El Banco Central Europeo (BCE) ha impuesto una sanción administrativa de 3,14 millones de euros a Abanca por no informar al organismo de un ciberataque dentro del plazo de dos horas desde que se conocer el incidente.

Tal y como ha comunicado el BCE, en febrero de 2019, Abanca fue objeto de un ciberataque al infectarse sus sistemas informáticos con software malicioso. El banco respondió suspendiendo temporalmente los servicios de banca móvil e Internet, los servicios de cajeros automáticos y los servicios de pago SWIFT, entre otras medidas.

"A pesar de conocer su obligación de informar y la importancia del incidente cibernético desde el 26 de febrero de 2019, el banco presentó el informe requerido sobre el incidente 46 horas después de la fecha límite establecida", apuntan desde el banco central.

El organismo añade que la omisión del banco "obstaculizó" la capacidad del BCE para evaluar adecuadamente la situación prudencial de Abanca y reaccionar de manera oportuna ante posibles amenazas a otros bancos, "lo que podría haber tenido consecuencias potenciales sobre la reputación y la estabilidad del sector bancario en su conjunto".

No obstante, señala que la entidad atendió con prontitud los efectos del ciberincidente en el momento en que ocurrió. Por ello, el BCE apunta a que la sanción se relaciona únicamente con el incumplimiento de una obligación de informar en febrero de 2019 y no implica ninguna evaluación de la solidez de los sistemas informáticos existentes del banco.

A la hora de decidir el nivel de una sanción, el BCE aplica su guía sobre el método de fijación de sanciones pecuniarias administrativas. De las categorías de gravedad "menor", "moderadamente grave", "grave", "muy grave" y "extremadamente grave", el BCE clasificó la infracción como grave. El banco tiene derecho a impugnar la decisión del BCE ante el Tribunal de Justicia de la Unión Europea.