SEC schlägt obligatorische Offenlegungen zur Cybersicherheit vor

Die US-Börsenaufsichtsbehörde (SEC) hat am 9. März 2022 Änderungen an seinen Regeln vorgeschlagen, die darauf abzielen, die Offenlegungen durch börsennotierte Unternehmen zu verbessern und zu standardisieren OnlinesicherheitRisikomanagement, Strategie, Führung, und Vorfallberichte. Die vorgeschlagenen Änderungen zielen darauf ab, Anleger über das Risikomanagement, die Strategie und die Governance eines Registranten zu informieren und Anleger rechtzeitig über wesentliche Cybersicherheitsvorfälle zu informieren.

Die Ankündigung der SEC enthielt eine Erklärung des SEC-Vorsitzenden Gary Gensler. Er sagte unter anderem: „Cybersicherheit ist heute ein aufkommendes Risiko, mit dem sich öffentliche Emittenten zunehmend auseinandersetzen müssen. Anleger möchten mehr darüber erfahren, wie Emittenten mit diesen wachsenden Risiken umgehen. Viele Emittenten bieten Anlegern bereits Offenlegungen zur Cybersicherheit an. Ich denke, Unternehmen und Investoren würden gleichermaßen davon profitieren, wenn diese Informationen auf konsistente, vergleichbare und entscheidungsrelevante Weise benötigt würden."

Einzelheiten zu den vorgeschlagenen Offenlegungen zur Cybersicherheit

Die vorgeschlagenen Änderungen würden eine aktuelle Berichterstattung über wesentliche Cybersicherheitsvorfälle und regelmäßige Aktualisierungen über zuvor gemeldete Cybersicherheitsvorfälle erfordern. Sie würden auch eine regelmäßige Berichterstattung über Folgendes erfordern: die Richtlinien und Verfahren des Registranten zur Identifizierung und Verwaltung von Cybersicherheitsrisiken; wie der Registrant Vorstand übt die Aufsicht über das Cybersicherheitsrisiko aus; wie das Management Cybersicherheitsrisiken bewertet und verwaltet; und wie das Management Cybersicherheitsrichtlinien und -verfahren umsetzt. Der Vorschlag würde auch jährliche Berichterstattung oder bestimmte erfordern Vollmachtsformular Offenlegungen über die Cybersicherheitsexpertise, falls vorhanden, unter den Mitgliedern des Vorstands des Registranten.

Zusätzliche Kommentare des SEC-Vorsitzenden Gary Gensler

Der SEC-Vorsitzende Gary Gensler gab eine detaillierte Erklärung zu den vorgeschlagenen Änderungen ab. Einige seiner Kommentare wurden, wie oben zitiert, in der SEC-Pressemitteilung wiedergegeben. Nachfolgend werden weitere Highlights vorgestellt.

„Seitdem verlangen wir von Unternehmen die Offenlegung wichtiger Informationen Weltwirtschaftskrise. Das grundlegende Abkommen ist folgendes: Anleger können entscheiden, welche Risiken sie eingehen möchten. Unternehmen, die Geld von der Öffentlichkeit beschaffen, sind verpflichtet, regelmäßig Informationen mit Investoren zu teilen."

"Im Laufe der Jahre hat sich unser Offenlegungssystem weiterentwickelt, um die sich entwickelnden Risiken und Anlegerbedürfnisse widerzuspiegeln."

„Die Vernetzung unserer Netzwerke, die Nutzung von vorausschauende Datenanalyse, und der unersättliche Wunsch nach Daten werden immer schneller und gefährden unsere Finanzkonten, Investitionen und privaten Informationen. Anleger möchten mehr darüber erfahren, wie Emittenten mit diesen wachsenden Risiken umgehen."

„Cybersicherheitsvorfälle passieren leider häufig. Sie können erhebliche finanzielle, operative, rechtliche und Reputationsauswirkungen auf öffentliche Emittenten haben. Daher suchen Anleger zunehmend nach Informationen über Cybersicherheitsrisiken, die ihre Anlageentscheidungen und Renditen beeinflussen können."

"Die heutige Veröffentlichung würde die Cybersicherheitsoffenlegungen der Emittenten auf zwei wichtige Arten verbessern."

„Erstens würde es obligatorische, fortlaufende Offenlegungen zur Unternehmensführung, zum Risikomanagement und zur Strategie in Bezug auf Cybersicherheitsrisiken erfordern.“

„Zweitens würde es eine obligatorische, wesentliche Meldung von Cybersicherheitsvorfällen erfordern. Dies ist von entscheidender Bedeutung, da solche wesentlichen Cybersicherheitsvorfälle die Entscheidungsfindung von Anlegern beeinflussen könnten."

Abweichende Erklärung von SEC-Kommissarin Hester M. Pierce

SEC-Kommissarin Hester M. Peirce gab eine abweichende Erklärung zu den vorgeschlagenen Änderungen ab. Nachfolgend werden die Highlights vorgestellt.

„Wir müssen eine wichtige Rolle spielen, um sicherzustellen, dass Anleger die Informationen erhalten, die sie benötigen, um die Cybersicherheitsrisiken von Emittenten zu verstehen, wenn diese wesentlich sind. Dieser Vorschlag flirtet jedoch damit, uns als Kommandozentrale für Cybersicherheit der Nation darzustellen, eine Rolle, die uns der Kongress nicht gegeben hat."

„Unsere Rolle in Bezug auf die Aktivitäten öffentlicher Unternehmen, Cybersicherheit oder anderweitig, ist begrenzt. Die Kommission regelt die Offenlegung von Aktiengesellschaften; sie regelt nicht die Aktivitäten öffentlicher Unternehmen.“

„Obwohl der Vorschlag in der Standardsprache der Offenlegung formuliert ist, leitet er die Unternehmen auf substanzielle, wenn auch etwas subtile Weise. Erstens verkörpern die Governance-Offenlegungsanforderungen ein beispielloses Mikromanagement durch die Kommission für die Zusammensetzung und Arbeitsweise der Verwaltungsräte und des öffentlichen Managements Firmen."

„Solche präzisen Offenlegungsanforderungen sehen eher aus wie eine Liste von Erwartungen darüber, wie die Cybersicherheitsprogramme der Emittenten aussehen und wie sie funktionieren sollten.“

„Obwohl sie als Offenlegungspflicht getarnt sind, setzen die vorgeschlagenen Regeln Unternehmen unter Druck, eine Anpassung ihrer bestehenden Vorschriften in Betracht zu ziehen Richtlinien und Verfahren, um dem bevorzugten Ansatz der Kommission zu entsprechen, der in acht spezifischen Offenlegungspunkten enthalten ist.“

„Der Inhalt, wie ein Unternehmen mit seinem Cybersicherheitsrisiko umgeht, sollte jedoch am besten der Unternehmensleitung überlassen werden in Anbetracht seiner spezifischen Herausforderungen, vorbehaltlich der vom Verwaltungsrat bereitgestellten Checks and Balances und Aktionäre."

„Der Lichtblick des Vorschlags sind die Regeln für die Meldung von Cybersicherheitsvorfällen. Ich bin nicht davon überzeugt, dass die Regeln angesichts dessen notwendig sind die Leitlinien der Kommission von 2018, in dem wir unsere Ansichten zu den Offenlegungspflichten von Aktiengesellschaften nach bestehenden Vorschriften darlegten. Dennoch scheinen die vorgeschlagenen Regeln vernünftige Wegweiser für Unternehmen zu sein, denen sie bei der Meldung wesentlicher Cybersicherheitsvorfälle folgen können.“