Por Agustín Allende, Director de la Comisión de Data Privacy & Ética Digital.
En otra oportunidad se ha comentado sobre la obligación impuesta por la Securities Exchange Commission de EEUU (SEC) de reportar incidentes de ciberseguridad a los inversores extranjeros. Ver https://eticaycompliance.org/obligacion-impuesta-por-la-sec-eeuu-a-emisorasextranjeras-de-notificar-incidentes-de-ciberseguridad-y-reportar-detalladamente-procesos-de-gestion-de-riesgo-de-ciberseguridad-empleados/
Conforme la referida regulación, las emisoras extranjeras tienen la obligación de informar respecto a incidentes materiales de ciberseguridad padecidos o que requieran ser informados en jurisdicción extranjera, a la respectiva autoridad regulatoria del mercado financiera en un plazo de 4 días a partir de la decisión de materialidad del incidente a informar. El gran interrogante siempre estuvo dado por definir cuál es el parámetro para definir cuando un incidente de ciberseguridad debe ser considerado material y por ende ser informado.
La SEC ha brindado criterios interpretativos sumamente claros con casos prácticos concretos que seguramente deberán ser consideradas por aquellas empresas locales que emiten títulos valores en Estados Unidos. Ver preguntas y respuestas del 104B.01 al 104B.09 https://www.sec.gov/divisions/corpfin/guidance/8-kinterp.htm
Resultan sumamente ilustrativos los casos en que se padece un ransomware (código malicioso que impide la utilización de los equipos o sistemas que infecta)y se decide pagar el rescate y la consecuente cesación de los efectos del ataque no puede justificar la omisión del análisis de materialidad del incidente padecido y en su caso informarlo Ver respuestas 104B.05 y 104B.06 https://www.sec.gov/divisions/corpfin/guidance/8-kinterp.htm
Es relevante la consideración vertida por la SEC respecto a la materialidad al sostener que “El impacto material de un incidente puede estar acompañado por una gran variedad de daños, algunos cuantitativos y otros cualitativos. La falta de un daño cuantificable no necesariamente signfica que ese incidente no sea material. Por ejemplo, un incidente que resulta en un daño reputacional significativo a una emisora, puede no alcanzar un criterio cuantitativo, pero sin embargo debe ser informado si el daño reputacional es material.”
