US-Banken fordern Aufhebung der SEC-Cyber-Regel: Nationale Sicherheit in Gefahr?

Fünf große US-Bankenverbände, angeführt von der American Bankers Association (ABA), haben einen dringenden Appell an die US-Börsenaufsichtsbehörde (SEC) gerichtet. Ihr Ziel: die Aufhebung der Vorschriften zum Cyberrisikomanagement, insbesondere die Regel, die börsennotierte Unternehmen zur Offenlegung wesentlicher Cybervorfälle innerhalb von vier Tagen verpflichtet. Die Banken argumentieren, dass diese Regelung die nationale Sicherheit gefährdet und die Strafverfolgungsmaßnahmen beeinträchtigen könnte. Ist die SEC-Cyber-Regel also ein Risiko für die USA?

Die Kernproblematik: Nationale Sicherheit vs. Transparenz

Die Bankenverbände betonen, dass die bestehende SEC-Cyber-Regel zu einem Konflikt mit Vertraulichkeitsanforderungen führen könnte. Die öffentliche Bekanntgabe von Cybervorfällen innerhalb von nur vier Tagen könnte gegen bundesstaatliche Protokolle zum Schutz kritischer Infrastrukturen und sensibler Finanzsysteme verstoßen. Dies könnte nicht nur die Fähigkeit der betroffenen Unternehmen beeinträchtigen, die Bedrohung effektiv zu beurteilen und zu bekämpfen, sondern auch die Strafverfolgungsbehörden behindern. Eine vorzeitige Offenlegung könnte Cyberkriminellen wertvolle Informationen liefern und somit die Sicherheit des gesamten Finanzsystems gefährden.

Weitere Bedenken: Marktverwirrung und Anlegerrisiko

Neben den Sicherheitsrisiken warnen die Banken auch vor möglichen negativen Auswirkungen auf den Finanzmarkt. Sie befürchten, dass übereilte Offenlegungen zu Fehlinterpretationen, Panikverkäufen und letztlich zu einem Vertrauensverlust bei den Anlegern führen könnten. Die Gruppen argumentieren, dass bestehende regulatorische Rahmenbedingungen, die von den Banken- und Finanzaufsichtsbehörden durchgesetzt werden, bereits einen angemessenen Anlegerschutz und eine angemessene Meldung von Vorfällen gewährleisten. Die SEC-Cyber-Regel schießt hier über das Ziel hinaus, so die Kritik.

Die SEC-Cyber-Regel im Detail

Die umstrittene Regel, offiziell bekannt als „Cybersecurity Risk Management, Strategy, Governance, and Incident Disclosure Rule“, wurde am 26. Juli 2023 von der SEC verabschiedet. Sie verpflichtet Aktiengesellschaften, wesentliche Cybervorfälle innerhalb von vier Geschäftstagen offenzulegen. Dies erweitert die ohnehin schon komplexen Melde- und Offenlegungspflichten für Finanzinstitute und andere Unternehmen des kritischen Infrastruktursektors. Die Bankenverbände fordern insbesondere die Aufhebung von „Item 1.05“ aus den SEC-Regeln für die Berichterstattung auf Formular 8-K und die parallelen Berichtspflichten für Formular 6-K.

Ransomware und Erpressung: Ein zusätzliches Risiko

Ein besonders besorgniserregender Aspekt ist die potenzielle Nutzung der SEC-Cyber-Regel durch Ransomware-Gruppen. Diese könnten die Regel nutzen, um Opfer für zusätzliche finanzielle Gewinne zu erpressen. Die Drohung, einen Cybervorfall öffentlich zu machen, könnte den Druck auf Unternehmen erhöhen, Lösegeld zu zahlen, um Imageschäden und potenzielle finanzielle Verluste zu vermeiden.

Die Forderung: Aufhebung von Item 1.05

Die Bankengruppen fordern vor allem die Aufhebung von Item 1.05 der SEC-Cyber-Regel, welches die Berichterstattung über Cybervorfälle auf Formular 8-K und Formular 6-K regelt. Sie argumentieren, dass dieser Teil der Regel besonders problematisch ist und die Reaktion auf Vorfälle sowie die Strafverfolgung behindert. Außerdem würden obligatorische und freiwillige Offenlegungen vermischt und so Marktverwirrung gestiftet.

FAQ: Häufig gestellte Fragen zur SEC-Cyber-Regel

• Was ist die SEC-Cyber-Regel?
  
  Die SEC-Cyber-Regel verpflichtet börsennotierte Unternehmen, wesentliche Cybervorfälle innerhalb von vier Geschäftstagen offenzulegen.
• Warum fordern Banken die Aufhebung der Regel?
  
  Die Banken argumentieren, dass die Regel die nationale Sicherheit gefährdet, die Strafverfolgung behindert und zu Marktverwirrung führen kann.
• Was ist Item 1.05?
  
  Item 1.05 ist ein Teil der SEC-Regeln, der die Berichterstattung über Cybervorfälle auf Formular 8-K und Formular 6-K regelt.
• Welche Risiken sehen die Banken durch die Regel?
  
  Die Banken sehen Risiken in Bezug auf Vertraulichkeit, Reaktionsfähigkeit, Marktstabilität und Erpressung durch Ransomware-Gruppen.
• Gibt es Alternativen zur SEC-Cyber-Regel?
  
  Die Banken argumentieren, dass bestehende regulatorische Rahmenbedingungen bereits einen angemessenen Anlegerschutz gewährleisten.

Fazit: Ein Balanceakt zwischen Transparenz und Sicherheit

Die Kontroverse um die SEC-Cyber-Regel verdeutlicht den schwierigen Balanceakt zwischen Transparenz und nationaler Sicherheit. Während die SEC das Ziel verfolgt, Anleger besser zu schützen und Unternehmen zur Rechenschaft zu ziehen, befürchten die Bankenverbände, dass die Regel in ihrer jetzigen Form mehr Schaden anrichtet als Nutzen bringt. Die Forderung nach Aufhebung der Regel unterstreicht die Notwendigkeit, die potenziellen Auswirkungen auf die nationale Sicherheit und die Finanzstabilität sorgfältig abzuwägen. Es bleibt abzuwarten, ob die SEC auf die Bedenken der Banken eingehen und die Regel überarbeiten wird.

Quellen: dig.watch, icba.org, binance.com, cryptonews.com, sifma.org, cointelegraph.com,