Novas regras foram estabelecidas pela Securities and Exchange Commission (SEC) relacionadas à divulgação de incidentes de cibersegurança por empresas registradas nos EUA. Essas regras modificam o Formulário 8-K, adicionando o Item 1.05, que exige que as empresas divulguem um incidente de cibersegurança material dentro de quatro dias úteis após determinarem sua materialidade.
A divulgação no Formulário 8-K deve incluir informações sobre a natureza, escopo e timing do incidente, bem como seu impacto material ou impacto material razoavelmente esperado na condição financeira e nos resultados operacionais da empresa. Se alguma dessas informações não puder ser determinada ou estiver indisponível no momento da divulgação inicial, a empresa deve fazer uma declaração nesse sentido.
As novas regras enfatizam a importância de se concentrar nos impactos materiais do incidente, em vez de fornecer detalhes específicos sobre o incidente. A avaliação da materialidade deve ser feita sem demora injustificada, sem estabelecer prazos específicos. A materialidade é definida conforme a definição da Suprema Corte dos EUA, indicando que a informação é material se houver uma probabilidade substancial de que um acionista a considere importante em sua decisão de investimento.
Além disso, as regras estendem as obrigações de divulgação para a gestão de riscos, estratégias e governança de cibersegurança. As empresas devem relatar seus processos para avaliar, identificar e gerenciar riscos materiais relacionados a ameaças de cibersegurança, bem como divulgar o papel do conselho de administração nesse processo. A divulgação é necessária em relatórios anuais no Formulário 10-K.
A SEC também aborda a possibilidade de adiamento na divulgação de incidentes de cibersegurança por até 30 dias, caso o Procurador-Geral dos EUA determine que a divulgação representa um risco substancial para a segurança nacional ou pública. Além disso, há disposições para prorrogações adicionais em circunstâncias extraordinárias.
As regras se aplicam a quase todos os registrantes obrigados a apresentar relatórios periódicos com a SEC, incluindo empresas de pequeno porte e emissores estrangeiros privados. O texto também destaca a necessidade de as empresas avaliarem a materialidade de incidentes de cibersegurança, considerando fatores quantitativos e qualitativos, como impacto financeiro, danos à marca, relacionamentos com clientes e fornecedores, litígios e investigações regulatórias.
As novas regras entrarão em vigor em datas específicas, dependendo do tipo de relatório e do tamanho da empresa. As empresas também serão obrigadas a marcar suas divulgações de cibersegurança no formato eXtensible Business Reporting Language (Inline XBRL) após um ano da data inicial de conformidade com os requisitos de divulgação relacionados.
Para ler o documento na íntegra, clique aqui.
