Публичные компании теперь должны будут раньше раскрывать инциденты кибербезопасности благодаря правилу, принятому Комиссией по ценным бумагам и биржам. Согласно новой политике, SEC потребует от публичных компаний сообщать об утечках данных и взломах через четыре рабочих дня после их обнаружения.
Компании должны будут раскрывать любые инциденты кибербезопасности в форме 8-K. Эти общедоступные документы обычно информируют акционеров о серьезных изменениях в компании — и теперь они будут включать новый пункт 1.05 для инцидентов кибербезопасности. Раскрытие информации должно включать информацию о «характере, масштабе и сроках», а также о «существенном или достаточно вероятном влиянии» на компанию.
Однако есть исключение из требования о четырехдневном раскрытии информации. SEC заявляет, что раскрытие информации может быть отложено, если генеральный прокурор США решит, что оповещение акционеров об инциденте «представит существенный риск для национальной или общественной безопасности».
Кроме того, SEC разработала новый пункт под номером 106 регламента SK, который будет включен в ежегодную подачу компанией формы 10-K. Это потребует от компаний описания своего процесса «для оценки, выявления и управления существенными рисками, связанными с угрозами кибербезопасности». Компании также должны раскрывать способность своего руководства оценивать и управлять существенными рисками кибератак.
SEC начнет требовать от публичных компаний раскрывать утечки данных через 90 дней после даты публикации в Федеральном реестре или 18 декабря 2023 года — в зависимости от того, что наступит позже. Между тем, компании должны будут включать свои протоколы кибербезопасности в формы 10-K, начиная с финансового года, заканчивающегося 15 декабря 2023 года или позже.
