Nach dem SEC Ruling sind nun alle an der US-Börse gelisteten Unternehmen verpflichtet, bedeutende Datensicherheitsvorfälle innerhalb von vier Werktagen öffentlich bei der SEC zu melden. Darüber hinaus müssen sie in ihrem Jahresbericht (10-K) ihre Verfahren zur Erkennung und Bewältigung wesentlicher Cybersecurity-Risiken darlegen, einschließlich der Rolle des Vorstands.

Beachten Sie: Diese Regelung gilt auch für ausländische private Emittenten (z.B. deutsche Firmen, die eine US-Anleihe begeben haben). Sie sind jedoch nur zur Ad-hoc-Meldung (Form 6-K) von Vorfällen verpflichtet, wenn sie in einer anderen Rechtsordnung, z.B. gemäß der Marktmissbrauchsverordnung (Market Abuse Regulation), zur Meldung verpflichtet sind.

Die Erheblichkeit eines Ereignisses wird insbesondere durch die potenziellen finanziellen Konsequenzen bestimmt. Diese Konsequenzen müssen im Bericht dargestellt werden, nicht jedoch, ob der Vorfall noch andauert oder ob Daten beeinträchtigt wurden.

Die US-Gesetzgebung bezüglich der Meldung von Datensicherheitsvorfällen rückt somit zunehmend näher an die europäischen Regelungen heran, was grundsätzlich zu begrüßen ist. Jüngst führte der US Cyber Incident Reporting for Critical Infrastructure Act (CIRCIA) Meldepflichten für Sicherheitsvorfälle in kritischer Infrastruktur ein, vergleichbar mit den in Deutschland geltenden NIS-Richtlinien und dem BSI-Gesetz. Ein besonderer Aspekt der US-Regelungen ist die Verpflichtung, solche Vorfälle innerhalb von 72 Stunden und Ransomware-Zahlungen sogar innerhalb von 24 Stunden zu melden.

Mit dem neuen SEC-Ruling wird nun eine gesetzliche Pflicht zur Meldung von Cybersicherheitsvorfällen für US-Unternehmen eingeführt, die nicht ausschließlich auf die kritische Infrastruktur beschränkt ist. Diese Regelung betrifft mit Blick auf die wenigen deutschen Foreign Filers sowie Private Issuers in den USA weniger Wirtschaftsteilnehmer als die Meldepflichten nach der DS-GVO sowie zukünftig durch die NIS2-Umsetzungsgesetze, kann jedoch durch die Kapitalmarktrelevanz der Unternehmen erhebliche Folgen haben. Denn es wird nicht eine Meldung begrenzt an eine Aufsichtsbehörde oder bestimmte betroffene Personen gefordert, sondern auch an die (Investor-)Öffentlichkeit.