Instrucțiunile nr. 1/2026

Prezenta instrucțiune stabilește modalitatea de estimare a costurilor și a pierderilor anuale agregate ale entităților, cauzate de incidentele majore legate de tehnologia informației și a comunicațiilor, denumită în continuare TIC, în aplicarea prevederilor art. 11 alin. (10) din Regulamentul (UE) 2022/2.554 privind reziliența operațională digitală a sectorului financiar și de modificare a Regulamentelor (CE) nr. 1.060/2009, (UE) nr. 648/2012, (UE) nr. 600/2014, (UE) nr. 909/2014 și (UE) 2016/1.011, denumit în continuare Regulamentul DORA.

Prevederile prezentei instrucțiuni se aplică de către entitățile menționate la

art. 2 alin. (1) lit. e )- q) din Ordonanța de urgență a Guvernului nr. 14/2026

privind stabilirea unor măsuri de punere în aplicare a Regulamentului (UE) 2022/2.554 al Parlamentului European și al Consiliului din 14 decembrie 2022 privind reziliența operațională digitală a sectorului financiar și de modificare a Regulamentelor (CE) nr. 1.060/2009, (UE) nr. 648/2012, (UE) nr. 600/2014, (UE) nr. 909/2014 și (UE) 2016/1.011, denumită în continuare

O.U.G. nr. 14/2026 , și de către Autoritatea de Supraveghere Financiară, denumită în continuare A.S.F.

Termenii, abrevierile și expresiile utilizate în prezenta instrucțiune au semnificațiile prevăzute în Regulamentul DORA și în

O.U.G. nr. 14/2026 .

De asemenea, în înțelesul prezentei instrucțiuni, expresiile de mai jos au următoarele semnificații:

a)

an de referință - exercițiul financiar încheiat al entității pentru care A.S.F. solicită estimarea costurilor și a pierderilor;

b)

entități - instituțiile financiare reglementate și supravegheate de A.S.F., prevăzute la

art. 2 alin. (1) lit. e)-q) din O.U.G. nr. 14/2026 .

Entitățile sunt obligate să estimeze costurile și pierderile anuale agregate aferente incidentelor majore legate de TIC.

La solicitarea A.S.F., entitățile raportează o estimare a costurilor și a pierderilor anuale agregate cauzate de incidente majore legate de TIC, încadrate în anul de referință pentru care A.S.F. a solicitat estimarea.

În estimarea costurilor și pierderilor menționate la

alin. (1) , entitățile nu includ costurile și pierderile legate de incidentele care survin înainte sau după anul de referință respectiv.

Entitățile includ în estimarea anuală a costurilor și a pierderilor toate incidentele legate de TIC care, indiferent de motiv, au fost clasificate ca fiind majore în conformitate cu Regulamentul delegat (UE) 2024/1.772 al Comisiei din 13 martie 2024 de completare a Regulamentului (UE) 2022/2.554 al Parlamentului European și al Consiliului în ceea ce privește standardele tehnice de reglementare care precizează criteriile de clasificare a incidentelor legate de TIC și a amenințărilor cibernetice, stabilesc pragurile de semnificație și detaliile rapoartelor privind incidentele majore, denumit în continuare Regulamentul delegat (UE) 2024/1.772, și:

a)

pentru care entitatea a prezentat un raport final în conformitate cu art. 19 alin. (4) lit. c) din Regulamentul DORA în anul de referință; sau

b)

incidentele pentru care, în anii de referință anteriori, entitatea a depus un raport final în conformitate cu art. 19 alin. (4) lit. c) din Regulamentul DORA și care au avut un impact economic asupra entității în anul de referință.

Pentru estimarea costurilor și pierderilor anuale agregate, entitățile aplică următoarele etape secvențiale:

a)

estimarea costurilor și pierderilor aferente fiecărui incident major legat de TIC, conform prevederilor

alin. (1) , în mod individual; aceste estimări au drept rezultat costurile și pierderile brute luând în considerare tipurile de costuri și pierderi prevăzute la art. 7 alin. (1) și (2) din Regulamentul delegat (UE) 2024/1.772;

b)

pentru fiecare incident major legat de TIC, entitățile estimează și recuperările financiare, așa cum sunt specificate în anexa II la Regulamentul de punere în aplicare (UE) 2025/302 al Comisiei din 23 octombrie 2024 de stabilire a standardelor tehnice de punere în aplicare pentru aplicarea Regulamentului (UE) 2022/2.554 al Parlamentului European și al Consiliului în ceea ce privește formularele, modelele și procedurile standard pentru raportarea de către entități a unui incident major legat de TIC și notificarea de către acestea a unei amenințări cibernetice semnificative;

c)

entitățile agregă costurile și pierderile brute, precum și recuperările financiare aferente incidentelor majore legate de TIC.

În scopul estimării costurilor și pierderilor anuale agregate, entitățile utilizează ca bază de estimare costurile, pierderile și recuperările financiare care sunt reflectate în situațiile financiare, cum ar fi contul de profit și pierdere sau, după caz, în raportările în scopuri de supraveghere, pentru anul de referință.

În estimarea costurilor și pierderilor anuale agregate, entitatea include, de asemenea, și provizioanele aferente care sunt reflectate în situațiile financiare, cum ar fi cele din contul de profit și pierdere pentru anul de referință; în cazul în care nu sunt disponibile date exacte, entitatea își fundamentează estimarea pe alte date și informații disponibile, în măsura în care acest lucru este posibil.

Entitățile includ ajustările costurilor și pierderilor aferente unei estimări prezentate pentru un an anterior în estimarea anului de referință în care sunt efectuate ajustările.

Entitatea are obligația întocmirii unui raport privind estimarea costurilor și pierderilor anuale agregate ca urmare a incidentelor majore legate de TIC.

Raportul prevăzut la

alin. (1)

se transmite A.S.F. utilizând formularul de raportare pentru costurile și pierderile brute și recuperările financiare într-un an de referință, prevăzut în

anexa

care face parte integrantă din prezenta instrucțiune.

În raportul privind estimarea costurilor și pierderilor anuale agregate, prevăzut la

alin. (1) , entitățile includ o defalcare a costurilor și pierderilor brute și a recuperărilor financiare pentru fiecare incident major legat de TIC care a fost inclus în agregare.

Pentru fiecare element prevăzut la

alin. (3)

și la

art. 4 alin. (1) , care este inclus în estimarea aferentă anului de referință, entitățile utilizează aceleași coduri de referință pentru incidente ca cele utilizate în raportul final conform art. 19 alin. (4) lit. c) din Regulamentul (UE) 2022/2.554.

Entitatea întocmește raportul menționat la

alin. (1)

și îl transmite A.S.F., la cererea acesteia.