question: 10. Plant die Bundesregierung die Einführung einer Meldepflicht für Unternehmen, die von einer Ransomware-Attacke betroffen wurden und die in diesem Zusammenhang Lösegeld gezahlt haben?
answer: Die Bundesregierung prüft u. a. im Rahmen eines Beschlusses der Innenministerkonferenz, ob Regelungsbedarf bezüglich Lösegeldzahlungen im Zusammenhang mit Ransomware-Angriffen besteht.
  Neben den Meldepflichten des § 4 des Gesetzes über das Bundesamt für Sicherheit in der Informationstechnik (BSIG) bestehen bereits heute auch in der Finanzmarktbranche entsprechende Vorgaben. Demnach müssen Zahlungs-
  dienstleister bereits seit 2017 schwerwiegende Betriebs- und Sicherheitsvorfälle der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) melden. Gesetzliche Grundlage hierfür ist das Zahlungsdiensteaufsichtsgesetz (ZAG). Das ZAG setzt die Vorgaben der voll-harmonisierten Zweiten Zahlungsdiensterichtlinie (Payment Service Directive = PSD 2) um. Diese Meldepflichten umfassen auch Ransomware-Attacken.
  Dabei muss jedoch nicht angegeben werden, ob im Zusammenhang mit Ransomware-Angriffen Lösegeld gezahlt wurde. Allerdings kann die BaFin einzelfallbezogen die Hintergründe der gemeldeten Vorfälle im Rahmen ihres Auskunftsrechts ermitteln. Mit dem Digital Operational Resilience Act (DORA), einer EU-Verordnung zur Stärkung der operationellen Resilienz im Finanzsektor, die voraussichtlich Ende 2022 in Kraft treten und dann innerhalb von zwei Jahren anzuwenden sein wird, werden alle Finanzdienstleister zur Meldung von Sicherheitsvorfällen an die BaFin verpflichtet. DORA ist als EU-Verordnung unmittelbar anwendbar.