Règle de la SEC sur la divulgation des incidents cyber

La règle adoptée par la commission américaine des valeurs mobilières le 26 juillet 2023, applicable depuis le 18 décembre 2023, impose deux types d'information aux sociétés cotées aux États-Unis. Ponctuellement, tout incident de cybersécurité jugé important doit être publié dans un formulaire 8-K, rubrique 1.05, dans les quatre jours ouvrés qui suivent la décision établissant son importance, décision qui doit elle-même être prise sans retard injustifié. Annuellement, la société décrit dans son rapport ses processus de gestion du risque cyber et le rôle de son conseil d'administration dans leur surveillance. La publication peut être différée si le ministre américain de la justice estime qu'elle présenterait un risque substantiel pour la sécurité nationale ou la sécurité publique : c'est le point où un incident d'entreprise devient une affaire d'État. Pour l'assurance, la règle agit sur les lignes financières plus que sur la police cyber. Elle crée une date publique à laquelle le cours peut chuter, donc un fondement d'action collective des actionnaires, et elle expose les dirigeants à un grief de défaut ou de retard d'information, qui relève de leur assurance de responsabilité.