Amerikaanse bedrijven moeten mogelijk datalekken gaan melden

Amerikaanse beursgenoteerde bedrijven moeten in de nabije toekomst mogelijk binnen vier dagen datalekken gaan melden aan aandeelhouders. Ook moeten bedrijven gaan rapporteren over datalekken uit het verleden en wat ze aan beveiliging doen.

Beursgenoteerde bedrijven zijn nu al wel verplicht om risico's in kaart te brengen, maar ze zijn inconsistent in het rapporteren van datalekken en andere incidenten op het gebied van digitale beveiliging, zegt de Amerikaanse beurstoezichthouder SEC. De nieuwe regels moeten duidelijk maken wat bedrijven wanneer precies moeten melden. Nu melden bedrijven 90 procent van de incidenten niet, zo claimt de SEC.

Bedrijven moeten aandeelhouders binnen vier dagen op de hoogte stellen van datalekken en bovendien periodiek rapporteren over de gevolgen van datalekken uit het verleden. Ook moet er informatie komen over wat de directie doet om incidenten te voorkomen en de beveiliging op orde te houden.

De gedachte is dat informatie over digitale beveiliging belangrijke informatie voor aandeelhouders is over hoe het bedrijf wordt geleid en daarmee dus invloed kan hebben op de beurskoers. De SEC gaat de komende twee maanden vragen om input over de nieuwe regels en neemt daarna een definitieve beslissing. In Nederland is het melden van datalekken al langer verplicht voor alle bedrijven.

Reacties (11)

[The Zep Man]

Bedrijven moeten aandeelhouders binnen vier dagen op de hoogte stellen van datalekken en bovendien periodiek rapporteren over de gevolgen van datalekken uit het verleden. Ook moet er informatie komen over wat de directie doet om incidenten te voorkomen en de beveiliging op orde te houden.

De gedachte is dat informatie over digitale beveiliging belangrijke informatie voor aandeelhouders is over hoe het bedrijf wordt geleid en daarmee dus invloed kan hebben op de beurskoers.

(...)

In Nederland is het melden van datalekken al langer verplicht voor alle bedrijven.

In de VS komt bescherming voor burgers indirect uit bescherming voor geld. In Nederland (en de rest van de EU) is die bescherming er tenminste direct dankzij GDPR, en heb je ook meer rechten (inzage, correctie, verplaatsing, verwijderen). En natuurlijk geldt het in de EU niet enkel voor beursgenoteerde bedrijven, maar voor alle organisaties.

[Reactie gewijzigd door The Zep Man op 24 juli 2024 06:33]

[kodak]

De SEC is een zelfstandige overheidsorganisatie dat onder andere gaat over regels en naleving voor bedrijven met belang via aandelen. Het is dus niet de algemene wetgever van het land of individuele staten.
Dat SEC zelf met verplichting komt kan dus niet zomaar gaan over rechten van consumenten. Dat de SEC wel met regels komt hoeft niet alleen te zijn vanwege zorgen voor aandeelhouders. Ze kunnen waarschijnlijk moeilijk regels gaan maken over zaken waar ze niet over gaan. Je kan stellen dat het gedreven is door geld, maar bijvoorbeeld ook door besluiteloosheid of onenigheid van de vele andere wetgevers om meer algemener tot wetgeving te komen. Dan hebben ze nu tenminste iets.

[The Zep Man]

Mijn commentaar was op de VS als geheel, niet op welke overheidsorganisatie wat doet. De problemen in de VS overstijgen dan ook de verschillende takken van de overheid.

[F_J_K]

Dit kan je als in de praktijk veel strenger dan de AVG meldplicht zien, denk ik. In Nederland niet op tijd melden geeft, ik zet het wat erg sterk aan, door de beperkte capaciteit om te handhaven een kansje op misschien een boete als het structureel fout gaat (of fout gaat bij een groot lek).

Niet melden van een datalek in de VS geeft elke aandeelhouder de kans om schadevergoeding te eisen als het later alsnog uitkomt - bijvoorbeeld omdat het slachtoffer dat in de media laat weten.

[wankel]

Dit kan je als in de praktijk veel strenger dan de AVG meldplicht zien, denk ik. In Nederland niet op tijd melden geeft, ik zet het wat erg sterk aan, door de beperkte capaciteit om te handhaven een kansje op misschien een boete als het structureel fout gaat (of fout gaat bij een groot lek).

Niet melden van een datalek in de VS geeft elke aandeelhouder de kans om schadevergoeding te eisen als het later alsnog uitkomt - bijvoorbeeld omdat het slachtoffer dat in de media laat weten.

Ja, in feite wordt handhaving uitbesteed aan de aandeelhouders.

-- edit, en de meeste gevallen zullen er per bedrijf meer aandeelhouders zijn dan de ACM in totaal aan personeel heeft. Dat gecombineerd met persoonlijk belang van die aandeelhouders zal meer druk op bedrijven zetten dan een kleine groep overwerkte ambtenaren in onze versie.

[Reactie gewijzigd door wankel op 24 juli 2024 06:33]

[IIIIIIIIIIII]

Waarom zou je het ook melden als het niet verplicht is. Nu hebben de bedrijven eindelijk een extra reden om beter voor hun systemen te zorgen.

[Orangelights23]

Je hoort steeds meer signalen dat cybersecurity ook door aandeelhouders belangrijk gevonden wordt en dat dit onderwerp terug moet komen in jaarverslagen. Goede ontwikkeling wat mij betreft. Ik heb bij wat Amerikaanse organisaties wat tijdelijke CISO-rollen vervult en cybersecurity is daar van een veel hoger niveau dan in Europa.

[tepelnick]

goeien handel

[Haribo112]

wraptastic!

[tepelnick]

bergt t m op, zo in de laai

[Dark Angel 58]

Mooi zo, nu ben ik echt benieuwd naar Facebook.