Los bancos supervisados por el BCE deben informar de los incidentes cibernéticos significativos dentro de las dos horas posteriores a la detección, como establece el marco de notificación de incidentes cibernéticos implementado en 2017.
En febrero de 2019, Abanca fue objeto de un ciberataque al infectar sus sistemas informáticos con ‘software’ malicioso, a lo que el banco respondió suspendiendo temporalmente la banca por internet y móvil, así como servicios de cajeros automáticos y servicios de pago SWIFT, entre otras medidas.
«A pesar de ser consciente de su obligación de informar y de la importancia del incidente cibernético desde el 26 de febrero de 2019, el banco presentó el informe requerido sobre el incidente 46 horas después de que prescribiera el plazo«, destaca en BCE.
Asimismo, el organismo agrega que «la omisión del banco obstaculizó la capacidad del BCE para evaluar adecuadamente la capacidad prudencial de Abanca y reaccionar de manera oportuna ante posibles amenazas a otros bancos, lo que podría haber tenido consecuencias potenciales sobre la reputación y la estabilidad del sector bancario en su conjunto».