SEC schlägt neue Regeln zur Cybersicherheit vor

Die US-amerikanische Börsenaufsichtsbehörde (SEC) schlägt neue Offenlegungspflichten für Unternehmensvorstände in Bezug auf Cybersicherheitsrisikomanagement, Strategie, Governance-Richtlinien, Verfahren und Vorfälle vor. Dies wäre eine Änderung des Wertpapierhandelsgesetzes von 1934.

CyberHoot betrachtet die vorgeschlagenen Offenlegungspflichten der SEC als Reaktion auf die zunehmenden Cyberangriffe auf US-amerikanische und globale Unternehmen jeder Größe. Ob diese neuen Regeln, sollten sie verabschiedet werden, ihr erklärtes Ziel erreichen, „ein gut konzipiertes Meldesystem zu nutzen, um die Branche beim Aufbau robuster, angriffsresistenter Systeme zu unterstützen“, bleibt abzuwarten. Klar ist: Unternehmen müssen sich jetzt vorbereiten. Um mögliche Bußgelder aufgrund von Verstößen gegen die Meldepflicht zu vermeiden, sollten Sie Ihr Risikomanagement, Ihre Richtlinien und Verfahren bereits vor Inkrafttreten dieser neuen Regeln etablieren und/oder verbessern.

Zeitplan für die Meldung von Verstößen

Sollte die SEC dies in Kraft setzen, wird für Unternehmen nach der Entdeckung eines Sicherheitsverstoßes eine Frist laufen. Laut SEC ist die Meldung eines Cybersicherheitsvorfalls innerhalb von vier Tagen – nicht nach dem Vorfall, sondern nach dessen Entdeckung – erforderlich. Das bedeutet, dass Ihr Cybersecurity Incident Management Process (CIMP – Sie haben doch einen, oder?) aktualisiert werden muss, um die Benachrichtigung der SEC gemäß den noch zu erlassenden Regeln des anstehenden Gesetzes zu ermöglichen.

Zusätzliche vorgeschlagene Regeln:

Der SEC-Vorschlag umfasst Offenlegungsregeln für:

• Die Richtlinien und Verfahren eines Registranten zur Identifizierung und Verwaltung von Cybersicherheitsrisiken und zur Rolle der Cybersicherheit in der Geschäftsstrategie, der Finanzplanung und der Kapitalallokation.
  • CyberHoots Analyse: Unternehmen benötigen ein robustes, dokumentiertes und regelmäßig aktualisiertes Risikomanagementprogramm.
• Die Rolle des Managements bei der Umsetzung von Richtlinien und Verfahren zur Cybersicherheit.
  • CyberHoots Analyse: Unternehmen benötigen vom Management genehmigte Richtlinien und Prozesse.
• Gefordert werden gegebenenfalls die Fachkenntnisse des Vorstands im Bereich Cybersicherheit und seine Rolle bei der Bewertung und Verwaltung von Cybersicherheitsrisiken.
  • CyberHoots Analyse: Sie benötigen einen vCISO, um Ihr Cybersicherheitsprogramm aufzubauen und den Vorstand über die Risiken zu informieren und anzuleiten.

Keine Strafanzeige, nur Geldstrafen

Der Vorschlag der SEC sieht zwar keine Anklage gegen Unternehmensvorstände oder Führungskräfte wegen Compliance-Verstößen vor, sie hätten aber das Recht, Bußgelder zu verhängen. Die traurige Wahrheit der Cyberkriminalität ist, dass sie Unternehmen ständig Kosten verursacht. Sicherheitsverletzungen verursachen unzählige Kosten, zu denen die SEC weitere potenzielle „Was wäre wenn?“-Kosten hinzufügt. Zu den Kosten von Sicherheitsverletzungen zählen gestohlenes geistiges Eigentum, forensische Untersuchungen, Marken- und Reputationsschäden, Kreditüberwachung, erhöhte Cyber-Versicherungsprämien und nun möglicherweise auch Bußgelder wegen Nichteinhaltung von Offenlegungsvorschriften.

MSPs spielen eine bedeutende Rolle

Managed Service Provider (MSPs) sollten dies zur Kenntnis nehmen. CyberHoot hat festgestellt, dass viele MSPs nur über unzureichende Prozesse und Verfahren verfügen. Das ist in solchen Situationen nicht sinnvoll. Bringen Sie Ordnung in Ihr eigenes MSP-System. Bauen Sie Ihr Cybersicherheitsprogramm mithilfe eines virtuellen oder partiellen Chief Information Security Officer (vCISO) auf. Diese Berater sind zwar knapp, aber hochqualifiziert und unterstützen Sie beim Aufbau wiederholbarer Prozesse und Verfahren – nicht nur für Ihren MSP, sondern auch für Ihre Kunden. Bedenken Sie: Rom wurde nicht an einem Tag erbaut, und Ihr Risikomanagementprogramm auch nicht. Je früher Sie beginnen, desto größer ist die Risikominderung, bevor Hacker zuschlagen und Sie oder einen Ihrer Kunden erpressen.

Fazit:

CyberHoot möchte, dass jedes Unternehmen Cybersicherheit mit einem präventiven Ansatz angeht. Sie müssen jedoch auch für den Ernstfall vorsorgen. Erstellen Sie Ihre Cybersecurity Incident Management-Pläne (CIMP) und planen Sie eine Übungseinheit, eine sogenannte Table-Top-Übung, um die Schwachstellen zu beseitigen. Bei einem kritischen Cybersicherheitsvorfall sollten Sie nichts dem Zufall überlassen, indem Sie ihn nicht skriptbasiert durchführen. Die späteren Berichtspflichten werden entweder gut durchdachte Pläne oder mangelnde Vorbereitungen offenlegen, was leicht zu kostspieligen Bußgeldern führen kann.

Sichern Sie Ihr Unternehmen noch heute mit CyberHoot!!!

Jetzt anmelden

Quelle:

SEC schlägt neue Offenlegungsregeln zur Cybersicherheit vor

Vollständiges SEC-Factsheet

Weitere Leseempfehlungen: 

Bericht der SEC zum Cybersicherheitsrisikomanagement an den Kongress