Cinco importantes grupos da indústria bancária formalmente solicitaram à Securities and Exchange Commission (SEC) para revogar sua regra de divulgação de incidentes de cibersegurança, argumentando que a regulamentação enfraquece os esforços de segurança nacional e cria mais problemas do que resolve. A American Bankers Association liderou a coalizão em uma carta de 22 de maio que desafia a base dos requisitos de divulgação pública de incidentes cibernéticos.
O Que Saber:
- Cinco grupos bancários argumentam que a regra de divulgação de cibersegurança da SEC conflita com relatórios confidenciais destinados a proteger infraestrutura crítica
- A regra exige divulgação pública rápida de incidentes como vazamentos de dados, mas bancos afirmam que isso ajuda criminosos de ransomware e prejudica esforços de resposta
- A coalizão bancária quer que o Item 1.05 seja retirado dos requisitos de relatório do Formulário 8-K que notifica investidores sobre incidentes de cibersegurança
Coalizão Industrial Mira Mecanismo Central de Divulgação
A coalizão inclui a Securities Industry and Financial Markets Association, Bank Policy Institute, Independent Community Bankers of America e Institute of International Bankers. Esses grupos representam milhares de instituições financeiras nos Estados Unidos. Sua petição visa especificamente o "Item 1.05" dentro dos requisitos de relatório do Formulário 8-K da SEC.
O Formulário 8-K serve como o principal veículo para notificar publicamente investidores sobre eventos significativos que afetam empresas públicas.
A provisão de cibersegurança exige que empresas divulguem incidentes que possam afetar materialmente suas operações ou condição financeira. Grupos bancários alegam que este mecanismo cria mais danos do que transparência.
A regra de Gerenciamento de Risco de Cibersegurança da SEC entrou em vigor após publicação em julho de 2023. Agora, as empresas devem divulgar rapidamente incidentes de cibersegurança, incluindo vazamentos de dados e comprometimento de sistemas. A regulamentação visa fornecer aos investidores informações oportunas sobre riscos cibernéticos que poderiam afetar seus investimentos.
Bancos Citam Preocupações Operacionais e de Segurança
Representantes bancários argumentam que os requisitos de divulgação entram em conflito direto com sistemas de relatórios confidenciais existentes, projetados para proteger infraestrutura crítica. Eles afirmam que divulgações públicas prematuras interferem com procedimentos de resposta a incidentes e investigações policiais. Os complexos mecanismos de atraso incorporados na regra criam confusão entre obrigações de divulgação obrigatórias e voluntárias.
Criminosos de ransomware têm utilizado requisitos de divulgação pública como ferramenta de extorsão, segundo a coalizão bancária. Grupos criminosos agora ameaçam acionar prazos de divulgação obrigatória para pressionar vítimas a pagar resgates mais rapidamente. Este desenvolvimento alterou fundamentalmente a dinâmica da resposta a incidentes de cibersegurança.
Os grupos também levantam preocupações sobre implicações de seguro e responsabilidade.
Divulgações prematuras complicam reivindicações de seguro e aumentam a exposição legal para empresas afetadas. Comunicações internas se tornam mais cautelosas quando os funcionários sabem que suas discussões de resposta a incidentes podem se tornar registro público.
A confusão no mercado representa outra preocupação significativa para a indústria bancária. A regra cria incerteza sobre quais incidentes exigem divulgação imediata versus aqueles que podem ser tratados por meio de estruturas de informações materiais existentes. Esta confusão afeta tanto empresas tentando cumprir quanto investidores tentando interpretar as divulgações.
Empresas de Criptomoedas Enfrentam Pressões Semelhantes de Divulgação
Empresas de criptomoedas de capital aberto experimentaram o impacto prático desses requisitos de divulgação. A Coinbase revelou no início deste mês que hackers subornaram funcionários de suporte para acessar dados de usuários, resultando em pelo menos sete processos contra a empresa. A exchange rejeitou uma demanda de resgate de $20 milhões, mas estima que o incidente possa custar até $400 milhões em danos.
O caso da Coinbase ilustra como os requisitos de divulgação podem amplificar o impacto financeiro de incidentes de cibersegurança. A exposição legal se multiplica quando as empresas devem informar o público imediatamente sobre vazamentos que poderiam ser resolvidos de maneira mais discreta.
Esta dinâmica afeta particularmente empresas de tecnologia e serviços financeiros que lidam com dados sensíveis de clientes.
Se a SEC conceder a petição da indústria bancária, empresas como a Coinbase poderiam ganhar mais flexibilidade no cronograma de divulgação de seus incidentes de cibersegurança. Os cronogramas rígidos da regra atual muitas vezes forçam empresas a divulgar incidentes antes de compreender totalmente o escopo ou impacto.
Estrutura Alternativa Proposta pela Coalizão Bancária
Os grupos bancários argumentam que estruturas de divulgação existentes já protegem os interesses dos investidores sem a necessidade de requisitos específicos de cibersegurança. Regras preexistentes para o relato de informações materiais continuariam a cobrir incidentes cibernéticos significativos que realmente afetam o desempenho ou condição financeira da empresa.
Eles acreditam que esta abordagem serviria melhor aos interesses dos investidores e à segurança nacional.
A petição inclui exemplos documentados de conflitos regulatórios e confusão dos participantes desde a implementação da regra. Grupos bancários compilaram incidentes específicos demonstrando como os requisitos de divulgação interferiram em investigações policiais e esforços de resposta a incidentes.
Instituições financeiras também apontam suas obrigações regulatórias existentes sob outras agências federais. Os bancos já relatam incidentes de cibersegurança aos reguladores financeiros através de canais confidenciais projetados para proteger informações de infraestrutura sensíveis enquanto garantem supervisão apropriada.
Considerações Finais
O desafio da indústria bancária às regras de divulgação de cibersegurança da SEC reflete tensões mais amplas entre transparência e segurança na regulamentação de serviços financeiros. Sua petição argumenta que a divulgação pública obrigatória cria mais riscos do que benefícios, especialmente quando criminosos exploram os requisitos para fins de extorsão.