554 que tenha tido um impacto financeiro quantificável na entidade financeira no ano de referência relevante.

⁵ Regulamento Delegado (UE) 2024/1772 da Comissão, de 13 de março de 2024, que complementa o Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho no que respeita às normas técnicas de regulamentação que especificam os critérios de classificação dos incidentes relacionados com as TIC e das ciberameaças, estabelecem limiares de materialidade e especificam os pormenores das notificações dos incidentes de caráter severo, [ OJ L, 2024/1772, 25.6.2024, ELI: http://data.europa.eu/eli/reg_del/2024/1772/oj ]

As entidades financeiras devem estimar os custos e perdas anuais agregados de acordo com as seguintes etapas sequenciais:

• (a) estimar individualmente os custos e as perdas de cada incidente de caráter severo relacionado com as TIC a que se refere o n.º 6. Essas estimativas devem produzir os custos e perdas brutos, tendo em conta os tipos de custos e perdas estabelecidos nos n.ºs 1 e 2 do artigo 7.º do Regulamento Delegado da Comissão [OJ L, 2024/1772, 25.6.2024];
• (b) para cada incidente de caráter severo relacionado com as TIC, as entidades financeiras devem também estimar as recuperações financeiras, tal como especificado no anexo II do Regulamento de Execução da Comissão [OJ L, 2025/302, 20.2.2025]⁶ ;
• (c) as entidades financeiras devem agregar os custos e perdas brutos e as recuperações financeiras dos incidentes de caráter severo relacionados com as TIC.

⁶ Regulamento de Execução (UE) 2025/302 da Comissão, de 23 de outubro de 2024, que estabelece normas técnicas de execução para a aplicação do Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho no que respeita aos formulários, modelos e procedimentos normalizados que as entidades financeiras devem utilizar para comunicar incidentes de caráter severo relacionados com as TIC e notificar uma ciberameaça significativa, [ OJ L, 2025/302, 20.2.2025, ELI: http://data.europa.eu/eli/reg_impl/2025/302/oj ]

Como base para as estimativas, as entidades financeiras devem referir-se aos custos, perdas e recuperações financeiras refletidos nas suas demonstrações financeiras, tais como a Demonstração de Resultados, ou, quando aplicável, nos seus relatórios de supervisão, do ano de referência relevante. Na sua estimativa, as entidades financeiras devem também incluir as provisões contabilísticas que se refletem nas suas demonstrações financeiras, tais como a Demonstração de Resultados do ano de referência relevante. Quando não houver dados precisos disponíveis as entidades financeiras devem, na medida do possível, basear a sua estimativa noutros dados e informações disponíveis.

As entidades financeiras devem incluir ajustamentos nos custos e perdas de uma estimativa submetida para um ano anterior na estimativa do ano de referência relevante em que os ajustamentos são realizados .

As entidades financeiras devem incluir no relatório da sua estimativa dos custos e perdas anuais agregados também a discriminação dos custos e perdas brutos e das recuperações financeiras para cada incidente de caráter severo relacionado com as TIC que foi incluído na agregação.

As entidades financeiras devem utilizar o modelo em anexo para submeter à autoridade competente a estimativa dos seus custos e perdas anuais agregados para o ano de referência. Para cada elemento, referido nos parágrafos 6 e 9, incluído na estimativa do ano de referência, as entidades financeiras devem utilizar os mesmos códigos de referência de incidentes fornecidos pela entidade financeira no relatório final em conformidade com a alínea c) do n.º 4 do artigo 19.º do Regulamento (UE) 2022/2554.