Es kann sich nur um 'epidemiologische Erkenntnisse' der Bafin handeln, oder Statistiken über die Zunahme von Phishing, denen vorauseilend normative Kraft zugeschrieben wird.
Kann auch sein, dass die Bafin (o.ä.) diese Erkenntnisse zu einer 'Fachinformation' destilliert bzw. verdichtet und den Marktteilnehmern als solche zur Verfügung gestellt hat. Das kann dann höchstens im Schadensfall einigen Banken lästig sein, wenn sie evtl. einen höheren Anteil des Schadens tragen müssen.(Haftungsfragen; "wusste die Bank vor dem Schadensfall, dass iTAN anfällig ist" --> aus dem Wissen wird eventuell Mitverantwortung.) Bei der früheren Sparda-Tochter Netbank ist das aber eh relativ bedeutungslos, denn die hatte eine Art "No-Risk-Garantie" gegenüber ihren Kunden gegeben.
Die Bereitschaft sich bei Phishing wildfremden Autoritäten unterzuordnen und ihnen zu Willen zu sein, hängt scheinbar eng damit zusammen, wie hierzulande EDV-Sachverhalte gelernt und gelehrt werden.
Weniger als wirkliche Tiefen-Aufklärung, als vielmehr ein halb bewusstloses von-Punkt-zu-Punkt-Pfriemeln a la:
"jetzt musst du hier draufklicken, und wenn das und das zu sehen ist, musst du in dieses Feld reinklicken, und dann gehst du dahin und dorthin mit der Maus"
Dabei bleibt am meisten hängen, dass man immer etwas tun "muss" und selten, dass man etwas verstehen und dann erst tun will. Wenn dann eine E-Mail daherkommt mit der angemaßten Autorität des überlegenen EDV-Kenners, dann wird gemacht was die will. 
Ausbaden müssen es dann alle, auch die Verantwortungsvolleren die nicht auf alles draufklicken, und die sich umstellen müssen wenn z.b. iTAN abgeschafft wird.
Eine "Weisung" im Sinne eines formellen oder gar materiellen Gesetzes scheint es wohl nicht zu geben. Meines Erachtens müsste dann auch die konkrete Rechtsnorm genannt werden. Denkbar wäre auch, dass irgendein Regierungspräsidium bei einer besonders schlimmen Phishing-Epidemie ähnlich wie bei Masern , Mumps und Röteln eine Allgemeinverfügung zur Gefahrenabwehr erlässt, die den ungeschützten Einsatz von iTAN-Listen verbietet 
:o
