Titlul III - Dispoziții privind estimarea costurilor și pierderilor anuale agregate aferente incidentelor majore legate de TIC

Entitățile financiare trebuie să estimeze costurile și pierderile anuale agregate aferente incidentelor majore legate de TIC prin agregarea costurilor și pierderilor determinate de incidentele majore legate de TIC care se încadrează în anul de referință pe ntru care autoritatea competentă a solicitat estimarea. Entitatea financiară poate alege dacă anul de referință trebuie să corespundă anului calendaristic încheiat sau exercițiului financiar încheiat al entității financiare pentru care aceasta și - a finalizat situațiile financiare. După ce o entitate financiară a decis dacă va furniza estimarea pe baza anului calendaristic sau a exercițiului financiar, decizia respectivă se va aplica estimărilor viitoare ale costurilor și pierderilor anuale agregate. Entitatea financiară poate modifica decizia respectivă prin notificarea autorității competente și cu condiția ca autoritatea competentă să nu se opună în termen de două luni de la primirea notificării. Entitățile financiare nu trebuie să includă costurile și pierderile legate de incidentele care survin înainte sau după anul de referință respectiv.

Entitățile financiare trebuie să includă în estimare toate incidentele legate de TIC care, indiferent de motiv, au fost clasificate ca fiind majore în conformitate cu Regulamentul delegat al Comisiei [ OJ L, 2024/1772, 25.6.2024 ]⁵ privind clasificarea incidentelor și

• (a) pentru care entitatea financiară a prezentat un raport final în conformitate cu articolul 19 alineatul (4) litera (c) din Regulamentul (UE) 2022/2554 în anul de referință relevant; sau
• (b) orice incident pentru care, în anii de referință anteriori, entitatea financiară a depus un raport final în conformitate cu articolul 19 alineatul (4) litera (c) din Regulamentul (UE) 2022/2554, care a avut un impact financiar cuantificabil asupra entității financiare în anul de referință relevant.

⁵ Regulamentul delegat (UE) 2024/1772 al Comisiei din 13 martie 2024 de completare a Regulamentului (UE) 2022/2554 al Parlamentului European și al Consiliului în ceea ce privește standardele tehnice de reglementare care precizează criteriile d e clasificare a incidentelor legate de TIC și a amenințărilor cibernetice, stabilesc pragurile de semnificație și detaliile rapoartelor privind incidentele majore , [ OJ L, 2024/1772, 25.6.2024, ELI: http://data.europa.eu/eli/reg_del/2024/1772/oj ]

Entitățile financiare trebuie să estimeze costurile și pierderile anuale agregate aplicând următoarele etape secvențiale:

• (a) estimarea costurilor și pierderilor aferente fiecărui incident major legat de TIC, așa cum se menționează la punctul 6, în mod individual. Aceste estimări trebuie să producă costurile și pierderile brute luând în considerare tipurile de costuri și pierderi prevăzute la articolul 7 alineatele (1) și (2) din Regulamentul delegat al Comisiei [ OJ L, 2024/1772, 25.6.2024 ] ;
• (b) pentru fiecare incident major legat de TIC, entitățile financiare trebuie să estimeze și recuperările financiare, așa cum sunt specificate în anexa II la Regulamentul de punere în aplicare al Comisiei [ OJ L, 2025/302, 20.2.2025 ]⁶ ;
• (c) entitățile financiare trebuie să procedeze la agregarea costurilor și pierderilor brute și a recuperărilor financiare aferente incidentelor majore legate de TIC.

⁶ Regulamentul de punere în aplicare (UE) 2025/302 al Comisiei din 23 octombrie 2024 de stabilire a standardelor tehnice de punere în aplicare pentru aplicarea Regulamentului (UE) 2022/2554 al Parlamentului European și al Consiliului în ceea ce privește formularele, modelele și procedurile standard pentru raportarea de către entitățile financiare a unui incident major legat de TIC și notificarea de către acestea a unei amenințări cibernetice semnificative, [ OJ L, 2025/302, 20.2.2025, ELI: http://data.europa.eu/eli/reg_impl/2025/302/oj ]

Ca bază pentru estimări, entitățile financiare trebuie să se refere la costurile, pierderile și recuperările financiare care sunt reflectate în situațiile lor financiare, de exemplu contul de profit și pierdere, sau, după caz, în raportările lor în scopuri de supraveghere, pentru anul de referință relevant. În estimarea lor, entitățile financiare trebuie să includă, de asemenea, provizioane contabile care se reflectă în situațiile lor financiare, de exemplu contul de profit și pierdere pentru anul de referință relevant. În cazul în care nu sunt disponibile date exacte, entitățile financiare trebuie să - și construiască estimarea pe alte date și informații disponibile, în măsura în care acest lucru este posibil.

Entitățile financiare trebuie să includă ajustările costurilor și pierderilor aferente unei estimări prezentate pentru un an anterior în estimarea anului de referință relevant în care sunt efectuate ajustările.

În raportul privind estimarea costurilor și pierderilor anuale agregate, entitățile financiare trebuie să includă și defalcarea costurilor și pierderilor brute și a recuperărilor financiare pentru fiecare incident major legat de TIC care a fost inclus în agregare.

Entitățile financiare trebuie să utilizeze formularul din anexă pentru a transmite autorității competente estimarea costurilor și pierderilor lor anuale agregate pentru anul de referință. Pentru fiecare element prevăzut la punctele 6 și 9 care este inclus în estimarea aferentă anului de referință, entitățile financiare trebuie să utilizeze aceleași coduri de referință pentru incidente furnizate de entitatea financiară ca cele utilizate în raportul final conform articolului 19 alineatul (4) litera (c) din Regulamentul (UE) 2022/2554.