Die Deutsche Bank AG wurde von der Finanzaufsicht BaFin mit einer Geldbuße in Höhe von 50.000 Euro belegt. Dies geschah, nachdem die Aufsichtsbehörde feststellte, dass die Bank falsche Angaben zu einem bedeutenden IT-Sicherheitsvorfall im Jahr 2023 gemacht und die BaFin darüber hinaus verspätet informiert hatte.
Gemäß den Vorschriften müssen Finanzinstitute die BaFin umgehend über schwerwiegende Betriebs- oder Sicherheitsvorfälle im Zusammenhang mit ihren Zahlungsdiensten informieren. Dabei müssen sie innerhalb von 24 Stunden nach Feststellung des Vorfalls eine Klassifizierung vornehmen und diesen als schwerwiegend oder nicht schwerwiegend einstufen. Bei Vorliegen aller erforderlichen Informationen muss die Meldung unverzüglich erfolgen.
Im Falle eines als schwerwiegend eingestuften Vorfalls müssen die Unternehmen ihn innerhalb von vier Stunden melden und dabei das von der BaFin bereitgestellte Melde- und Veröffentlichungsportal (MVP-Portal) nutzen. Falls ein Vorfall im Nachhinein als schwerwiegend eingestuft wird, muss das Unternehmen unverzüglich eine Erstmeldung an die BaFin übermitteln.
