Banken fordern Aufhebung der SEC-Vorgaben zur Cybersecurity-Offenlegung

WASHINGTON / LONDON (IT BOLTWISE) – Die amerikanische Bankenbranche hat die US-Börsenaufsichtsbehörde SEC aufgefordert, ihre Anforderungen zur öffentlichen Offenlegung von Cybersecurity-Vorfällen zurückzunehmen.

Die Forderung der Bankenverbände, die SEC-Vorgaben zur Offenlegung von Cybersecurity-Vorfällen aufzuheben, hat in der Finanzwelt für Aufsehen gesorgt. Die American Bankers Association, unterstützt von weiteren einflussreichen Gruppen wie der Securities Industry and Financial Markets Association und dem Bank Policy Institute, argumentiert, dass die Regelungen der SEC im Widerspruch zu vertraulichen Meldepflichten stehen, die darauf abzielen, kritische Infrastrukturen zu schützen und potenzielle Opfer zu warnen. Die im Juli 2023 veröffentlichte Cybersecurity Risk Management-Regel der SEC verlangt von Unternehmen, Cybersecurity-Vorfälle wie Datenlecks oder Hacks schnell offenzulegen. Die Bankenverbände kritisieren jedoch, dass diese Regel von Anfang an fehlerhaft war und sich in der Praxis als problematisch erwiesen hat. Sie argumentieren, dass der komplexe und enge Mechanismus zur Verzögerung der Offenlegung die Reaktion auf Vorfälle und die Strafverfolgung behindert und zu Marktverwirrung zwischen obligatorischen und freiwilligen Offenlegungen führt. Zudem sei die öffentliche Offenlegung von Cybersecurity-Vorfällen von Ransomware-Kriminellen als Erpressungsmethode genutzt worden, um bösartige Ziele zu verfolgen. Die vorzeitige Offenlegung verschärfe auch Versicherungs- und Haftungsprobleme für Unternehmen und gefährde offene interne Kommunikation und routinemäßigen Informationsaustausch. Die Bankenverbände fordern insbesondere die Aufhebung von ‘Item 1.05’ aus den SEC-Regeln für die Berichterstattung auf Formular 8-K und den parallelen Berichterstattungspflichten für Formular 6-K. Formular 8-K wird verwendet, um Investoren in US-amerikanischen börsennotierten Unternehmen über bestimmte Ereignisse, einschließlich Cybersecurity-Vorfällen, zu informieren, die für Aktionäre oder die SEC von Bedeutung sein könnten. Die Gruppen sind der Meinung, dass die Interessen der Investoren auch ohne ‘Item 1.05’ geschützt bleiben und besser durch das bestehende Offenlegungsrahmenwerk für wesentliche Informationen, das auch wesentliche Cybersecurity-Vorfälle umfassen kann, bedient würden. Die vollständige Petition enthält Beispiele für Verwirrung bei Teilnehmern, spezifische Vorfälle von Ransomware-Angriffen und dokumentierte regulatorische Konflikte. Auch öffentlich gelistete Kryptounternehmen sind betroffen. So musste Coinbase, ein führendes Unternehmen in diesem Bereich, kürzlich bekannt geben, dass Hacker seine Support-Mitarbeiter bestochen hatten, um Benutzerdaten preiszugeben. Die Offenlegung führte zu mindestens sieben Klagen gegen das Unternehmen. Coinbase lehnte eine Lösegeldforderung in Höhe von 20 Millionen US-Dollar ab, nachdem Mitarbeiter Benutzerdaten in einem großen Phishing-Angriff preisgegeben hatten, der dem Unternehmen bis zu 400 Millionen US-Dollar an Schäden kosten könnte. Sollte die SEC die Anforderung zurücknehmen, könnte dies Unternehmen wie Coinbase mehr Zeit geben, Cybersecurity-Vorfälle der Öffentlichkeit zu melden.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!