ITI gibt Feedback zur Umsetzung eines US-amerikanischen Cybersecurity Incident Reporting Regimes durch CISA
WASHINGTON – Der globale Technologie-Handelsverband ITI hat eine Stellungnahme zum Ersuchen der Cybersecurity and Infrastructure Security Agency (CISA) um Informationen zum Cyber Incident Reporting Act von 2022 (CIRCIA) abgegeben, da die Agentur daran arbeitet, die Regeln für die Umsetzung des Cyber Incident Reporting for Critical Infrastructure Act von 2022 (CIRCIA) zu entwickeln. In seiner Bemerkungen (öffnet in einem neuen Tab) ITI bot am Montag eine Reihe erster Empfehlungen an, um CISA dabei zu helfen, die Regeln weiter zu verbessern, einschließlich der Definition von "gedeckten Entitäten" und was einen "gedeckten Cyber-Vorfall" darstellt, und Informationen über die globale Landschaft der Berichterstattung über Cybersicherheitsvorfälle anzubieten, um eine Fragmentierung der Berichterstattung über Grenzen hinweg zu verhindern.
"Wir ermutigen CISA, bei der Entwicklung der Regelgebung zur Umsetzung von CIRCIA 2022 nicht nur die bestehende Landschaft der Berichterstattung über Bundes-, Landes- und lokale Vorfälle zu untersuchen, sondern auch die internationale Landschaft, da ein erheblicher Bedarf an einer grenzüberschreitenden Angleichung besteht." ITI schrieb in den Kommentaren. Darüber hinaus ermutigen die ITI-Mitglieder CISA, die Sicherheitsziele von CIRCIA bei der Entwicklung und Umsetzung des Gesetzes zu betonen, da es einen Regulierungsstandard festlegen wird, der andere Bundesbehörden über Berichts- oder Offenlegungspflichten informieren sollte. Wir halten es auch für wichtig, hervorzuheben, dass CISA den Umfang der regulatorischen Abdeckung, Berichtspflichten und Prozesse triangulieren muss, um sicherzustellen, dass es über die Ressourcen, Kapazitäten und Fähigkeiten verfügt, die erforderlich sind, um den abgedeckten Unternehmen und der breiteren Cybersicherheitsgemeinschaft aus der Informationsberichterstattung unter CIRCIA einen sinnvollen Mehrwert zu bieten.
In seiner Bemerkungen (öffnet in einem neuen Tab)ITI fordert die CISA auf, den Umfang der „gedeckten Unternehmen“ anzupassen, indem sie die Definition der erfassten Unternehmen auf eine nationale Kritikalitätsbewertung stützt; Dritte aus dem Geltungsbereich ausschließt; die Annahme einer gemeinsamen Terminologie in der gesamten Agentur sicherstellt; laufende Programme für kritische Infrastrukturen abschließt; eine Ausnahme für Unternehmen schafft, die bereits ähnlichen Berichtspflichten für Cyber-Vorfälle in anderen Sektoren unterliegen; „gedeckte Unternehmen“ so auslegt, dass nur in den USA ansässige Tochtergesellschaften multinationaler Unternehmen und nur die Angebote eines Unternehmens, die eine kritische Infrastruktur darstellen, einbezogen werden; und schließlich Hersteller von Verbraucherprodukten aus dem Geltungsbereich ausschließt.
ITI fordert die CISA außerdem auf, die Definition von „gedeckten Cyber-Vorfällen anzupassen, indem sie die Berichterstattung auf schwere und signifikante Angriffe beschränkt, die tatsächliche Störungen oder Verluste verursachen und spezifische Parameter enthalten; sich auf die Auswirkungen eines Vorfalls oder die Cybersicherheitsfolgen eines Vorfalls konzentrieren; Hervorhebung von Vorfällen, die Auswirkungen auf branchenübergreifende Abhängigkeiten oder ubiquitär genutzte Plattformen haben; Festlegung eines De-minimis-Schwellenwerts unter Berücksichtigung der funktionalen oder informationsbezogenen Auswirkungen eines Vorfalls; und Begrenzung der Definition auf Ereignisse, die in US-amerikanischen Netzwerken auftreten
Die Kommentare bauen auf der anhaltenden Interessenvertretung von ITI für Cybersicherheitsvorfälle auf. Im Oktober 2022 veröffentlichte ITI seine Global Cybersecurity Incident Reporting Policy Index (öffnet in einem neuen Tab) Diese bietet eine Zusammenfassung der Maßnahmen zur Meldung von Cybersicherheitsvorfällen auf der ganzen Welt. Im September 2021 veröffentlichte ITI Globale politische Grundsätze für die Meldung von Sicherheitsvorfällen (öffnet in einem neuen Tab) Unterstützung politischer Entscheidungsträger weltweit bei der Entwicklung eines effektiven und effizienten Systems zur Meldung von Sicherheitsvorfällen. Im Juli 2021 veröffentlichte ITI Grundsätze für die Berichterstattung über Sicherheitsvorfälle in den USA (öffnet in einem neuen Tab)Erstmalige Empfehlungen, die dazu beitragen sollen, die politischen Entscheidungsträger der USA bei der Entwicklung eines Systems zur Meldung von Sicherheitsvorfällen zu informieren.
Lesen Sie die vollständigen Kommentare Hier (öffnet in einem neuen Tab).
###
Related News & Analysis
Warum ein KI-„Notausschalter“ keine Universallösung ist
AI ist Supercharging Cyber Threats. Verteidiger brauchen neue Werkzeuge und Partnerschaften.
