Die amerikanische Finanzwelt erlebt aktuell eine hitzige Debatte rund um die von der US-Börsenaufsichtsbehörde SEC im Jahr 2023 eingeführte Cyberoffenlegungsregel. Führende Bankenverbände wie die American Bankers Association (ABA), der Bank Policy Institute (BPI) sowie die Securities Industry and Financial Markets Association (SIFMA) haben sich zusammengeschlossen, um die Rücknahme dieser Regel zu fordern. Ihre Argumentation basiert vor allem auf der Einschätzung, dass die Regel nicht nur ineffektiv, sondern sogar schädlich für die nationale Sicherheit und den Schutz von Investoren sein kann. Die Diskussion um die Cyberoffenlegungsregel spiegelt dabei die komplexen Herausforderungen wider, vor denen Unternehmen und Regulierungsbehörden im digitalen Zeitalter stehen.
Die SEC hatte die Cyberoffenlegungsregel mit dem Ziel eingeführt, mehr Transparenz bei bedeutenden Cybervorfällen zu schaffen, indem Unternehmen verpflichtet werden, solche Vorfälle innerhalb von nur vier Geschäftstagen offenzulegen. Dieser enge Zeitrahmen soll Investoren eine schnelle Information bieten und somit deren Fähigkeit verbessern, fundierte Entscheidungen zu treffen. Während das Prinzip der schnellen Transparenz über Cybervorfälle grundsätzlich begrüßenswert erscheint, zeigt sich in der Praxis eine Reihe von Problemen und Risiken, die zu einer Kritik an der Umsetzung führen. Die von den Bankenverbänden eingereichte Petition an die SEC vom 22. Mai 2025 richtet sich konkret gegen die Regelungen zum Item 1. 05 im Formular 8-K sowie die entsprechenden Vorgaben für ausländische Unternehmen im Formular 6-K. Die Verbände bemängeln, dass das fordernde Offenlegungstempo insbesondere bei komplexen Cyberangriffen kontraproduktiv ist.
Viele Cybervorfälle sind während der ersten Tage noch nicht vollständig verstanden, und die Systeme oft noch nicht ausreichend gesichert oder bereinigt. Die Offenlegung derart unvollständiger Informationen kann Angreifern stattdessen taktische Vorteile verschaffen und die IT-Sicherheitsmaßnahmen schwächen. Eines der Hauptargumente der Verbände ist, dass die Pflicht zur schnellen Meldung von Cybervorfällen von Bedrohungsakteuren wie Ransomware-Gruppen aktiv ausgenutzt wird. Diese setzen Unternehmen unter Druck, indem sie drohen, die Schwachstellen und Sicherheitslücken öffentlich zu machen. Das führt zu einer zusätzlichen Belastung der betroffenen Firmen und erhöht das Risiko weiterer oder wiederholter Angriffe während oder kurz nach der Offenlegung.
Darüber hinaus wird kritisiert, dass die verpflichtende frühzeitige Transparenz mit bestehenden bundesweiten Vorschriften für die vertrauliche Meldung von Cyberangriffen, wie etwa dem Cyber Incident Reporting for Critical Infrastructure Act (CIRCIA), in Konflikt geraten kann. Diese gesetzlichen Regelungen zielen darauf ab, die kritische Infrastruktur in den USA wirksam zu schützen, indem Vorfälle vertraulich und koordiniert gemeldet werden. Die SEC-Regularien hingegen verlangen zum Teil eine öffentliche Offenlegung, die sensible Informationen preisgibt und den nationalen Sicherheitsinteressen zuwiderlaufen könnte. Ein weiterer Kritikpunkt der Bankenverbände besteht in der scheinbaren Unklarheit und Verwirrung, die die Regel für die Unternehmen mit sich bringt. Trotz der Bemühungen des SEC-Personals um zusätzliche Leitlinien und Interpretationen empfinden viele öffentliche Unternehmen die Anforderungen als schwer zu interpretieren.
Insbesondere der Unterschied zwischen den Meldepflichten unter Item 1. 05 und Item 8. 01 des Formulars 8-K sorgt für Unsicherheit und eine uneinheitliche Anwendung. Dies wiederum kann zu rechtlichen Risiken und unnötigen Reputationsschäden führen. Die Verbände plädieren deshalb für die Rücknahme der aktuellen Cyberoffenlegungsregel. Stattdessen empfehlen sie die Verwendung bereits bestehender Meldevorschriften, insbesondere des Regulation S-K Item 105 sowie der allgemeinen Meldepflichten für maßgebliche Risiken. Diese Rahmenwerke erlauben eine flexiblere, kontextbezogene Offenlegung bedeutender Cybervorfälle ohne den Zwang zur überstürzten Preisgabe von unvollständigen Informationen. Das würde sowohl die Interessen der Investoren wahren als auch die Resilienz der Unternehmen sowie die nationale Cybersicherheit besser schützen. Aus Sicht der Bankenverbände sorgt die derzeitige Regulierung für mehr Schaden als Nutzen.
Die vorzeitige Offenlegung von Cybervorfällen könne zu Märkten führen, die auf falschen oder verfrühten Informationen basieren, was die Entscheidungsfähigkeit von Investoren behindere, anstatt sie zu stärken. Bemerkenswerterweise macht die Petition darauf aufmerksam, dass das Risiko einer Eskalation von Angriffen nach der Veröffentlichung bekannt gewordener Sicherheitslücken signifikant ansteigt. Im weiteren Verlauf der Diskussion bleibt die SEC endgültig in der Pflicht abzuwägen, wie sie Transparenzanforderungen und die Anforderungen an Datenschutz und Sicherheit sinnvoll miteinander in Einklang bringt. Die Petition der Bankenverbände könnte dabei als entscheidendes Signal dienen, die bestehenden Regelungen neu zu evaluieren oder anzupassen. Insbesondere im Kontext der immer komplexeren und bedrohlicheren Cyberrisiken ist eine gut durchdachte Regulierung von größter Bedeutung.
Diese Debatte verdeutlicht auch, wie schwierig es für Regulierungsbehörden ist, in der digitalen Ära Standards zu setzen, die sowohl den Schutz von Anlegern als auch die Sicherheit der nationalen Infrastruktur gewährleisten. Die Überforderung vieler Firmen mit den schnellen Offenlegungspflichten zeigt die Notwendigkeit klarer und zugleich praktikabler Vorgaben, die nicht gegen die Interessen der Unternehmen oder der nationalen Sicherheit arbeiten. Investoren und die breite Öffentlichkeit erwarten weiterhin, dass Cybervorfälle angemessen und zeitnah kommuniziert werden. Dabei darf jedoch nicht außer Acht gelassen werden, dass die vollständige Transparenz über laufende Cyberangriffe möglicherweise einen doppelten Effekt hat: Sie schützt zwar den Kapitalmarkt, gefährdet aber die IT-Sicherheit durch potenzielles Bekanntwerden von Schwachstellen. Eine Balance zwischen diesen beiden Zielen ist unerlässlich.
Die anhaltenden Diskussionen und die Petition der US-Bankenverbände stellen daher einen bedeutenden Weckruf dar. Sie fordern nicht nur eine Nachbesserung der SEC-Vorgaben, sondern regen auch eine breitere gesellschaftliche und regulatorische Debatte über den Umgang mit Cyberrisiken an. Eine intelligente, flexible und umfassende Regulierung könnte so dazu beitragen, die Boombranche der Technologie und Finanzmärkte sicherer und nachhaltiger zu gestalten. Abschließend bleibt abzuwarten, wie die SEC auf die Forderungen der starken Bankengruppen reagieren wird. Sollte sie die Petition annehmen, könnten sich maßgebliche Änderungen im regulatorischen Umfeld ergeben, die sicherlich Einfluss auf das Verhalten von Unternehmen und Investoren in den kommenden Jahren haben werden. Diese Entwicklung wird mit Spannung verfolgt, da sie wegweisend für die Regulierung von Cyberrisiken in den USA und darüber hinaus sein könnte.
