Eres CISO de una empresa cotizada en EE. UU. y acabas de concluir que un incidente de ransomware es material. ¿Qué espera la SEC y cuándo?
Respuesta breve
Según las reglas de la SEC, la empresa presenta por lo general el Form 8-K Item 1.05 cuatro días hábiles después de determinar que un incidente de ciberseguridad es material, describiendo su naturaleza, alcance, momento e impacto material o razonablemente probable. Solo se permite retrasarlo si el Attorney General de EE. UU. determina que la divulgación supone un riesgo sustancial para la seguridad nacional o pública. La divulgación anual en el 10-K sobre gestión de riesgos y gobierno es aparte.
Esta pregunta comprueba que conoces el reloj de la divulgación y su disparador, no solo que «hay que divulgar».
Qué exige la SEC
Las reglas de 2023 de la SEC obligan a las empresas a comunicar los incidentes de ciberseguridad materiales en el Form 8-K Item 1.05, por lo general en cuatro días hábiles desde que la empresa determina que el incidente es material. La presentación debe describir los aspectos materiales de la naturaleza, alcance y momento del incidente, y su impacto material, o razonablemente probable, en la empresa.
El único retraso posible
La divulgación solo puede retrasarse si el Attorney General de EE. UU. determina que la divulgación inmediata supondría un riesgo sustancial para la seguridad nacional o pública y lo notifica por escrito a la Comisión. La conveniencia legal o una investigación en curso no bastan.
La divulgación anual es aparte
La Regulation S-K Item 106 exige describir en el Form 10-K anual los procesos de evaluación de riesgos de ciberseguridad, la supervisión del consejo y la experiencia de la dirección. Un buen programa de CISO tiene esa evidencia de gobierno lista antes de un incidente.
Por qué fallan las otras respuestas
El reloj corre desde la determinación de materialidad, no desde el descubrimiento; «cuatro días hábiles desde el descubrimiento» es inexacto. Esperar al siguiente informe trimestral ignora el plazo del 8-K, y avisar a los clientes no sustituye la divulgación a la SEC.
Qué buscan los entrevistadores
El disparador, el plazo de cuatro días, el retraso muy acotado y el papel del CISO impulsando con legal una evaluación de materialidad documentada y oportuna.
Posibles preguntas de seguimiento
- ¿Quién debe decidir la materialidad y qué evidencias debe considerar?
- ¿Qué exige la Regulation S-K Item 106 en el informe anual sobre gobierno de ciberseguridad?
- ¿Cómo coordinas el 8-K con asesoría legal, respuesta a incidentes y comunicación?