Avdelning III – Regler för uppskattningen av totala årliga kostnader och förluster orsakade av allvarliga IKT-relaterade incidenter

Finansiella entiteter bör uppskatta de totala årliga kostnader och förluster som orsakas av allvarliga IKT-relaterade incidenter genom att aggregera de kostnader och förluster för allvarliga IKT-relaterade incidenter som bokförts under det referensår för vilket den behöriga myndigheten begärt uppskattningen. Den finansiella entiteten kan välja om referensåret ska motsvara det avslutade kalenderåret eller det avslutade räkenskapsåret för vilket den finansiella entiteten har färdigställt sina räkenskaper. När en finansiell entitet har beslutat huruvida den ska tillhandahålla uppskattningen baserat på kalenderåret eller räkenskapsåret bör det valda alternativet tillämpas även på framtida uppskattningar av totala årliga kostnader och förluster. Under förutsättning att den finansiella entiteten underrättar den behöriga myndigheten och att myndigheten inte gör några invändningar inom två månader efter mottagandet av underrättelsen har den finansiella entiteten möjlighet att ändra den typ av referensår som ska tillämpas. Finansiella entiteter bör inte inkludera kostnader och förluster orsakade av incidenter som infaller före eller efter det valda referensåret.

I uppskattningen bör de finansiella entiteterna inkludera alla IKT-relaterade incidenter som, oavsett orsak, klassificerades som allvarliga i enlighet med kommissionens delegerade förordning [OJ L, 2024/1772, 25.6.2024]⁵ om incidentklassificering och

• (a) för vilka den finansiella entiteten har lämnat in en slutrapport i enlighet med artikel 19.4 c i förordning (EU) 2022/2554 under det relevanta referensåret, eller
• (b) alla incidenter för vilka den finansiella entiteten under tidigare referensår har lämnat in en slutrapport i enlighet med artikel 19.4 c i förordning (EU) 2022/2554 och som hade en kvantifierbar ekonomisk inverkan på den finansiella entiteten under det relevanta referensåret.

⁵ Kommissionens delegerade förordning (EU) 2024/1772 av den 13 mars 2024 om komplettering av Europaparlamentets och rådets förordning (EU) 2022/2554 vad gäller tekniska standarder för tillsyn som specificerar kriterierna för klassificering av IKT-relaterade incidenter och cyberhot, fastställande av väsentlighetströsklar och närmare uppgifter om rapporter om allvarliga incidenter, [ OJ L, 2024/1772, 25.6.2024, ELI: http://data.europa.eu/eli/reg_del/2024/1772/oj ]

Finansiella entiteter bör uppskatta de totala årliga kostnaderna och förlusterna genom att tillämpa dessa på varandra efterföljande steg:

• (a) Uppskatta kostnaderna och förlusterna för varje enskild allvarlig IKT-relaterad incident i enlighet med punkt 6. Dessa uppskattningar bör resultera i bruttokostnader och förluster med beaktande av de typer av kostnader och förluster som anges i artikel 7.1 och 7.2 i kommissionens delegerade förordning [OJ L, 2024/1772, 25.6.2024].
• (b) För varje allvarlig IKT-relaterad incident bör de finansiella entiteterna också uppskatta återbetalningarnas storlek i enlighet med bilaga II till kommissionens genomförandeförordning [OJ L, 2025/302, 20.2.2025]⁶ .
• (c) De finansiella entiteterna bör aggregera bruttokostnaderna, förlusterna och de återbetalningar som härrör från allvarliga IKT-relaterade incidenter.

⁶ Kommissionens genomförandeförordning (EU) 2025/302 av den 23 oktober 2024 om fastställande av tekniska genomförandestandarder för tillämpningen av Europaparlamentets och rådets förordning (EU) 2022/2554 vad gäller standardformulär, mallar och förfaranden för att finansiella entiteter ska kunna rapportera allvarliga IKT-relaterade incidenter och anmäla betydande cyberhot, [ OJ L, 2025/302, 20.2.2025, ELI: http://data.europa.eu/eli/reg_impl/2025/302/oj ]

Som grund för uppskattningarna bör de finansiella entiteterna använda de kostnader, förluster och återbetalningar som anges i deras redovisning, exempelvis i resultaträkningen, eller i tillämpliga fall i deras tillsynsrapportering, för det relevanta referensåret. I uppskattningarna bör de finansiella entiteterna även ta hänsyn till de bokföringsmässiga avsättningar som förekommer i redovisningen för det relevanta referensåret, exempelvis i resultaträkningen. Om det saknas tillförlitliga uppgifter bör de finansiella entiteterna i den mån det är möjligt basera sin uppskattning på andra tillgängliga uppgifter.

Finansiella entiteter bör inkludera justeringar av kostnader och förluster för uppskattningar som de har lämnat in för ett tidigare år i uppskattningen av det relevanta referensår under vilket justeringarna görs.

I rapporten med uppskattningen av de totala årliga kostnaderna och förlusterna bör de finansiella entiteterna även ange hur bruttokostnader, förluster och återbetalningar fördelas per allvarlig IKT-relaterad incident som ingår i de aggregerade uppgifterna.

För att lämna in uppskattningen av de totala årliga kostnaderna och förlusterna för referensåret till den behöriga myndigheten bör finansiella entiteter använda mallen i bilagan. För varje post under punkterna 6 och 9 som ingår i uppskattningen för referensåret bör den finansiella entiteten använda samma incidensreferenskoder som de som används i slutrapporten i enlighet med artikel 19.4 c i förordning (EU) 2022/2554.