Fünf bedeutende Bankengruppen haben formell die Securities and Exchange Commission (SEC) gebeten, ihre Richtlinie zur Offenlegung von Cyber-Sicherheitsvorfällen zurückzuziehen. Sie argumentieren, dass die Vorschrift nationale Sicherheitsbemühungen untergräbt und mehr Probleme schafft, als sie löst. Die American Bankers Association führte die Koalition in einem Schreiben vom 22. Mai an, das die Grundlage für öffentliche Offenlegungsanforderungen bei Cybervorfällen in Frage stellt.
Was man wissen sollte:
- Fünf Bankengruppen argumentieren, dass die Cybersecurity-Offenlegungsrichtlinie der SEC mit vertraulichen Berichten kollidiert, die kritische Infrastrukturen schützen sollen.
- Die Regel erfordert die schnelle öffentliche Bekanntmachung von Vorfällen wie Datenpannen, doch Banken sagen, dies helfe Erpressern und schade den Reaktionsbemühungen.
- Die Bankenkoalition will, dass Punkt 1.05 aus den Berichtspflichten von Formular 8-K herausgenommen wird, das Investoren über Cyber-Sicherheitsvorfälle informiert.
Branchenkoalition zielt auf grundlegendes Offenlegungsmechanismus
Die Koalition umfasst unter anderem die Securities Industry and Financial Markets Association, das Bank Policy Institute, die Independent Community Bankers of America und das Institute of International Bankers. Diese Gruppen vertreten Tausende von Finanzinstituten in den USA. Ihr Antrag zielt speziell auf "Punkt 1.05" innerhalb der Berichtspflichten von SEC-Formular 8-K.
Das Formular 8-K dient als Hauptinstrument zur öffentlichen Information von Investoren über bedeutende Ereignisse, die öffentliche Unternehmen betreffen. Die Vorschrift zur Cybersecurity erfordert, dass Unternehmen Vorfälle offenlegen, die ihre Arbeitsabläufe oder finanzielle Lage erheblich beeinflussen könnten. Bankengruppen behaupten, dieser Mechanismus verursache mehr Schaden als Transparenz.
Die Cybersecurity Risk Management-Regel der SEC trat nach der Veröffentlichung im Juli 2023 in Kraft. Unternehmen müssen nun schnell Cyber-Sicherheitsvorfälle einschließlich Datenpannen und Systemkompromittierungen offenlegen. Die Regelung zielte darauf ab, Anlegern rechtzeitige Informationen über Cyberrisiken zu geben, die ihre Investitionen beeinflussen könnten.
Banken äußern Betriebes- und Sicherheitsbedenken
Vertreter der Banken argumentieren, dass die Offenlegungspflichten direkt mit bestehenden vertraulichen Berichtssystemen kollidieren, die auf den Schutz kritischer Infrastrukturen ausgelegt sind. Sie behaupten, dass vorzeitige öffentliche Bekanntmachungen die Reaktionsverfahren bei Vorfällen und Ermittlungen der Strafverfolgungsbehörden stören. Die komplexen Verzögerungsmechanismen, die in die Regel eingebaut sind, schaffen Verwirrung zwischen obligatorischen und freiwilligen Offenlegungsverpflichtungen.
Ransomware-Kriminelle haben Offenlegungsvorschriften als Erpressungswerkzeug eingesetzt, behauptet die Bankenkoalition. Kriminelle Gruppen drohen nun, obligatorische Offenlegungszeitleisten auszulösen, um Opfer dazu zu zwingen, schneller Lösegeld zu zahlen. Diese Entwicklung hat die Dynamik der Reaktion auf Cybersecurity-Vorfälle grundlegend verändert.
Die Gruppen äußern auch Bedenken hinsichtlich der Versicherungs- und Haftungsimplikationen. Vorzeitige Offenlegungen verkomplizieren Versicherungsansprüche und erhöhen das rechtliche Risiko für betroffene Unternehmen. Interne Kommunikation wird vorsichtiger, wenn Mitarbeiter wissen, dass ihre Diskussionen über Vorfälle öffentlich werden könnten.
Verwirrung auf den Märkten ist ein weiteres wesentliches Anliegen der Bankenbranche. Die Regel schafft Unklarheit darüber, welche Vorfälle sofort offengelegt werden müssen und welche im Rahmen der bestehenden Regelungen für erhebliche Informationen behandelt werden können. Diese Verwirrung stellt sowohl Unternehmen, die versuchen, sich zu befolgen, als auch Investoren, die die Offenlegungen interpretieren, vor Herausforderungen.
Krypto-Unternehmen sehen sich ähnlichen Offenlegungsdruck ausgesetzt
Öffentlich gehandelte Kryptowährungsunternehmen haben die praktischen Auswirkungen dieser Offenlegungspflichten erlebt. Coinbase gab Anfang dieses Monats bekannt, dass Hacker Support-Mitarbeiter bestochen hatten, um auf Benutzerdaten zuzugreifen, was zu mindestens sieben Klagen gegen das Unternehmen führte. Die Börse wies eine Lösegeldforderung von 20 Millionen Dollar zurück, schätzt jedoch, dass der Vorfall bis zu 400 Millionen Dollar an Schäden kosten könnte.
Der Fall Coinbase veranschaulicht, wie Offenlegungsvorschriften die finanziellen Auswirkungen von Cybersecurity-Vorfällen verstärken können. Die rechtlichen Risiken erhöhen sich, wenn Unternehmen die Öffentlichkeit sofort über Pannen informieren müssen, die möglicherweise stillschweigend gelöst werden könnten.
Diese Dynamik betrifft insbesondere Technologie- und Finanzdienstleistungsunternehmen, die empfindliche Kundendaten verwalten.
Wenn die SEC der Petition der Bankbranche stattgibt, könnten Unternehmen wie Coinbase mehr Flexibilität bei der Timing ihrer Cybersecurity-Offenlegungen erhalten. Die starren Zeitleisten der aktuellen Regel zwingen Unternehmen oft, Vorfälle offenzulegen, bevor sie das Ausmaß oder die Auswirkungen vollständig verstehen.
Alternatives Rahmenwerk von der Bankenkoalition vorgeschlagen
Die Bankengruppen argumentieren, dass bestehende Offenlegungsrahmenwerke bereits die Interessen der Investoren schützen, ohne die spezifischen Anforderungen an die Cybersecurity. Bereits bestehende Regeln zur Meldung wesentlicher Informationen würden weiterhin bedeutende Cybervorfälle abdecken, die sich wirklich auf die Unternehmensleistung oder die finanzielle Lage auswirken.
Sie glauben, dass dieser Ansatz sowohl den Investoren als auch den nationalen Sicherheitsinteressen besser dienen würde.
Die Petition enthält dokumentierte Beispiele für regulatorische Konflikte und Verwirrung seit der Umsetzung der Regel. Bankengruppen haben spezifische Vorfälle zusammengetragen, die zeigen, wie die Offenlegungspflichten die Ermittlungen der Strafverfolgungsbehörden und die Reaktionsbemühungen bei Vorfällen behindert haben.
Finanzinstitute verweisen auch auf ihre bestehenden regulatorischen Verpflichtungen gegenüber anderen Bundesbehörden. Banken melden bereits Cybersecurity-Vorfälle an Finanzregulierungsbehörden durch vertrauliche Kanäle, die darauf ausgelegt sind, sensible Infrastrukturinformationen zu schützen und gleichzeitig für angemessene Aufsicht zu sorgen.
Abschließende Gedanken
Die Herausforderung der Bankenbranche an die SEC-Richtlinien zur Cybersecurity-Offenlegung spiegelt breitere Spannungen zwischen Transparenz und Sicherheit in der Finanzdienstleistungsregulierung wider. Ihre Petition argumentiert, dass die obligatorische öffentliche Offenlegung mehr Risiken als Vorteile schafft, insbesondere wenn Kriminelle die Anforderungen für Erpressungszwecke ausnutzen.