Die US-Börsenaufsichtsbehörde (SEC) hat ihre Haltung gegenüber börsennotierten Unternehmen im Bereich Cybersicherheit verschärft. Am 26. Juli veröffentlichte sie ihre Regelung zu Cybersicherheitsrisikomanagement, -strategie, -governance und -vorfallmeldung . Die ursprünglich im letzten Jahr vorgeschlagene Regelung gilt für börsennotierte Unternehmen und verpflichtet diese, die SEC innerhalb von vier Tagen über einen schwerwiegenden Cybersicherheitsvorfall zu informieren.

Dies ist der jüngste Schritt in einem langsamen Vorstoß zur Förderung der Offenlegung von Sicherheitsvorfällen, der 2011 unter Anleitung der Mitarbeiter der SEC begann. Darin heißt es, dass verschiedene Verordnungen der Kommission die Offenlegung von Cybersicherheitsvorfällen erzwingen könnten, auch wenn es dafür keine explizite Regelung gebe. Im Jahr 2018 gab die Kommission Auslegungsleitlinien heraus und betonte, dass Unternehmen Cybersicherheitsvorfälle offenlegen könnten. Allerdings waren diese Offenlegungen immer noch lückenhaft und erfolgten an verschiedenen Stellen mit unterschiedlichem Detaillierungsgrad.

Die neue Regelung soll dies ändern, indem sie explizit einheitliche Anforderungen für die Offenlegung von Sicherheitsvorfällen vorschreibt. Unternehmen müssen das Formular 8-K ausfüllen, ein beliebtes Offenlegungsformular, das dann auf der Website der Kommission verfügbar ist.

Die Offenlegung umfasst eine kurze Beschreibung des Vorfalls, seinen Umfang zum Zeitpunkt seiner Entdeckung, ob er andauert und die Auswirkungen auf den Betrieb. Die Regel schreibt außerdem vor, dass Unternehmen ihre Prozesse zur Bewertung von Cybersicherheitsrisiken beschreiben und darlegen, wie Vorstand und Management diese Risiken überwachen.

Reaktion

Nicht alle waren von der neuen Regelung begeistert. Melissa MacGregor, stellvertretende Generalbevollmächtigte und Unternehmenssekretärin der Securities Industry and Financial Markets Association (SIFMA), äußerte Bedenken, dass die Regelung zu viel zu früh verlange. „Die Regelung schreibt die Offenlegung einer erheblichen Menge an zu sensiblen und höchst subjektiven Informationen zu einem verfrühten Zeitpunkt vor, ohne die notwendige Berücksichtigung der Aufsichtsbehörden für börsennotierte Unternehmen oder der zuständigen Cybersicherheitsbehörden“, erklärte sie gegenüber der Washington Post.

Harley Geiger, Rechtsanwalt bei der Kanzlei Venable LLP, warnte in einem Beitrag für das Center for Cybersecurity Policy and Law ebenfalls vor dem kurzen Offenlegungszeitraum. „Grundsätzlich sollten laufende Cybervorfälle geheim gehalten werden, bis sie eingedämmt und die Angriffsfläche geschlossen ist. Die SEC-Regel wird diese Vorgehensweise jedoch ändern“, sagte er.

Die SEC hatte die Regel etwas abgemildert und den Umfang der Offenlegung auf die wesentlichen Details und den Umfang des Sicherheitsvorfalls sowie etwaige wesentliche Auswirkungen auf das Unternehmen beschränkt. Es gab dem Generalstaatsanwalt außerdem die Befugnis, die Offenlegung um 30 Tage zu verschieben.

„Keine dieser Änderungen berücksichtigt jedoch die Bedenken, dass die öffentliche Offenlegung nicht eingedämmter oder ungemilderter Cybervorfälle das Risiko birgt, dass Angreifer auf nicht behobene Schwachstellen aufmerksam gemacht werden und weiteren Schaden anrichten“, sagte Geiger. „Von der AG-Verzögerung dürfte nur in Ausnahmefällen Gebrauch gemacht werden.“

Auch im Sicherheitsbereich gab es Vorbehalte. Tara Wisniewski, EVP für Interessenvertretung, globale Märkte und Mitgliederengagement bei (ISC)2, der gemeinnützigen Sicherheitsorganisation, die die CISSP-Zertifizierung regelt, war besorgt darüber, dass die Regel nicht detailliert genug sei.

„Wir unterstützen zwar die Grundprinzipien der Offenlegungspflichten, um Aktionäre, Kunden und andere Interessengruppen zu informieren und zu schützen, doch die SEC-Entscheidung ist besorgniserregend vage“, sagte Wisniewski laut Medienberichten . „Sie wirft mehr Fragen auf, als sie beantwortet, und könnte für Cybersicherheitsexperten zu Unsicherheit führen.“

Andere Vorschläge

Branchenverbände äußern zudem Bedenken hinsichtlich verschiedener Aspekte der Cybersicherheits- und Risikomanagementregeln der SEC. Im Juni beklagte die Securities Industry and Financial Markets Association (SIFMA) die Unklarheiten bezüglich einiger anderer, von der SEC in Erwägung gezogener Regeln.

Die Offenlegung von Daten in irgendeiner Form ist auch in den anderen vorgeschlagenen Regelungen vorgesehen. Eine davon sieht eine Erweiterung der Verordnung SP vor , die den Datenschutz für Kundendaten von Broker-Dealern, Investmentgesellschaften und registrierten Beratern regelt. Die Regelung würde diese Unternehmen verpflichten, innerhalb von 30 Tagen schriftliche Notfallpläne für Cybersicherheitsvorfälle zu erstellen, die auch die Meldung von Datenschutzverletzungen umfassen. Darüber hinaus wird der Anwendungsbereich der Verordnung erweitert, indem sie auf Transferagenten ausgedehnt und die Definition von Kundendaten auf intern und von Dritten erhobene Daten ausgedehnt wird.

Weitere Regeln konzentrieren sich auf das Management von Cybersicherheitsrisiken, darunter Regel 10 , die für Broker-Dealer und Teilnehmer an Wertpapier-Swaps gilt. Diese Regel verpflichtet sie, die Kommission unverzüglich über jegliche Sicherheitsvorfälle zu informieren, Cybersicherheitsrisiken regelmäßig zu bewerten und zu dokumentieren sowie die Öffentlichkeit über Risiken und Vorfälle auf ihren Websites zu informieren. Darüber hinaus müssen sie Cybersicherheitskontrollen implementieren und dokumentieren sowie einen Notfallplan erstellen.

Die SEC hat separate Risikomanagementregeln für Berater und Fonds vorgeschlagen, die die bestehenden Offenlegungs- und Dokumentationsvorschriften für Risiken um Cybersicherheitsrisiken und -richtlinien erweitern. Berater und Investmentfonds wären demnach verpflichtet, Cybersicherheitsrisiken im Formular ADV anzugeben, das auch für andere Offenlegungsthemen wie Finanzrisiken und Interessenkonflikte verwendet wird. Dokumentierte Cybersicherheitsrichtlinien würden ebenfalls obligatorisch.

„Die Kommission hat keine Leitlinien in einem umsetzbaren Format hinsichtlich der erheblichen Überschneidungen zwischen dem Verordnungs-SP-Vorschlag und dem Regel-10-Vorschlag sowie verwandten Vorschlägen bereitgestellt“, sagte SIFMA und warnte, dass die SEC den SP-Vorschlag mit den anderen harmonisieren sollte.

Schließlich strebt die SEC Änderungen an ihren 2014 erlassenen Vorschriften zur Systemkonformität und -integrität (SCI) an, die die Sicherheit von Handelssystemen gewährleisten sollen. Die Änderungen würden die Vorschriften auf Broker-Dealer, Register für Wertpapier-Swap-Daten und weitere Clearingstellen ausweiten. Zudem würden zusätzliche Anforderungen eingeführt, darunter die Überwachung der Sicherheit und Geschäftskontinuität von Drittanbietern wie Cloud-Service-Anbietern sowie die Implementierung von Systemzugriffskontrollen (die überraschenderweise unter den SCI-Vorschriften nicht vorgeschrieben waren).

Das im Juli verabschiedete Dokument der SEC zur Cybersicherheitsregel enthielt Zugeständnisse als Reaktion auf einige Kommentare sowie einige handfeste Gegenmaßnahmen für andere. Unabhängig davon, ob die Menschen das Gefühl haben, dass die Regelung zu weit ging oder nicht, ist die Tatsache, dass die Kommission ernsthafte Vorschriften erlässt, um ein wachsendes Cybersicherheitsrisiko zu klären, lobenswert. Tatsächlich ist die größte Frage im Zusammenhang mit der Regel, warum es so lange gedauert hat.