Vous êtes RSSI d'une société cotée aux États-Unis et venez de conclure qu'un incident de rançongiciel est significatif (material). Qu'attend la SEC, et quand ?
Réponse courte
Selon les règles de la SEC, une société dépose en général un Form 8-K Item 1.05 quatre jours ouvrés après avoir déterminé qu'un incident de cybersécurité est significatif, en décrivant sa nature, son étendue, son calendrier et son impact significatif ou raisonnablement probable. Le retard n'est permis que si l'Attorney General des États-Unis estime que la divulgation présente un risque substantiel pour la sécurité nationale ou publique. La divulgation annuelle 10-K sur la gestion des risques et la gouvernance est distincte.
Cette question vérifie que vous connaissez le compte à rebours de la divulgation et son déclencheur, pas seulement l'idée qu'il « faut divulguer ».
Ce que exige la SEC
Les règles 2023 de la SEC imposent aux sociétés de déclarer les incidents de cybersécurité significatifs sur le Form 8-K Item 1.05, en général dans les quatre jours ouvrés suivant la détermination par la société que l'incident est significatif. Le dépôt doit décrire les aspects importants de la nature, de l'étendue et du calendrier de l'incident, ainsi que son impact significatif, ou raisonnablement probable, sur la société.
Le seul report possible
La divulgation ne peut être retardée que si l'Attorney General des États-Unis détermine qu'une divulgation immédiate présenterait un risque substantiel pour la sécurité nationale ou publique et en informe la Commission par écrit. La commodité juridique ou une enquête en cours ne suffisent pas.
La divulgation annuelle est distincte
La Regulation S-K Item 106 impose de décrire dans le Form 10-K annuel les processus d'évaluation des risques cyber, la supervision du conseil et l'expertise de la direction. Un bon programme de RSSI prépare ces preuves de gouvernance avant tout incident.
Pourquoi les autres réponses échouent
Le compte à rebours part de la détermination de matérialité, pas de la découverte ; « quatre jours ouvrés après la découverte » est donc inexact. Attendre le prochain rapport trimestriel ignore l'échéance du 8-K, et la notification aux clients ne remplace pas la divulgation à la SEC.
Ce qu'attendent les recruteurs
Le déclencheur, le délai de quatre jours, le report très étroit, et le rôle du RSSI pour piloter avec le juridique une évaluation de matérialité documentée et rapide.
Questions de suivi probables
- Qui doit trancher la matérialité et sur quels éléments de preuve ?
- Que prévoit la Regulation S-K Item 106 dans le rapport annuel sur la gouvernance cyber ?
- Comment coordonnez-vous le 8-K avec le juridique, la réponse à incident et la communication ?