Sie sind CISO eines börsennotierten US-Unternehmens und haben soeben festgestellt, dass ein Ransomware-Vorfall wesentlich (material) ist. Was erwartet die SEC und wann?
Kurzantwort
Nach den SEC-Regeln reicht ein Unternehmen in der Regel vier Geschäftstage nach der Feststellung, dass ein Cybervorfall wesentlich ist, das Form 8-K Item 1.05 ein und beschreibt Art, Umfang, Zeitpunkt sowie wesentliche oder hinreichend wahrscheinlich wesentliche Auswirkungen. Eine Verzögerung ist nur zulässig, wenn der US-Attorney-General ein erhebliches Risiko für nationale oder öffentliche Sicherheit feststellt. Die jährliche 10-K-Angabe zu Risikomanagement und Governance ist getrennt.
Die Frage prüft, ob Sie die Offenlegungsfrist und ihren Auslöser kennen, nicht nur, dass man „offenlegen muss“.
Was die SEC verlangt
Die SEC-Regeln von 2023 verpflichten Unternehmen, wesentliche Cybervorfälle im Form 8-K Item 1.05 offenzulegen, in der Regel vier Geschäftstage nachdem das Unternehmen den Vorfall als wesentlich eingestuft hat. Die Meldung muss die wesentlichen Aspekte von Art, Umfang und Zeitpunkt des Vorfalls beschreiben sowie seine wesentlichen oder hinreichend wahrscheinlich wesentlichen Auswirkungen auf das Unternehmen.
Die einzige Verzögerung
Die Offenlegung darf nur verzögert werden, wenn der US-Attorney-General feststellt, dass eine sofortige Offenlegung ein erhebliches Risiko für die nationale oder öffentliche Sicherheit bedeutet, und dies der Kommission schriftlich mitteilt. Juristische Bequemlichkeit oder laufende Ermittlungen allein genügen nicht.
Die jährliche Offenlegung ist getrennt
Regulation S-K Item 106 verlangt im jährlichen Form 10-K die Beschreibung der Cyber-Risikobewertungsprozesse, der Aufsicht durch das Board und der Expertise des Managements. Ein starkes CISO-Programm hat diese Governance-Nachweise vor einem Vorfall bereit.
Warum die anderen Antworten scheitern
Die Frist läuft ab der Wesentlichkeitsfeststellung, nicht ab Entdeckung; „vier Geschäftstage ab Entdeckung“ ist daher falsch. Auf den nächsten Quartalsbericht zu warten ignoriert die 8-K-Frist, und Kundeninformation ersetzt keine SEC-Offenlegung.
Was Interviewer erwarten
Auslöser, Vier-Tage-Frist, die enge Ausnahme und die Rolle des CISO, gemeinsam mit Legal eine dokumentierte, zügige Wesentlichkeitsprüfung anzustoßen.
Wahrscheinliche Anschlussfragen
- Wer sollte die Wesentlichkeit feststellen, und welche Nachweise fließen ein?
- Was verlangt Regulation S-K Item 106 im Jahresbericht zur Cyber-Governance?
- Wie stimmen Sie das 8-K mit Rechtsabteilung, Incident Response und Kommunikation ab?