Die Wertpapier- und Börsenaufsichtsbehörde nimmt die Finanzdienstleistungsbranche ins Visier.
Nachdem die SEC im vergangenen Jahr börsennotierte Unternehmen mit neuen (und heftig diskutierten) Offenlegungsvorschriften für Datenschutzverletzungen in die Zange genommen und die Chief Information Security Officers (CISOs) mit einer wegweisenden Klage in Aufruhr versetzt hatte, bereitet sie nun eine ganze Reihe von Cybersicherheitsvorschriften für den Finanzdienstleistungssektor vor.
Die verwirrende Flut von Vorschlägen, die seit fast zwei Jahren ausgearbeitet wird, hat Makler, Anlageberater und andere Akteure der Branche zutiefst verärgert. (Einer der Kommissare der SEC selbst bezeichnete eine dieser Vorschriften als „Knüppel“.)
Wir verfolgen diese Vorschläge seit Monaten unter , Focal Pointund , und jedes Mal, wenn die SEC kurz vor einer Entscheidung zu stehen scheint, legt sie eine neue Reihe von Vorschlägen vor, von denen einige frühere Vorschläge widerspiegeln (oder sich vollständig mit ihnen überschneiden), was für Verwirrung sorgt und (zumindest einige) Fragen offen lässt.
„Hören Sie auf, schlecht durchdachte Ideen voranzutreiben, die nichts anderes bewirken, als eine Berufsgruppe von Rechtsanwälten zu stärken, deren Stundensätze offenbar jedes Mal steigen, wenn eine neue Vorschrift verabschiedet wird.“Christopher A. Iacovella, Vorstandsvorsitzender der American Securities Association
Eines ist klar: Die SEC geht nicht zimperlich vor. Die neuen Vorschriften zu Datenschutzverletzungen , die im vergangenen Juli verabschiedet wurden , verpflichten börsennotierte Unternehmen dazu, alle erheblichen oder „wesentlichen“ Cybersicherheitsvorfälle innerhalb von vier Tagen offenzulegen – eine umstrittene Maßnahme, die in den Vorstandsetagen der US-Unternehmen für Aufsehen sorgte.
Und die Reaktion der SEC auf den verheerenden SolarWinds-Angriff – eine Klage gemäß dem „ “ gegen das Unternehmen und dessen CISO, Timothy Brown – stellt den ersten Fall dar, in dem ein CISO persönlich haftbar gemacht wurde, weil er Investoren angeblich über die Sicherheitslage des Unternehmens in die Irre geführt und es versäumt hatte, grundlegende Sicherheitsvorkehrungen zu treffen. Die CISOs sind zu Recht fassungslos, und einige erwägen, die Branche zu verlassen.
Für diejenigen im Finanzdienstleistungssektor , die sich fragen, was die Einhaltung der Vorschriften in den kommenden Monaten für sie bedeuten wird, haben wir die wichtigsten Punkte zusammengestellt. Machen Sie sich also bereit: In dem Bestreben, ihre Cybersicherheits- und Technologiepolitik zu verschärfen, führt uns die SEC auf eine holprige Reise.
Eine Übersicht über die von der SEC vorgeschlagenen Cyber-Vorschriften für Finanzdienstleistungsunternehmen
Die SEC bemüht sich seit mehr als zwei Jahren darum, den Finanzdienstleistungssektor unter Kontrolle zu bringen. Es begann mit…
- Ein Vorschlag für eine Vorschrift der „ “ zur Cybersicherheit für Anlageberater und Fonds, , veröffentlicht unter Februar 2022. Dies würde schriftliche Richtlinien zur Bewältigung von Cybersicherheitsrisiken sowie die Meldung schwerwiegender Cybersicherheitsvorfälle an die Kommission innerhalb von 48 Stunden erfordern. Die SEC bat die Öffentlichkeit, sich zu dem Vorschlag zu äußern, und nahm mehrere Monate lang Stellungnahmen entgegen.
Etwa ein Jahr später legte die Kommission mit dem Dokument „ März 2023“ einen ähnlichen Regelungsvorschlag vor, der sich an eine Gruppe richtete, die gemeinsam als „Marktteilnehmer“ bezeichnet wurde. Dazu zählen Wertpapiermakler, Clearingstellen, nationale Wertpapierverbände und Börsen.
- Diese Vorschrift, bekannt als „ “ (Regel 10), , würde schriftliche Sicherheitsrichtlinien vorschreiben, die Bereiche wie Zugriffskontrolle, Schutz vor Schadsoftware sowie die Speicherung und Überwachung von Informationen abdecken. Unternehmen müssten zudem regelmäßige Überprüfungen durchführen, um sicherzustellen, dass sie weiterhin den sich wandelnden Cybersicherheitsrisiken gerecht werden, sowie über Richtlinien zur Reaktion auf Vorfälle verfügen, um auf Vorfälle angemessen reagieren zu können. Die Vorschrift schreibt zudem vor, dass eine Datenschutzverletzung innerhalb von 48 Stunden unter Verwendung von Teil 1 des Formulars SCIR gemeldet werden muss. Unternehmen müssten zudem die Öffentlichkeit im selben Kalenderjahr unter Verwendung des zweiten Teils des Formulars informieren.
Gleichzeitig wurden zwei Änderungsvorschläge zu anderen Bestimmungen vorgelegt.
- Eine Änderung des „ “ ( ) betrifft die Verordnung S-P ( ), bei der es sich um eine Vorschrift handelt, die Richtlinien für zum Schutz von Kundendaten () festlegt. Die Gesetzesänderung würde Broker-Dealer, Investmentgesellschaften, registrierte Anlageberater und Transferstellen dazu verpflichten, die von den Datenschutzverletzungen betroffenen Personen zu benachrichtigen.
- Eine weitere Änderung des „ “ ( ) betrifft die „Regulation Systems Compliance and Integrity“ (Reg SCI) ( ), eine 2015 -Regel, die die Kommission zur Überwachung von IT-Systemen auf den Wertpapiermärkten einsetzt. Diese Gesetzesänderung würde den Geltungsbereich auf weitere Unternehmen ausweiten und zusätzliche Verpflichtungen einführen, darunter eine Ausweitung der Definition des Begriffs „Systemeindringen“ sowie die Einführung weiterer Meldepflichten.
Verwirrung, Beschwerden und Verzögerungen
Die vorgeschlagenen Regelungen und zusätzlichen Änderungen lösten eine Flut negativer Stellungnahmen seitens der Branche aus. „Wir fordern diese Kommission nachdrücklich auf, nicht länger an schlecht durchdachten Ideen festzuhalten, die nichts anderes bewirken, als eine Berufsgruppe von Rechtsanwälten und Beratern zu stärken, deren Stundensätze offenbar jedes Mal steigen, wenn eine neue Vorschrift verabschiedet wird“, erklärte Christopher A. Iacovella, Geschäftsführer der American Securities Association, in einer öffentlichen Stellungnahme unter , die unter dem Titel „“ veröffentlicht wurde.
Andere wiesen auf Redundanzen hin.
„Die Reg SCI erzielt bereits die gleichen Ergebnisse hinsichtlich der Cyber-Resilienz gemäß der vorgeschlagenen Vorschrift 10 für die Unternehmen, die der Reg SCI unterliegen oder unterliegen werden“, bemängelte Nashira Spencer, Geschäftsführerin der Depository Trust & Clearing Corporation, in ihrer Stellungnahme „ “ zu den Vorschlägen.
Als ob die Flut komplizierter und sich überschneidender Vorschläge nicht schon genug wäre, hat die Kommission zudem die Frist für öffentliche Stellungnahmen zur Anlageregelung – erinnern Sie sich an den ersten Vorschlag für Anlageberater und Fonds aus 2022? – unter März 2023 erneut eröffnet , um diese mit den neuen Vorschlägen in Einklang zu bringen, erklärt Richard Borden. Als Partner in der Praxisgruppe „Datenstrategie, Datenschutz und Sicherheit“ der Anwaltskanzlei Frankfurt Kurnit Klein & Selz verfolgt Herr Borden aufmerksam die Regulierung des Finanzdienstleistungssektors durch die SEC. „[Sie werden] dann vermutlich einen vollständigen Satz herausgeben, der alle von ihnen beaufsichtigten Unternehmen abdeckt.“
Viele Kommentatoren äußerten Bedenken hinsichtlich der kurzen Fristen – lediglich 48 Stunden für die Meldung eines Cyberangriffs, manchmal sogar weniger –, und die Berichte müssten während eines Angriffs fortlaufend aktualisiert werden. Die Investment Advisors Association bezeichnete dies als „ “ („aufwändig und unnötig“) und wies darauf hin, dass die SEC dadurch mit Daten überflutet würde, die sie nicht verarbeiten könne. von Amazon Web Services wies darauf hin, dass „die Bereitstellung von Informationen, bevor ein Vorfall ausgewertet wurde, zu Verwirrung und Missverständnissen führen kann.“
[Lesen Sie auch: RaaS-Kurs – Ein Leitfaden zur Abwehr von Ransomware-as-a-Service-Angriffen]
Auch die Kommissare der SEC zeigten sich unzufrieden mit dem Vorschlag zu Regel 10 , der mit 3-2 Stimmen angenommen wurde. Eine Abweichlerin, Kommissarin Hester M. Peirce, warnte, die Regelung sei ein „-Keule", mit der Marktteilnehmer eher bedroht als unterstützt würden.“ Sie machte sich Sorgen hinsichtlich der rechtlichen Haftung für Falschangaben oder Auslassungen in Teil 1 des Formulars SCIR, das die Unternehmen in einer von Panik geprägten Phase ausfüllen würden, in der möglicherweise noch keine genauen Informationen vorlägen.
„Diese Regelung lässt sich eher als Instrument zur Aufbesserung unserer Statistiken über die Durchsetzungsmaßnahmen zum Jahresende verstehen als als ernstzunehmender Vorschlag zur Erhöhung der Sicherheit an den Wertpapiermärkten“, sagte sie.
Verlagern die Cyber-Vorschriften der SEC das Risiko auf die schwächste Stelle?
Die SCI-Erweiterungen haben zudem besorgniserregende Auswirkungen auf Wertpapierunternehmen, die Cloud-Dienste von Anbietern der „ “ nutzen . Der Regelungsvorschlag lehnt den Grundsatz der geteilten Verantwortung ausdrücklich ab. Dies ist ein etabliertes Konzept im Bereich Cloud Computing, bei dem die Verantwortlichkeiten für die Sicherheit und die Systemausfallsicherheit zwischen dem Cloud-Dienstanbieter und dem Nutzer aufgeteilt werden. Stattdessen trägt die unter das SCI fallende Organisation gemäß dem Vorschlag die Hauptlast dieser Verantwortlichkeiten. Darin wird zudem empfohlen, dass eine Organisation bei Bedarf mehrere Cloud-Dienstleister gleichzeitig einsetzt, um eine zusätzliche Ausfallsicherheit zu gewährleisten.
„Das ist aus technischer Sicht unglaublich schwierig und wäre extrem kostspielig.“Richard Borden, Partner bei Frankfurt Kurnit Klein & Selz, zu einem Verordnungsentwurf, der Organisationen in bestimmten Situationen zur Nutzung mehrerer Cloud-Dienstleister verpflichtet
„Das ist aus technischer Sicht unglaublich schwierig und wäre äußerst kostspielig“, sagt Borden. Er fügt hinzu, dass die zusätzliche Komplexität zu betrieblichen Problemen führen könnte, die die Zuverlässigkeit der Systeme eher beeinträchtigen als verbessern würden.
Borden befürchtet, dass die vorgeschlagenen Vorschriften die Last des Risikomanagements den Finanzinstituten auferlegen, die möglicherweise nicht über die erforderlichen Mittel verfügen, um dieser gerecht zu werden. So könnten die zusätzlichen Anforderungen die betroffenen Organisationen beispielsweise dazu zwingen, gänzlich auf Cloud-Dienste zu verzichten und stattdessen auf weniger sichere lokale Systeme zurückzugreifen.
„Ich befürchte, dass sie zu unangemessenem Verhalten oder zu Verhaltensweisen führen könnten, die möglicherweise noch schädlicher sind“, fügt er hinzu.
Diese Ausweitungen der Regulierung bergen zudem die Gefahr, dass es zu Überschneidungen mit noch weiteren Vorschriften kommt. In „ Oktober 2023“ schlug die Kommission vor, dass die Aufsichtsbehörde „ “ die von Anlageberatern ausgelagerten Dienstleistungen überwachen solle. Berater müssten die Kompetenz und die Ressourcen eines Dienstleisters prüfen und etwaige damit verbundene Risiken bewerten, dabei die Leistung des Dienstleisters regelmäßig überwachen und den Vertrag neu bewerten sowie den gesamten Prozess dokumentieren.
Die vorgeschlagenen Anforderungen enthalten zudem zahlreiche zusätzliche Maßnahmen, die Cloud-Dienstleister betreffen, darunter die Ausarbeitung von Vereinbarungen, wonach der Berater für einen Mindestzeitraum als Kunde geführt werden muss, sowie die Gewährleistung der Verfügbarkeit.
Die Cyber-Vorschriften der SEC nehmen KI unter die Lupe
Keine Aufsichtsbehörde, die etwas auf sich hält, würde es sich entgehen lassen, das Risiko der KI zu regulieren. Daher hat die Kommission in „ Oktober 2023 “ einen Regelungsvorschlag unter dem Titel „“ ( ) veröffentlicht, der sich auf den Einsatz von Technologien wie KI und Predictive Analytics () bezieht. Dies rührt von der Befürchtung her, dass Berater diese Technologien nutzen könnten, um ihre eigenen Interessen auf Kosten der Anleger zu verfolgen, und gilt sogar für Robo-Advisor-Dienste.
Das Problem sei, dass dies auch für alles andere gelte, warnte Kommissar Mark T. Uyeda in einer Stellungnahme auf , in der er seine Ablehnung des Vorschlags zum Ausdruck brachte.
„Gemäß dem Wortlaut der Vorschrift könnten sogar nicht-elektronische Rechenhilfen wie ein Abakus rechtlich in deren Anwendungsbereich fallen“, warnte er.
Uyeda kritisierte zudem „die Tendenz der jüngsten Vorschläge der Kommission, in denen etwas abwegige Elemente enthalten waren, die die Aufmerksamkeit und den Fokus der Kommentatoren auf sich zogen“.
Eine dieser Kritikerinnen war Jennifer W. Han, geschäftsführende Vizepräsidentin der Managed Funds Association. Ihr Kommentar unter zu dem Vorschlag enthielt eine Folgenabschätzung der vorgeschlagenen Regelung, die das Außenministerium bei der Wirtschaftsberatungsfirma NERA in Auftrag gegeben hatte. Sie warnte davor, dass die Regelung „erhebliche Befolgungskosten mit sich bringen würde, die Unternehmen zur Schließung oder zum Zusammenschluss zwingen könnten“.
Ein Mangel an ganzheitlichem Denken
Ein vorrangiges Problem bei vielen Vorschriften der SEC besteht nicht nur in deren Überschneidungen untereinander, sondern auch in ihrer mangelnden Übereinstimmung mit anderen staatlichen Berichtspflichten.
Harley L. Geiger, Rechtsberater für Cybersicherheitsrecht und -politik bei der Anwaltskanzlei Venable LLP, verweist auf einen Bericht des „ September 2023 “ () mit dem Titel „ “, der vom Amt für Strategie, Politik und Planung des Ministeriums für Innere Sicherheit erstellt wurde und sich mit der Harmonisierung der Meldung von Cybervorfällen an die Bundesregierung befasst. Bei der Auswertung von 52 geltenden oder vorgeschlagenen Meldepflichten für Cybervorfälle wurden potenziell sich überschneidende Anforderungen festgestellt.
Dieser Mangel an einer einheitlichen Berichterstattungsrichtlinie könnte dazu führen, dass Unternehmen – insbesondere solche, die der Aufsicht mehrerer Regulierungsbehörden unterliegen – mit einer Vielzahl unterschiedlicher Berichtspflichten und Fristen konfrontiert werden, so Geiger. „Dies ist ein nicht optimales regulatorisches Umfeld.“ „Wir halten es für wichtig, dass Organisationen darauf vorbereitet sind, mit dieser uneinheitlichen Situation umzugehen, dass aber auch eine stärkere Harmonisierung der Richtlinien zur Meldung von Cybervorfällen auf Bundesebene erreicht wird.“
Bitte haben Sie einen Moment Geduld
Von der SEC (die auf unsere Anfrage nicht geantwortet hat) liegen keine Angaben dazu vor, ob oder wann die vorgeschlagenen Vorschriften in Kraft treten könnten.
Borden hatte ursprünglich erwartet, dass die Kommission kurz nach der Einführung der ersten Regelung für Anlageberater erste Ergebnisse vorlegen würde. „Als sie dann letztes Jahr all diese Maßnahmen ergriffen haben, dachte ich: ‚Okay, in 90 Tagen werden wir etwas haben‘“, schließt er. „Nun, es sind nun schon 14 Monate vergangen.“
