Da Ransomware-Angriffe und andere Cybersicherheitsbedrohungen immer raffinierter werden, stehen Unternehmen vor neuen, beunruhigenden Bedenken: dem Anstieg von Sammelklagen, die auf eine Datenschutzverletzung folgen.
Als wären die Produktionsverzögerungen und Reputationsschäden durch solche Angriffe nicht schlimm genug, müssen Führungskräfte jetzt auch das Risiko berücksichtigen, vor Gericht zu enden. Eine kürzlich durchgeführte Umfrage unter internen Prozessleitern globaler Unternehmen ergab, dass Cybersicherheits- und Datenschutzprobleme in den nächsten Jahren die Hauptfaktoren für neue Streitigkeiten sein werden.
Zusammen mit der steigenden Anzahl von Sammelklagen ist das steigende Preisschild von Vergleichen. Im Jahr 2020 führte einer der bekanntesten und teuersten Fälle – ein Cyberangriff auf das Kreditrating-Unternehmen Equifax – zu einer Sammelklage, die eine Einigung in Höhe von 700 Millionen US-Dollar verlieh, von denen 425 Millionen US-Dollar zur Entschädigung von Verbrauchern vorgesehen waren.
Andere Sammelklagen wegen Datenschutzverletzungen haben auch erhebliche Vergleiche gezogen: Capital One erreichte einen Vergleich von 190 Millionen US-Dollar, der auf eine massive Datenschutzverletzung von 2019 zurückzuführen ist; Uber erklärte sich bereit, 148 Millionen US-Dollar zu zahlen, um zivilrechtliche Rechtsstreitigkeiten beizulegen, die mit einer Datenschutzverletzung von 2016 verbunden sind; und zuletzt erklärte sich T-Mobile bereit, 350 Millionen US-Dollar zu zahlen, um Ansprüche zu lösen, dass es versäumt hat, eine Datenschutzverletzung zu verhindern, die 76 Millionen Amerikaner betraf. (Die Frist für die Einreichung eines Anspruchs war im Januar.)
Solche Summen machen deutlich, wenn es nicht bereits der Fall war, dass die Priorisierung der Cybersicherheit wichtiger denn je ist, so Mike Morgan, Partner und US-Leiter der globalen Datenschutz- und Cybersicherheit bei der globalen Anwaltskanzlei McDermott Will & Emery. „Cybersicherheitsverletzungen stellen ein Risiko für alle Organisationen dar, und das gilt seit vielen Jahren“, sagt er. „Aber mit der Zeit ist das Ausmaß des Risikos erheblich gestiegen.“
Und versierte Pinnwände werden zur Kenntnis genommen.
Ein Zusammenfluss von Ereignissen hat die Cybersicherheit vor die Tür von Vorständen gelassen, sagt Corporate Governance-Expertin Cynthia Clark, Autorin von Giving Voice to Values im Vorstand und Professorin für Management an der Bentley University. „Es gab diese Konvergenz von wirklich unzusammenhängenden Feldern, die sich gegenseitig verstärken – KI, maschinelles Lernen, Robotik, Nanotechnologie, Biotechnologie –, die wirklich ein Bewusstsein für Cybersicherheit auf Vorstandsebene geschaffen haben“, sagt sie. „Aber ich denke, es gibt eine kleine Lücke zwischen dem Bewusstsein und der Verantwortung dafür in einem Vorstand.“
Die folgenden Maßnahmen können den Gremien helfen, ihr Engagement für Cybersicherheit zu stärken, sich vor Sammelklagen zu schützen und sich auf eine sich verändernde Rechtslandschaft vorzubereiten.
Aufbau einer starken Cybersicherheitsexpertise auf dem Vorstand
Im Jahr schlug die US Securities and Exchange Commission (SEC) neue Regeln vor März 2022, die börsennotierte Unternehmen dazu verpflichten würden, standardisierte Offenlegungen zu Cybersicherheitsstrategie, Risikomanagement, Vorfallberichterstattung und Governance vorzunehmen. Diese Regeln würden auch von börsennotierten Unternehmen verlangen, Vorstandsmitglieder offenzulegen, die über Erfahrung in Sicherheit sowie die Art dieser Erfahrung verfügen.
„Ich gehe davon aus, dass es viele Rechtsstreitigkeiten und regulatorische Durchsetzungsmaßnahmen gibt, die sich auf die Frage konzentrieren, ob eine bestimmte Einheit über eine angemessene Cybersicherheit verfügt oder nicht.“Mike Morgan, Partner und Leiter der globalen Datenschutz- und Cybersicherheitsabteilung in den USA, McDermott Will & Emery
Eine kürzlich durchgeführte Umfrage des Wall Street Journal unter 1 000 der Russell 3000 -Unternehmen ergab, dass knapp 15 % offengelegt haben, dass sie einen Direktor mit Cybersicherheitsexpertise haben. Laut Clark ist dies ein Beispiel für die Trennung zwischen dem Bewusstsein, dass Cybersicherheit ein wichtiges Problem ist, und der Verantwortung dafür innerhalb der Vorstände.
„Vorstände können diese Lücke schließen, indem sie die Verbreitung der Cybersicherheit erkennen“, sagt sie. „Sie müssen aktiv nach Menschen mit dieser Erfahrung suchen, und es gibt viele dieser Menschen.“ Diese Personen müssen regulatorische Anforderungen, den Unterschied zwischen Datenschutz und Sicherheit verstehen und über fachkundige Kommunikationsfähigkeiten verfügen, fügt sie hinzu. Die Möglichkeit, zu besprechen, wie sich diese Angelegenheiten auf das Geschäftsmodell der Organisation auswirken, ist heute von entscheidender Bedeutung, ebenso wie die Notwendigkeit, Cybersicherheitsinformationen in Krisenmomenten zu destillieren.
SEC-Vorsitzender Gary Gensler sagt, dass Anleger mehr darüber wissen möchten, wie Emittenten die wachsenden Cybersicherheitsrisiken verwalten. „Ich glaube, Unternehmen und Investoren würden gleichermaßen davon profitieren, wenn diese Informationen auf konsistente, vergleichbare und entscheidungsrelevante Weise erforderlich wären“, bemerkte Gensler in einer SEC- Pressemitteilung. „Wenn [der Vorschlag] angenommen würde, würde dies die Fähigkeit der Anleger stärken, die Cybersicherheitspraktiken und die Vorfallsberichterstattung öffentlicher Unternehmen zu bewerten.“ Die Offenlegung der Cybersicherheitsexpertise könnte beeinflussen, ob eine Sammelklage auf eine Organisation eingeleitet wird – ein gut abgerundeter Vorstand könnte beispielsweise Ansprüche wegen Fahrlässigkeit aufheben, wenn ein Verstoß auftritt, während ein Mangel an Cybersicherheitsexpertise in einem Vorstand dazu beitragen könnte, eine Sammelklage einzureichen.
Eine Kultur der Cybersicherheit fördern
Die Bedeutung des Vorstands in Sachen Cybersicherheit kann nicht genug unterstrichen werden, sagt Morgan. Der Vorstand kontrolliert die Ressourcen, die erforderlich sind, um sicherzustellen, dass seine Organisation über angemessene IT- und Informationssicherheitsfunktionen verfügt, und es ist auch die Einheit, die eine Kultur der Offenheit und ehrliche Diskussionen über ihre Cybersicherheitsreife fördert, sagt er.
[Lesen Sie auch: 6 Cybersicherheitsfragen, die ich immer den Pinnwänden sage]
„Kultur beginnt oft mit dem Vorstand und der Entscheidung der C-Suite, dass Cybersicherheit wirklich wichtig ist. Wenn diese Bestimmung durch die Organisation nach unten verschoben wird – beispielsweise auf Rechts-, Risiko-, Vertrags- und Vertriebsvorgänge – , ermöglicht dies diesen Funktionen , durchsetzungsfähiger zu sein“, sagt er. „Im Laufe der Zeit werden Sie sehen, wie Organisationen reifen. Stimmen werden durchsetzungsfähiger und Sie haben Durchbrüche, wie z. B. Verkäufe, die diese Gruppen früher im Prozess einbeziehen. Sie entwickeln eine Sensibilität für diese Probleme , die es vorher nicht gab, da klar ist, dass dies für die Geschäftsleitung und den Vorstand wichtig ist.“
Leitet Diskussionen über angemessene Cybersicherheitsmaßnahmen
Da der Einsatz von KI in Cybersicherheit und Datenfortschritten leistungsstärker wird, sollten die Vorstände erwarten, mehr Diskussionen über die Kontrollen zu führen, die sie für den Schutz haben, sagt Morgan. Im Rahmen der neuen SEC-Regeln müssen Unternehmen beispielsweise „angemessene“ Cybersicherheitspraktiken entwickeln und aufrechterhalten, obwohl die SEC nicht definiert, was angemessen ist oder nicht. Morgan sagt, dass dieser Graubereich in zukünftigen Gerichtsverfahren wahrscheinlich im Vordergrund stehen wird.
„Ich gehe davon aus, dass es viele Rechtsstreitigkeiten und regulatorische Durchsetzungsmaßnahmen gibt, die sich auf die Frage konzentrieren, ob eine bestimmte Einheit über eine angemessene Cybersicherheit verfügt“, sagt er. „Im Verlauf dieser Gespräche wird es Diskussionen darüber geben, welche Standards angewendet werden sollten, um zu bestimmen, was angemessen ist oder nicht, und inwieweit die Frage der Angemessenheit vom Angriffsweg im Vergleich zur gesamten Cybersicherheit einer Organisation bestimmt wird.“
Wenn die Fälle von Datenschutzverletzungen weiter anhalten und die Anzahl der großen Vergleiche von Maßnahmen zur Datenverletzungsklasse weiter wächst, wird das Risiko durch unzureichende Sicherheit für die Entscheidungsträger offensichtlicher werden, sagt er. „Das bedeutet, dass es mehr Diskussionen über diese Probleme geben muss.“
Führen Sie eine selbstkritische Analyse durch
Eine selbstkritische Analyse ist eine Untersuchung des Cybersicherheitsprogramms einer Organisation, um Schwachstellen und Möglichkeiten zur Verbesserung ihrer Cybersicherheitsreife zu identifizieren. Ein großer Teil einer selbstkritischen Analyse konzentriert sich darauf, was getan werden kann, um einen Angriff zu stoppen, sagt Morgan, was besonders während Cybersicherheitsstreitigkeiten entscheidend ist.
„Während Equifaxes, T-Mobiles und andere große Jungs Schlagzeilen sammeln, sind kleine und mittlere Organisationen ebenfalls gefährdet.“
„Einer der Probleme, die in Gerichtsverfahren auftreten, ist, inwieweit der rechtliche Gegner Ihrer Organisation – ob es sich um einen Kläger, einen Anwalt des Klägers oder eine Regulierungsbehörde handelt – Zugang zu der selbstkritischen Analyse ihres eigenen Cybersicherheitsprogramms Ihrer Organisation haben kann“, sagt er. „Der Fokus auf das Stoppen von Angriffen ist aus juristischer Sicht sehr wichtig, da er hilft, potenzielle Ansprüche auf Unterlassung zu erahnen, die Aufträge suchen, um das Problem zu beheben oder sich aus Cybersicherheitsperspektive zu verbessern.“
Morgan sagt, dass die Durchführung einer selbstkritischen Analyse eine Best Practice ist, die Organisationen in Betracht ziehen sollten.
Und es sind nicht nur größere Unternehmen, die ihr Spiel verbessern müssen, um Rechtsstreitigkeiten zu verhindern oder darauf vorbereitet zu sein. Während die Equifaxes, T-Mobiles und andere große Jungs auf dem Block Schlagzeilen erhalten, sind kleine und mittlere Organisationen ebenfalls gefährdet.
Fall im Punkt: Das Hope College, eine kleine, Christian, vierjährige liberale Kunstschule in Holland, Michigan, die nun zwei getrennte Sammelklagen hat, die in der letzten Woche von 2022 eingereicht wurden. Die Klagen, die die Schule mit Fahrlässigkeit und dem Versäumnis belasten, Opfer schnell genug zu benachrichtigen – und somit „ihre Verletzungen festlich und den Schaden verbreiten“ zuzulassen – beziehen sich auf eine Datenschutzverletzung im September, die vertrauliche Informationen von mehr als 155 000 Personen gefährdet haben könnte. Ein weiteres warnendes Erzählen, um die Bedeutung der Verteidigung zu verdeutlichen.
Indem Unternehmen Cybersicherheitsexpertise auf Vorständen aufbauen, eine Kultur der Cybersicherheit an der Spitze vorantreiben, angemessene Sicherheitsmaßnahmen besprechen und kritisch und introspektiv auf die Cybersicherheitsprozesse des Unternehmens schauen, können sie mehr Bewusstsein schaffen, Best Practices einführen und eine stärkere Sicherheitsgrundlage aufbauen, um zukünftigen Rechtsstreitigkeiten standzuhalten.
