Articolul 4
Art. 4 din INSTRUCȚIUNE nr. 1 din 28 mai 2026 privind modalitatea de estimare a costurilor și a pierderilor anuale agregate cauzate de incidentele majore legate de tehnologia informației și a comunicațiilor de către entitățile reglementate și supravegheate de Autoritatea de Supraveghere Financiară
(1) Entitățile includ în estimarea anuală a costurilor și a pierderilor toate incidentele legate de TIC care, indiferent de motiv, au fost clasificate ca fiind majore în conformitate cu Regulamentul delegat (UE) 2024/1.772 al Comisiei din 13 martie 2024 de completare a Regulamentului (UE) 2022/2.554 al Parlamentului European și al Consiliului în ceea ce privește standardele tehnice de reglementare care precizează criteriile de clasificare a incidentelor legate de TIC și a amenințărilor cibernetice, stabilesc pragurile de semnificație și detaliile rapoartelor privind incidentele majore, denumit în continuare Regulamentul delegat (UE) 2024/1.772, și:
a) pentru care entitatea a prezentat un raport final în conformitate cu art. 19 alin. (4) lit. c) din Regulamentul DORA în anul de referință; sau
b) incidentele pentru care, în anii de referință anteriori, entitatea a depus un raport final în conformitate cu art. 19 alin. (4) lit. c) din Regulamentul DORA și care au avut un impact economic asupra entității în anul de referință.
(2) Pentru estimarea costurilor și pierderilor anuale agregate, entitățile aplică următoarele etape secvențiale:
a) estimarea costurilor și pierderilor aferente fiecărui incident major legat de TIC, conform prevederilor alin. (1) , în mod individual; aceste estimări au drept rezultat costurile și pierderile brute luând în considerare tipurile de costuri și pierderi prevăzute la art. 7 alin. (1) și (2) din Regulamentul delegat (UE) 2024/1.772;
b) pentru fiecare incident major legat de TIC, entitățile estimează și recuperările financiare, așa cum sunt specificate în anexa II la Regulamentul de punere în aplicare (UE) 2025/302 al Comisiei din 23 octombrie 2024 de stabilire a standardelor tehnice de punere în aplicare pentru aplicarea Regulamentului (UE) 2022/2.554 al Parlamentului European și al Consiliului în ceea ce privește formularele, modelele și procedurile standard pentru raportarea de către entități a unui incident major legat de TIC și notificarea de către acestea a unei amenințări cibernetice semnificative;
c) entitățile agregă costurile și pierderile brute, precum și recuperările financiare aferente incidentelor majore legate de TIC.
(3) În scopul estimării costurilor și pierderilor anuale agregate, entitățile utilizează ca bază de estimare costurile, pierderile și recuperările financiare care sunt reflectate în situațiile financiare, cum ar fi contul de profit și pierdere sau, după caz, în raportările în scopuri de supraveghere, pentru anul de referință.
(4) În estimarea costurilor și pierderilor anuale agregate, entitatea include, de asemenea, și provizioanele aferente care sunt reflectate în situațiile financiare, cum ar fi cele din contul de profit și pierdere pentru anul de referință; în cazul în care nu sunt disponibile date exacte, entitatea își fundamentează estimarea pe alte date și informații disponibile, în măsura în care acest lucru este posibil.
(5) Entitățile includ ajustările costurilor și pierderilor aferente unei estimări prezentate pentru un an anterior în estimarea anului de referință în care sunt efectuate ajustările.