Die österreichische Finanzmarktaufsicht (FMA) hat gegen die Western Union International Bank GmbH eine Geldstrafe in Höhe von 42.000 Euro verhängt. Hintergrund sind wiederholte Verstöße gegen die Meldepflichten der europäischen Verordnung über die digitale operationale Resilienz im Finanzsektor (DORA). Das Straferkenntnis ist bereits rechtskräftig.
Nach Angaben der FMA hat das Kreditinstitut mehrfach schwerwiegende Vorfälle im Bereich der Informations- und Kommunikationstechnologie (IKT) nicht innerhalb der gesetzlich vorgeschriebenen Fristen gemeldet. Betroffen waren sowohl die verpflichtenden Erstmeldungen als auch Zwischenberichte zu den jeweiligen Vorfällen.
Die Bank ist nach Artikel 19 Absatz 4 der Verordnung (EU) 2022/2554 (DORA) in Verbindung mit Artikel 5 Absatz 1 Buchstaben a bis c der Delegierten Verordnung (EU) 2025/301 verpflichtet, erhebliche IKT-bezogene Sicherheitsvorfälle unverzüglich an die Finanzmarktaufsicht zu übermitteln. Diese Meldepflichten sollen sicherstellen, dass Aufsichtsbehörden frühzeitig über Cyberangriffe, Systemausfälle oder andere schwerwiegende IT-Störungen informiert werden und mögliche Risiken für den Finanzmarkt rechtzeitig bewerten können.
Nach Feststellung der Aufsicht kam die Western Union International Bank GmbH dieser Verpflichtung wiederholt nicht nach. Mehrere vorgeschriebene Meldungen wurden verspätet an die FMA übermittelt. Obwohl die Behörde keine näheren Angaben zur Art der zugrunde liegenden IT-Vorfälle machte, bewertet sie die Einhaltung der Meldefristen als wesentlichen Bestandteil eines funktionierenden Risikomanagements im Finanzsektor.
Das Verwaltungsverfahren wurde im Rahmen einer beschleunigten Verfahrensbeendigung gemäß § 22 Absatz 2b Finanzmarktaufsichtsbehördengesetz (FMABG) abgeschlossen. Dieses Verfahren ermöglicht eine vereinfachte Abwicklung von Verwaltungsstrafverfahren unter bestimmten gesetzlichen Voraussetzungen. Das gegen die Bank erlassene Straferkenntnis ist inzwischen rechtskräftig.
Mit der Entscheidung unterstreicht die FMA die wachsende Bedeutung der europäischen DORA-Verordnung. Das Regelwerk verpflichtet Banken, Versicherungen, Wertpapierfirmen und weitere Finanzunternehmen dazu, ihre digitale Widerstandsfähigkeit gegenüber Cyberangriffen und IT-Ausfällen zu stärken. Ein zentraler Bestandteil der Verordnung ist die Pflicht, schwerwiegende IKT-Vorfälle schnell und vollständig an die zuständige Aufsichtsbehörde zu melden. Nur so können Risiken für die Stabilität des Finanzsystems frühzeitig erkannt und gegebenenfalls Gegenmaßnahmen eingeleitet werden.
Die Sanktion gegen die Western Union International Bank GmbH zeigt, dass die FMA Verstöße gegen die neuen europäischen Vorgaben konsequent verfolgt. Auch wenn die verhängte Geldstrafe mit 42.000 Euro vergleichsweise moderat ausfällt, setzt die Behörde damit ein deutliches Signal an alle beaufsichtigten Institute: Die fristgerechte Meldung von IT-Sicherheitsvorfällen ist keine Formalität, sondern ein wesentlicher Bestandteil der regulatorischen Anforderungen an die digitale Resilienz des Finanzsektors.
