INSTRUCȚIUNI nr. 1/2026

În temeiul prevederilor art. 2 alin. (1), art. 3. alin. (1) lit. b) și ale art. 6 alin. (2) din Ordonanța de urgență a Guvernului nr. 93/2012 privind înființarea, organizarea și funcționarea Autorității de Supraveghere Financiară, aprobată cu modificări și completări prin Legea nr. 113/2013, cu modificările și completările ulterioare,

în baza prevederilor art. 9 alin. (1) și ale art. 10 din Ordonanța de urgență a Guvernului nr. 14/2026 privind stabilirea unor măsuri de punere în aplicare a Regulamentului (UE) 2022/2.554 al Parlamentului European și al Consiliului din 14 decembrie 2022 privind reziliența operațională digitală a sectorului financiar și de modificare a Regulamentelor (CE) nr. 1.060/2009, (UE) nr. 648/2012, (UE) nr. 600/2014, (UE) nr. 909/2014 și (UE) 2016/1.011,

cu luarea în considerare a prevederilor art. 11 alin. (10) dinRegulamentul (UE) 2022/2.554 privind reziliența operațională digitală a sectorului financiar și de modificare a Regulamentelor (CE) nr. 1.060/2009, (UE) nr. 648/2012, (UE) nr. 600/2014, (UE) nr. 909/2014 și (UE) 2016/1.011,

având în vedere prevederile Ghidului comun ESAs JC 2024 34 din 5.06.2024 privind estimarea costurilor și pierderilor anuale agregate cauzate de incidentele majore legate de TIC în temeiul Regulamentului (UE) 2022/2.554,

potrivit deliberărilor din ședința Consiliului Autorității de Supraveghere Financiară din data de 25.05.2026,

Autoritatea de Supraveghere Financiară emite următoarea instrucțiune:

Articolul 1

(1) Prezenta instrucțiune stabilește modalitatea de estimare a costurilor și a pierderilor anuale agregate ale entităților, cauzate de incidentele majore legate de tehnologia informației și a comunicațiilor, denumită în continuare TIC, în aplicarea prevederilor art. 11 alin. (10) din Regulamentul (UE) 2022/2.554 privind reziliența operațională digitală a sectorului financiar și de modificare a Regulamentelor (CE) nr. 1.060/2009, (UE) nr. 648/2012, (UE) nr. 600/2014, (UE) nr. 909/2014 și (UE) 2016/1.011, denumit în continuare Regulamentul DORA.

(2) Prevederile prezentei instrucțiuni se aplică de către entitățile menționate la art. 2 alin. (1) lit. e )- q) din Ordonanța de urgență a Guvernului nr. 14/2026 privind stabilirea unor măsuri de punere în aplicare a Regulamentului (UE) 2022/2.554 al Parlamentului European și al Consiliului din 14 decembrie 2022 privind reziliența operațională digitală a sectorului financiar și de modificare a Regulamentelor (CE) nr. 1.060/2009, (UE) nr. 648/2012, (UE) nr. 600/2014, (UE) nr. 909/2014 și (UE) 2016/1.011, denumită în continuare O.U.G. nr. 14/2026, și de către Autoritatea de Supraveghere Financiară, denumită în continuare A.S.F.

Articolul 2

(1) Termenii, abrevierile și expresiile utilizate în prezenta instrucțiune au semnificațiile prevăzute în Regulamentul DORA și în O.U.G. nr. 14/2026.

(2) De asemenea, în înțelesul prezentei instrucțiuni, expresiile de mai jos au următoarele semnificații:

a) an de referință - exercițiul financiar încheiat al entității pentru care A.S.F. solicită estimarea costurilor și a pierderilor;

b) entități - instituțiile financiare reglementate și supravegheate de A.S.F., prevăzute la art. 2 alin. (1) lit. e)-q) din O.U.G. nr. 14/2026.

Articolul 3

(1) Entitățile sunt obligate să estimeze costurile și pierderile anuale agregate aferente incidentelor majore legate de TIC.

(2) La solicitarea A.S.F., entitățile raportează o estimare a costurilor și a pierderilor anuale agregate cauzate de incidente majore legate de TIC, încadrate în anul de referință pentru care A.S.F. a solicitat estimarea.

(3) În estimarea costurilor și pierderilor menționate la alin. (1), entitățile nu includ costurile și pierderile legate de incidentele care survin înainte sau după anul de referință respectiv.

Articolul 4

(1) Entitățile includ în estimarea anuală a costurilor și a pierderilor toate incidentele legate de TIC care, indiferent de motiv, au fost clasificate ca fiind majore în conformitate cu Regulamentul delegat (UE) 2024/1.772 al Comisiei din 13 martie 2024 de completare a Regulamentului (UE) 2022/2.554 al Parlamentului European și al Consiliului în ceea ce privește standardele tehnice de reglementare care precizează criteriile de clasificare a incidentelor legate de TIC și a amenințărilor cibernetice, stabilesc pragurile de semnificație și detaliile rapoartelor privind incidentele majore, denumit în continuare Regulamentul delegat (UE) 2024/1.772, și:

a) pentru care entitatea a prezentat un raport final în conformitate cu art. 19 alin. (4) lit. c) din Regulamentul DORA în anul de referință; sau

b) incidentele pentru care, în anii de referință anteriori, entitatea a depus un raport final în conformitate cu art. 19 alin. (4) lit. c) din Regulamentul DORA și care au avut un impact economic asupra entității în anul de referință.

(2) Pentru estimarea costurilor și pierderilor anuale agregate, entitățile aplică următoarele etape secvențiale:

a) estimarea costurilor și pierderilor aferente fiecărui incident major legat de TIC, conform prevederilor alin. (1), în mod individual; aceste estimări au drept rezultat costurile și pierderile brute luând în considerare tipurile de costuri și pierderi prevăzute la art. 7 alin. (1) și (2) din Regulamentul delegat (UE) 2024/1.772;

b) pentru fiecare incident major legat de TIC, entitățile estimează și recuperările financiare, așa cum sunt specificate în anexa II la Regulamentul de punere în aplicare (UE) 2025/302 al Comisiei din 23 octombrie 2024 de stabilire a standardelor tehnice de punere în aplicare pentru aplicarea Regulamentului (UE) 2022/2.554 al Parlamentului European și al Consiliului în ceea ce privește formularele, modelele și procedurile standard pentru raportarea de către entități a unui incident major legat de TIC și notificarea de către acestea a unei amenințări cibernetice semnificative;

c) entitățile agregă costurile și pierderile brute, precum și recuperările financiare aferente incidentelor majore legate de TIC.

(3) În scopul estimării costurilor și pierderilor anuale agregate, entitățile utilizează ca bază de estimare costurile, pierderile și recuperările financiare care sunt reflectate în situațiile financiare, cum ar fi contul de profit și pierdere sau, după caz, în raportările în scopuri de supraveghere, pentru anul de referință.

(4) În estimarea costurilor și pierderilor anuale agregate, entitatea include, de asemenea, și provizioanele aferente care sunt reflectate în situațiile financiare, cum ar fi cele din contul de profit și pierdere pentru anul de referință; în cazul în care nu sunt disponibile date exacte, entitatea își fundamentează estimarea pe alte date și informații disponibile, în măsura în care acest lucru este posibil.

(5) Entitățile includ ajustările costurilor și pierderilor aferente unei estimări prezentate pentru un an anterior în estimarea anului de referință în care sunt efectuate ajustările.

Articolul 5

(1) Entitatea are obligația întocmirii unui raport privind estimarea costurilor și pierderilor anuale agregate ca urmare a incidentelor majore legate de TIC.

(2) Raportul prevăzut la alin. (1) se transmite A.S.F. utilizând formularul de raportare pentru costurile și pierderile brute și recuperările financiare într-un an de referință, prevăzut în anexa care face parte integrantă din prezenta instrucțiune.

(3) În raportul privind estimarea costurilor și pierderilor anuale agregate, prevăzut la alin. (1), entitățile includ o defalcare a costurilor și pierderilor brute și a recuperărilor financiare pentru fiecare incident major legat de TIC care a fost inclus în agregare.

(4) Pentru fiecare element prevăzut la alin. (3) și la art. 4 alin. (1), care este inclus în estimarea aferentă anului de referință, entitățile utilizează aceleași coduri de referință pentru incidente ca cele utilizate în raportul final conform art. 19 alin. (4) lit. c) din Regulamentul (UE) 2022/2.554.

(5) Entitatea întocmește raportul menționat la alin. (1) și îl transmite A.S.F., la cererea acesteia.

Articolul 6

Încălcarea prevederilor prezentei instrucțiuni se sancționează conform prevederilor cap. V secțiunea 1 din O.U.G. nr. 14/2026.

Articolul 7

Prezenta instrucțiune se publică în Monitorul Oficial al României, Partea I, și intră în vigoare la data publicării.

p. Președintele Autorității de Supraveghere Financiară,

Ștefan Daniel Armeanu

București, 28 mai 2026.

Nr. 1.

ANEXĂ

FORMULAR DE RAPORTARE

pentru costurile și pierderile brute și recuperările financiare într-un an de referință

Denumirea entității

Identificatorul entității juridice

Data de începere și de încheiere a anului de referință al entității

Moneda - Lei^1 - Numărul incidentului Data depunerii raportului final privind incidentele Numărul de referință al incidentului Costurile și pierderile brute aferente incidentului în anul de referință Recuperările aferente incidentului în anul de referință

1.

2. Total pentru anul de referință ^1 În cazul în care operațiunile sunt denominate în alte valute, acestea vor fi convertite în lei la cursul de schimb comunicat de Banca Națională a României pentru data producerii incidentului.