Cinq grands groupes de l'industrie bancaire ont officiellement demandé à la Securities and Exchange Commission (SEC) d'abroger sa règle de divulgation des incidents de cybersécurité, affirmant que la réglementation sape les efforts de sécurité nationale et crée plus de problèmes qu'elle n'en résout. L'American Bankers Association a dirigé la coalition dans une lettre du 22 mai qui conteste le fondement des exigences de divulgation publique pour les cyber-incidents.
Ce qu'il faut savoir :
- Cinq groupes bancaires affirment que la règle de divulgation de la cybersécurité de la SEC est en conflit avec les rapports confidentiels destinés à protéger les infrastructures critiques
- La règle exige une divulgation publique rapide des incidents comme les violations de données, mais les banques disent que cela aide les criminels de ransomware et nuit aux efforts de réponse
- La coalition bancaire souhaite que l'article 1.05 soit retiré des exigences de rapport sur le formulaire 8-K qui informent les investisseurs des incidents de cybersécurité
La coalition de l'industrie cible le mécanisme principal de divulgation
La coalition comprend la Securities Industry and Financial Markets Association, le Bank Policy Institute, l'Independent Community Bankers of America et l'Institute of International Bankers. Ces groupes représentent des milliers d'institutions financières aux États-Unis. Leur pétition cible spécifiquement "l'article 1.05" dans les exigences de rapport du formulaire 8-K de la SEC.
Le formulaire 8-K sert de principal véhicule pour informer publiquement les investisseurs des événements importants affectant les sociétés publiques.
La disposition sur la cybersécurité exige que les entreprises divulguent les incidents susceptibles d'avoir un impact important sur leurs opérations ou leur condition financière. Les groupes bancaires soutiennent que ce mécanisme crée plus de dommages que de transparence.
La règle de gestion des risques de cybersécurité de la SEC est entrée en vigueur après sa publication en juillet 2023. Les entreprises doivent maintenant divulguer rapidement les incidents de cybersécurité, y compris les violations de données et les compromissions de systèmes. La réglementation visait à fournir aux investisseurs des informations en temps opportun sur les risques cybernétiques susceptibles d'affecter leurs investissements.
Les banques citent des préoccupations opérationnelles et de sécurité
Les représentants bancaires soutiennent que les exigences de divulgation sont directement en conflit avec les systèmes de rapport confidentiels existants conçus pour protéger les infrastructures critiques. Ils affirment que les divulgations publiques prématurées interfèrent avec les procédures de réponse aux incidents et les enquêtes des forces de l'ordre. Les mécanismes de délai complexes intégrés dans la règle créent de la confusion entre les obligations de divulgation obligatoire et volontaire.
Selon la coalition bancaire, les criminels de ransomware ont armé les exigences de divulgation publique comme un outil d'extorsion. Les groupes criminels menacent maintenant de déclencher des délais de divulgation obligatoire afin de contraindre les victimes à payer des rançons plus rapidement. Ce développement a fondamentalement modifié la dynamique de la réponse aux incidents de cybersécurité.
Les groupes soulèvent également des préoccupations concernant les implications en matière d'assurance et de responsabilité.
Les divulgations prématurées compliquent les réclamations d'assurance et augmentent l'exposition légale pour les sociétés touchées. Les communications internes deviennent plus prudentes lorsque les employés savent que leurs discussions sur la réponse aux incidents pourraient devenir publiques.
La confusion du marché représente une autre préoccupation importante pour l'industrie bancaire. La règle crée de l'incertitude quant à savoir quels incidents exigent une divulgation immédiate par rapport à ceux qui peuvent être traités par le biais des cadres d'information importants existants. Cette confusion affecte à la fois les entreprises essayant de se conformer et les investisseurs essayant d'interpréter les divulgations.
Les entreprises crypto font face à des pressions similaires en matière de divulgation
Les entreprises de cryptomonnaie cotées en bourse ont ressenti l'impact pratique de ces exigences de divulgation. Coinbase a révélé plus tôt ce mois-ci que des pirates avaient soudoyé le personnel de soutien pour accéder aux données des utilisateurs, ce qui a conduit à au moins sept procès contre l'entreprise. La bourse a rejeté une demande de rançon de 20 millions de dollars mais estime que l'incident pourrait coûter jusqu'à 400 millions de dollars en dommages.
Le cas de Coinbase illustre comment les exigences de divulgation peuvent amplifier l'impact financier des incidents de cybersécurité. L'exposition légale se multiplie lorsque les entreprises doivent immédiatement informer le public des violations qui pourraient autrement être résolues plus discrètement.
Cette dynamique affecte particulièrement les entreprises de technologie et de services financiers qui manipulent des données sensibles de clients.
Si la SEC accorde la pétition de l'industrie bancaire, des entreprises comme Coinbase pourraient obtenir plus de flexibilité quant au moment de leurs divulgations de cybersécurité. Les délais rigides de la règle actuelle forcent souvent les entreprises à divulguer des incidents avant de bien comprendre leur portée ou leur impact.
Cadre alternatif proposé par la coalition bancaire
Les groupes bancaires soutiennent que les cadres de divulgation existants protègent déjà les intérêts des investisseurs sans les exigences spécifiques en matière de cybersécurité. Les règles préexistantes pour le rapport des informations importantes continueraient de couvrir les incidents cybernétiques significatifs qui affectent véritablement la performance ou la condition financière d'une entreprise.
Ils estiment que cette approche servirait mieux à la fois les intérêts des investisseurs et ceux de la sécurité nationale.
La pétition inclut des exemples documentés de conflits réglementaires et de confusion des participants depuis la mise en œuvre de la règle. Les groupes bancaires ont compilé des incidents spécifiques démontrant comment les exigences de divulgation ont interféré avec les enquêtes des forces de l'ordre et les efforts de réponse aux incidents.
Les institutions financières soulignent également leurs obligations réglementaires existantes auprès d'autres agences fédérales. Les banques rapportent déjà les incidents de cybersécurité aux régulateurs financiers par des canaux confidentiels conçus pour protéger les informations sensibles sur les infrastructures tout en garantissant une surveillance appropriée.
Réflexions finales
Le défi de l'industrie bancaire face aux règles de divulgation de la cybersécurité de la SEC reflète des tensions plus larges entre transparence et sécurité dans la réglementation des services financiers. Leur pétition soutient que la divulgation publique obligatoire crée plus de risques que de bénéfices, en particulier lorsque les criminels exploitent les exigences à des fins d'extorsion.