SEC-Cyber-Offenlegung: Item 106, Item 16K, Form 8-K und Form 6-K

Problem in der Praxis

Cyberoffenlegung verbindet zwei Welten, die in vielen Unternehmen getrennt arbeiten: Incident Response und Kapitalmarktkommunikation. Die Frist für Form 8-K beginnt nicht mit dem Vorfall, sondern mit der Feststellung seiner Wesentlichkeit, und diese Feststellung muss ohne unangemessene Verzögerung nach der Entdeckung erfolgen. Ein Incident-Prozess ohne definierte Übergabe an die Stelle, die über Wesentlichkeit entscheidet, verzögert beides.

Für deutsche Foreign Private Issuers kommt hinzu, dass der Auslöser für Form 6-K die Veröffentlichung nach Heimatrecht, an der Börse oder gegenüber Wertpapierinhabern ist. Die Pflichten nach deutschem und europäischem Recht sind deshalb mit dem US-Meldeweg zu verzahnen; sie sind hier nicht Gegenstand.

CISO-Einordnung

Jährliche Angaben (Item 106 Regulation S-K für Inlandsemittenten, Form 20-F Item 16K für Foreign Private Issuers, inhaltsgleich; Item 16K gilt nur für Jahresberichte, nicht für Registrierungen auf Form 20-F):

• Begriffe: Cybersecurity Incident ist ein unbefugtes Ereignis oder eine Reihe zusammenhängender unbefugter Ereignisse in oder über die Informationssysteme des Emittenten, das Vertraulichkeit, Integrität oder Verfügbarkeit der Systeme oder der darin befindlichen Informationen gefährdet; Cybersecurity Threat ist jedes mögliche derartige Ereignis mit möglichen nachteiligen Folgen; Information Systems sind eigene oder genutzte elektronische Informationsressourcen.
• Risikomanagement und Strategie: Beschreibung der Prozesse zur Beurteilung, Identifikation und Steuerung wesentlicher Cyberrisiken so detailliert, dass ein verständiger Investor sie versteht, mit nicht abschließend genannten Punkten: Integration in das Gesamtrisikomanagement, Einsatz von Prüfern, Beratern oder anderen Dritten, Prozesse zur Überwachung von Risiken aus Drittdienstleistern; dazu, ob Cyberrisiken einschließlich früherer Vorfälle das Unternehmen wesentlich beeinflusst haben oder voraussichtlich beeinflussen werden und wie.
• Governance: Aufsicht des Board über Cyberrisiken, gegebenenfalls zuständiger Ausschuss und dessen Information; Rolle des Managements mit nicht abschließend genannten Punkten: zuständige Positionen oder Gremien und deren Expertise, die Prozesse, über die sie informiert werden und Prävention, Erkennung, Eindämmung und Behebung überwachen, und ob sie an Board oder Ausschuss berichten. Als mögliche Expertise nennt die Vorschrift etwa einschlägige Berufserfahrung, Abschlüsse oder Zertifizierungen.
• Zweistufiges Board: Bei Foreign Private Issuers mit zweistufigem Board bezeichnet "board of directors" das Aufsichts- oder nicht geschäftsführende Organ (Instruction 1 zu Item 16K(c) und zu Item 106(c)).

Vorfallsoffenlegung:

• Inlandsemittenten, Form 8-K Item 1.05: Beschreibung der wesentlichen Aspekte von Art, Umfang und Zeitpunkt des Vorfalls und seiner wesentlichen oder voraussichtlich wesentlichen Auswirkungen, auch auf Finanzlage und Ergebnisse. Einreichung binnen vier Geschäftstagen nach der Feststellung, dass ein wesentlicher Cybervorfall vorliegt (General Instruction B.1); die Wesentlichkeitsfeststellung erfolgt ohne unangemessene Verzögerung nach der Entdeckung (Instruction 1). Noch nicht bestimmte oder nicht verfügbare Informationen sind als solche zu kennzeichnen und per Änderung nachzureichen, binnen vier Geschäftstagen, nachdem der Emittent sie ohne unangemessene Verzögerung bestimmt hat oder nachdem sie verfügbar geworden sind (Instruction 2). Technische Details, die die Reaktion oder Behebung behindern würden, müssen nicht offengelegt werden (Instruction 4). Ein Aufschub ist möglich, wenn der US Attorney General feststellt und der SEC schriftlich mitteilt, dass die Offenlegung ein erhebliches Risiko für die nationale oder öffentliche Sicherheit darstellt: bis zu 30 Tage, verlängerbar um bis zu 30 Tage, in außergewöhnlichen Fällen bei Risiko für die nationale Sicherheit um bis zu 60 weitere Tage, darüber hinaus nur per Freistellungsanordnung der SEC. Für bestimmte TK-Anbieter gilt ein eigener kurzer Aufschub. Smaller Reporting Companies hatten 180 Tage mehr Zeit, mit Item 1.05 zu beginnen.
• Foreign Private Issuers, Form 6-K: zu liefern sind Informationen, die der Emittent nach dem Recht seines Sitzstaats veröffentlicht oder veröffentlichen muss, an einer Börse einreicht und die dort veröffentlicht wurden, oder an Wertpapierinhaber verteilt, soweit sie wesentlich sind; ausdrücklich genannt ist der wesentliche Cybervorfall. Die Lieferung erfolgt umgehend ("promptly") nach der Veröffentlichung.

Bezug zu SOX: Die Angaben laufen über die Disclosure Controls (17 CFR 240.13a-15(e)), die CEO und CFO nach Abschnitt 302 zertifizieren (sox-itgc-005). Ein Cybervorfall kann zugleich IT General Controls berühren und damit die ICFR-Beurteilung (sox-itgc-002, sox-itgc-003).

Umsetzungsperspektive

• Übergabepunkt im Incident-Prozess festlegen: Wann und an wen geht ein Vorfall zur Wesentlichkeitsbeurteilung, und wie wird die Entdeckung dokumentiert?
• Ein Gremium für die Wesentlichkeitsfeststellung benennen, mit CISO, Recht, Finanzen und Investor Relations.
• Für Foreign Private Issuers die Kette von der Veröffentlichung nach Heimatrecht zur Lieferung auf Form 6-K festlegen.
• Den Jahresbericht vorbereiten: Beschreibung der Risikomanagementprozesse, der Drittdienstleister-Überwachung, der Board- oder Aufsichtsratsaufsicht und der Rolle und Expertise des Managements, abgestimmt mit tatsächlich gelebten Prozessen.
• Für deutsche AGs klären, wie der Aufsichtsrat oder sein Ausschuss über Cyberrisiken informiert wird; das ist Teil der zu beschreibenden Governance.

Typische Fehler

1. Die Vier-Geschäftstage-Frist wird ab dem Vorfall gerechnet statt ab der Wesentlichkeitsfeststellung, oder die Feststellung wird verschleppt.
2. Der Jahresbericht beschreibt Prozesse, die nicht gelebt werden.
3. Ein deutscher Foreign Private Issuer beschreibt in Item 16K den Vorstand als "board of directors" statt des Aufsichtsrats.
4. Die Offenlegung enthält technische Details, die Angreifern oder der laufenden Behebung schaden.
5. Incident Response und Kapitalmarktkommunikation arbeiten ohne gemeinsamen Ablauf.

Risiken und Trade-offs

Frühe Offenlegung schafft Vertrauen, kann aber Informationen enthalten, die sich später als unzutreffend erweisen; die Regel verlangt deshalb Kennzeichnung offener Punkte und Nachreichung. Zu späte Feststellung der Wesentlichkeit verletzt die Pflicht zur zügigen Bestimmung. Für die Jahresangaben gilt: Detail schafft Glaubwürdigkeit, aber jede Beschreibung muss mit der Praxis übereinstimmen.

Entscheidungspunkte

• Wer stellt die Wesentlichkeit eines Cybervorfalls fest, und wie schnell?
• Wie wird die Entdeckung eines Vorfalls dokumentiert?
• Welche Veröffentlichungen nach Heimatrecht lösen eine Lieferung auf Form 6-K aus?
• Wie wird der Aufsichtsrat über Cyberrisiken informiert, und wie wird das beschrieben?

Praktische Empfehlungen

1. Legen Sie im Incident-Response-Plan den Übergabepunkt zur Wesentlichkeitsbeurteilung fest.
2. Benennen Sie ein interdisziplinäres Gremium für die Wesentlichkeitsfeststellung.
3. Verknüpfen Sie als Foreign Private Issuer die Veröffentlichung nach Heimatrecht mit der Lieferung auf Form 6-K.
4. Gleichen Sie die Jahresangaben nach Item 106 bzw. 16K mit den tatsächlichen Prozessen ab.
5. Formulieren Sie Offenlegungen ohne technische Details, die Reaktion oder Behebung gefährden.

Relevante Normreferenzen

• 17 CFR 229.106 (Item 106 Regulation S-K); Form 20-F Item 16K mit Instructions.
• Form 8-K, General Instruction B.1 und Item 1.05 mit Instructions; Form 6-K, General Instruction B.
• SEC Release 33-11216 (2023), wirksam seit 05.09.2023.
• 17 CFR 240.13a-15(e) (Disclosure Controls).