Biden legt sein Veto gegen den Versuch ein, die SEC-Regeln zur Offenlegung von Cybervorfällen aufzuheben

Das Weiße Haus kündigte diese Woche an, dass Präsident Biden ein Veto gegen den Versuch republikanischer Gesetzgeber einlegen werde, die kürzlich von der Securities and Exchange Commission eingeführten Regeln zur Offenlegung von Cyber-Vorfällen aufzuheben.

Die Regeln, die am 18. Dezember 2023 in Kraft traten, verlangen von öffentlichen Unternehmen, jeden wesentlichen Verstoß innerhalb von vier Werktagen nach Feststellung, dass er wesentliche Auswirkungen hat, offenzulegen.

Ziel der Regeln ist es, Investoren zeitnah und konsistent über potenziell kostspielige Cybersicherheitsvorfälle zu informieren.

Einige argumentieren jedoch, dass die Informationen, die Unternehmen offenlegen müssen, für Angreifer tatsächlich hilfreich sein könnten.

Darüber hinaus beklagten republikanische Gesetzgeber, dass eine zu frühe Offenlegung eines Vorfalls mit unvollständigen oder ungenauen Informationen den Anlegern tatsächlich schaden würde. Sie stellten außerdem fest, dass die Regeln in direktem Widerspruch zu den bestehenden Meldepflichten für Vorfälle stehen.

Einige dieser Gesetzgeber reichten eine Resolution ein, um die SEC-Regeln aufzuheben, und die Biden-Regierung erklärte diese Woche, dass sie entschlossen sei, gegen die Resolution ihr Veto einzulegen.

„Eine größere Transparenz über Cybervorfälle, wie sie in der SEC-Regel gefordert wird, wird Unternehmensführungskräften Anreize geben, in Cybersicherheit und Cyber-Risikomanagement zu investieren. Darüber hinaus haben börsennotierte Unternehmen die treuhänderische Pflicht, ihre Anleger über wesentliche Cybersicherheitsvorfälle zu informieren – wie sie es bei allen unerwünschten Ereignissen tun –, von denen vernünftigerweise erwartet werden kann, dass sie sich auf Unternehmensabläufe, Marken und Aktienkurse auswirken“, argumentierte das Weiße Haus.

„Eine Umkehrung der Vorschriften der SEC würde nicht nur Anleger benachteiligen, die ein klares Verständnis des ihrer Investition zugrunde liegenden Cyberrisikos verdienen, sondern auch dazu führen, dass Unternehmen Investitionen in Cyberprogramme unterbewerten, was sich nachteilig auf unsere wirtschaftliche und nationale Sicherheit auswirkt“, fügte sie hinzu.

[ Read: Align Your Incident Response Practices With New SEC Disclosure Rules ]

Die SEC gab vor Inkrafttreten der Regeln einige wichtige Klarstellungen bekannt und wies darauf hin, dass die Informationen, die Unternehmen weitergeben müssen, begrenzt sind und keine technischen oder spezifischen Informationen über ihre Reaktion auf Vorfälle, Systeme oder potenzielle Schwachstellen enthalten müssen, die nützlich sein könnten an Angreifer.

Darüber hinaus können Unternehmen die Offenlegung verzögern, wenn ein erhebliches Risiko für die nationale oder öffentliche Sicherheit besteht.

Verwandt: Reaktionen der Branche auf die neuen Offenlegungsregeln für Cybervorfälle der SEC: Feedback am Freitag

Verwandt: Ransomware Group reicht SEC-Beschwerde ein, weil Opfer es versäumt hat, Datenschutzverstöße offenzulegen

Verwandt: SEC sagt, dass X-Konto durch SIM-Austausch gehackt wurde