Artykuł 7

1. Do celów ustalenia skutków gospodarczych incydentu, o których mowa w art. 18 ust. 1 lit. f) rozporządzenia (UE) 2022/2554, podmioty finansowe, nie wliczając odzyskanych środków finansowych, uwzględniają następujące rodzaje bezpośrednich i pośrednich kosztów i strat, które poniosły w wyniku incydentu:

a) wywłaszczone środki lub aktywa finansowe, za które są odpowiedzialne, w tym aktywa utracone w wyniku kradzieży;

b) koszty zastąpienia lub przeniesienia oprogramowania, sprzętu lub infrastruktury;

c) koszty personelu, w tym koszty związane z zastąpieniem lub przeniesieniem personelu, rekrutacją dodatkowych pracowników, wynagrodzeniem za godziny nadliczbowe oraz odzyskaniem utraconych lub ograniczonych umiejętności;

d) opłaty z tytułu nieprzestrzegania zobowiązań umownych;

e) koszty poniesione w związku z roszczeniami dochodzonymi przez klientów i wypłaconymi im odszkodowaniami;

f) straty wynikające z utraconych dochodów;

g) koszty związane z komunikacją wewnętrzną i zewnętrzną;

h) koszty doradztwa, w tym koszty związane z doradztwem prawnym, usługami kryminalistycznymi i usługami z zakresu środków zaradczych.

2. Koszty i straty, o których mowa w ust. 1, nie obejmują kosztów niezbędnych do bieżącego prowadzenia działalności, w szczególności:

a) kosztów ogólnej konserwacji infrastruktury, urządzeń, sprzętu i oprogramowania komputerowego oraz kosztów aktualizacji umiejętności personelu;

b) kosztów wewnętrznych ani zewnętrznych służących usprawnieniu działalności po wystąpieniu incydentu, w tym modernizacji, udoskonaleń oraz inicjatyw w zakresie oceny ryzyka;

c) składek ubezpieczeniowych.

3. Podmioty finansowe obliczają kwoty kosztów i strat na podstawie danych dostępnych w momencie zgłoszenia. W przypadku gdy nie można ustalić rzeczywistych kwot kosztów i strat, podmioty finansowe opracowują szacunki tych kwot.

4. Oceniając skutki gospodarcze incydentu, podmioty finansowe sumują koszty i straty, o których mowa w ust. 1.