Hlava III – Ustanovenia o odhade súhrnných ročných nákladov a strát spôsobených závažnými incidentmi súvisiacimi s IKT

Finančné subjekty by mali odhadnúť súhrnné ročné náklady a straty spôsobené závažnými incidentmi súvisiacimi s IKT prostredníctvom súhrnu nákladov a strát spôsobených závažnými incidentmi súvisiacimi s IKT patriacimi do referenčného roka, za ktorý príslušný orgán požiadal

• o odhad. Finančný subjekt si môže vybrať, či by referenčný rok mal zodpovedať buď ukončenému kalendárnemu roku, alebo ukončenému účtovnému roku finančného subjektu, za ktorý finančný subjekt sfinalizoval svoju účtovnú závierku. Keď sa finančný subjekt rozhodne, či poskytne odhad na základe kalendárneho roka alebo svojho účtovného roka, takéto rozhodnutie by sa malo uplatňovať na budúce odhady súhrnných ročných nákladov a strát. Finančný subjekt môže toto rozhodnutie zmeniť tak, že to oznámi príslušnému orgánu, a za predpokladu, že príslušný orgán nevznesie do dvoch mesiacov od prijatia oznámenia námietku. Finančné subjekty by nemali zahŕňať náklady a straty súvisiace s incidentmi, ktoré nastanú pred týmto referenčným rokom alebo po ňom.

Finančné subjekty by mali do odhadu zahrnúť všetky incidenty súvisiace s IKT, ktoré boli bez ohľadu na dôvod klasifikované ako závažné v súlade s delegovaným nariadením Komisie [ OJ L, 2024/1772, 25.6.2024 ]⁵ o klasifikácii incidentov a

• (a) pre ktorý finančný subjekt predložil záverečnú správu v súlade s článkom 19 ods. 4 písm. c) nariadenia (EÚ) 2022/2554 v príslušnom referenčnom roku, alebo
• (b) akýkoľvek incident, pri ktorom finančný subjekt predložil v predchádzajúcich referenčných rokoch záverečnú správu v súlade s článkom 19 ods. 4 písm. c) nariadenia (EÚ) 2022/2554, ktorý mal kvantifikovateľný finančný vplyv na finančný subjekt v príslušnom referenčnom roku.

⁵ Delegované nariadenie Komisie (EÚ) 2024/1772 z 13. marca 2024, ktorým sa dopĺňa nariadenie Európskeho parlamentu a Rady (EÚ) 2022/2554, pokiaľ ide o regulačné technické predpisy, v ktorých sa bližšie určujú klasifikačné kritériá incidentov súvisiacich s IKT a kybernetických hrozieb, stanovujú prahové hodnoty významnosti a spresňujú podrobnosti správ o závažných incidentoch , [ OJ L, 2024/1772, 25.6.2024, ELI: http://data.europa.eu/eli/reg_del/2024/1772/oj ]

Finančné subjekty by mali odhadnúť súhrnné ročné náklady a straty uplatnením týchto postupných krokov:

• (a) jednotlivo odhadnúť náklady a straty každého závažného incidentu súvisiaceho s IKT, ako sa uvádza v odseku 6. Tieto odhady by mali viesť k hrubým nákladom a stratám s prihliadnutím na druhy nákladov a strát, ako sa uvádza v článku 7 ods. 1 a 2 delegovaného nariadenia Komisie [ OJ L, 2024/1772, 25.6.2024 ],
• (b) pre každý veľký incident súvisiaci s IKT by finančné subjekty mali odhadnúť aj spätne získané finančné prostriedky, ako sa uvádza v prílohe II k vykonávaciemu nariadeniu Komisie [OJ L, 2025/302, 20.2.2025]⁶ ,
• (c) finančné subjekty by mali urobiť súhrn hrubých nákladov a strát a spätne získaných finančných prostriedkov v rámci závažných incidentov súvisiacich s IKT.

⁶ Vykonávacie nariadenie Komisie (EÚ) 2025/302 z 23. októbra 2024, ktorým sa stanovujú vykonávacie technické predpisy na uplatňovanie nariadenia Európskeho parlamentu a Rady (EÚ) 2022/2554, pokiaľ ide o štandardné formuláre, vzory a postupy pre finančné subjekty na nahlasovanie závažných incidentov súvisiacich s IKT a na oznamovanie významných kybernetických hrozieb , [ OJ L, 2024/1772, 25.6.2024, ELI: [ OJ L, 2025/302, 20.2.2025, ELI: http://data.europa.eu/eli/reg_impl/2025/302/oj ]

Ako základ pre odhady by finančné subjekty mali vychádzať z nákladov, strát a spätne získaných finančných prostriedkov, ktoré sú zohľadnené v ich finančných výkazoch, napríklad vo výkaze ziskov a strát, alebo prípadne vo svojom vykazovaní na účely dohľadu za príslušný referenčný rok. Finančné subjekty by vo svojom odhade mali zahrnúť aj účtovné rezervy, ktoré sú zohľadnené v ich finančných výkazoch, napríklad výkaz ziskov a strát za príslušný referenčný rok. Ak nie sú k dispozícii presné údaje, finančné subjekty by mali v čo najväčšej možnej miere založiť svoj odhad na iných dostupných údajoch a informáciách.

Finančné subjekty by mali zahrnúť úpravy nákladov a strát odhadu, ktorý predložili za predchádzajúci rok, do odhadu príslušného referenčného roka, v ktorom sa úpravy vykonali.

Finančné subjekty by mali do správy o svojom odhade súhrnných ročných nákladov a strát zahrnúť aj rozpis hrubých nákladov a strát a spätne získaných finančných prostriedkov za každý významný incident súvisiaci s IKT, ktorý bol zahrnutý do súhrnu.

Finančné subjekty by mali použiť vzor uvedený v prílohe a predložiť príslušnému orgánu odhad svojich súhrnných ročných nákladov a strát za referenčný rok. Pre každú položku podľa odseku 6 a 9, ktorá je zahrnutá do odhadu referenčného roka, by finančné subjekty mali používať rovnaké referenčné kódy incidentov, ktoré poskytol finančný subjekt, ako sú kódy použité v záverečnej správe v súlade s článkom 19 ods. 4 písm. c) nariadenia (EÚ) 2022/255 4.