Abajo pero no fuera: El Tribunal Federal limita las competencias de la SEC en materia de ciberseguridad
En una dura reprimenda a su intento de aplicar medidas relacionadas con la ciberseguridad contra una empresa pública, un juez federal desestimó recientemente la mayoría de los cargos que la Comisión de Bolsa y Valores de Estados Unidos (SEC) había presentado contra SolarWinds Corporation y el director de seguridad de la información (CISO) de la empresa. La sentencia supone un notable revés para la SEC, pero las empresas públicas y otras organizaciones reguladas deben prever un escrutinio continuo por parte de la SEC en lo que respecta a la ciberseguridad.
El caso SolarWinds
En 2023, la SEC acusó a SolarWinds y a su director de seguridad de la información (CISO) de fraude y fallos en los controles internos relacionados con vulnerabilidades de ciberseguridad supuestamente conocidas. Según la SEC, los acusados exageraron las prácticas de ciberseguridad de la empresa y subestimaron sus riesgos en materia de ciberseguridad. Los acusados supuestamente conocían deficiencias específicas en el programa de ciberseguridad de la empresa, y esas deficiencias quedaron al descubierto en diciembre de 2020, cuando la empresa anunció que había sido víctima de un ciberataque masivo que se prolongó durante casi dos años. Tras revelarse el ataque, las acciones de SolarWinds cayeron en picado.
El Tribunal Federal desestima el caso de la SEC
El mes pasado, el juez federal que lleva el caso SolarWinds desestimó la mayoría de las demandas de la SEC contra la empresa y su director de seguridad de la información. Lo más importante es que el tribunal rechazó los intentos de la SEC de utilizar los controles contables internos de la Ley de Bolsa de Valores de 1934 para respaldar una medida coercitiva dirigida a los controles de ciberseguridad de una empresa pública.
La SEC había alegado que, debido al deficiente programa de ciberseguridad de la empresa, SolarWinds no había «diseñado ni mantenido un sistema de controles contables internos». Esta fue la primera vez que la SEC presentó una demanda por control contable basada en las deficiencias de ciberseguridad del demandado. El tribunal determinó que el término «sistema de controles contables internos» se refiere a la contabilidad financiera de una empresa y no abarca sus sistemas de ciberseguridad. Además de rechazar esta demanda, el tribunal también rechazó varias otras, dejando solo unas pocas pendientes.
Principales conclusiones
La SEC ha buscado cada vez más desempeñar un papel destacado en materia de ciberseguridad. Hace varios años, la agencia publicó unas directrices sobre las obligaciones de divulgación de las empresas públicas en relación con los incidentes de ciberseguridad. Y tan solo el año pasado, la SEC publicó una norma que exige la divulgación oportuna de los incidentes de ciberseguridad importantes y la divulgación anual de la gestión, la estrategia y la gobernanza de los riesgos de ciberseguridad.
La SEC también ha promulgado normas relacionadas con las políticas y procedimientos de ciberseguridad para corredores de bolsa, sociedades de inversión, asesores de inversión registrados y otras instituciones cubiertas. Nuestro equipo ha escrito sobre esas políticas y procedimientos aquí.
Además, antes de la orden en el caso SolarWinds (y tan recientemente como en junio de 2024), la SEC ha resuelto acciones de ejecución contra otras empresas públicas utilizando la misma teoría de control contable interno que el juez de SolarWinds rechazó.
En este contexto, las empresas deben tener en cuenta las siguientes conclusiones:
- Aunque la sentencia sobre SolarWinds supone una dura derrota para la SEC, la agencia seguirá adelante con el caso contra la empresa y su director de seguridad de la información, aunque con argumentos menos sólidos.
- La SEC sigue muy centrada en la aplicación y supervisión de la ciberseguridad para las empresas públicas, como con la promulgación de la norma que exige la divulgación de incidentes importantes de ciberseguridad. Cabe destacar que esa norma no se aplicó en el caso SolarWinds, dado que la conducta en cuestión era anterior a la fecha de entrada en vigor de la norma. De cara al futuro, las empresas públicas deben trabajar con sus asesores jurídicos para cumplir con la norma de divulgación de la SEC para las empresas públicas.
- Los corredores de bolsa, las sociedades de inversión, los asesores de inversión registrados y otras instituciones afectadas pueden esperar que la SEC continúe con la elaboración de normas y la aplicación de medidas en materia de ciberseguridad. La SEC ha dejado claro que considera la ciberseguridad como una cuestión importante para estas entidades.
- Por consiguiente, las empresas y sociedades sujetas a la regulación de la SEC deben seguir invirtiendo en programas de ciberseguridad, desarrollar políticas y procedimientos de ciberseguridad (incluidos planes de respuesta ante incidentes) e investigar y responder con prontitud a posibles incidentes de ciberseguridad. Trabajar con asesores jurídicos de confianza en estas medidas puede ayudar a reforzar el programa de ciberseguridad de la empresa y mitigar los riesgos.
