Derrotada, mas não fora de combate: Tribunal Federal restringe autoridade da SEC em matéria de segurança cibernética

In a stinging rebuke of its attempted cybersecurity-related enforcement against a public company, a federal judge recently dismissed most of the charges that the U.S. Securities and Exchange Commission (SEC) had filed against SolarWinds Corporation and the company’s Chief Information Security Officer (CISO). The ruling is a remarkable setback for the SEC, but public companies and other regulated organizations should anticipate continued scrutiny from the SEC when it comes to cybersecurity.

The SolarWinds Case

In 2023, the SEC charged SolarWinds and its CISO with fraud and internal control failures related to allegedly known cybersecurity vulnerabilities. According to the SEC, the defendants overstated the company’s cybersecurity practices and understated the company’s cybersecurity risks. The defendants allegedly knew of specific deficiencies in the company’s cybersecurity program, and those deficiencies were exposed in December 2020 when the company announced that it was the victim of a massive cyberattack that spanned almost two years. Upon revealing the attack, SolarWinds’ stock dropped precipitously.

Federal Court Guts the SEC’s Case

Last month, the federal judge handling the SolarWinds case dismissed most of the SEC’s claims against the company and its CISO. Most importantly, the court rejected the SEC’s efforts to use the Securities Exchange Act of 1934’s internal accounting controls to support an enforcement action targeting a public company’s cybersecurity controls.

The SEC had alleged that, based on the company’s deficient cybersecurity program, SolarWinds failed to “devise and maintain a system of internal accounting controls.” This was the first instance where the SEC had brought an accounting control claim based on the defendant’s cybersecurity failings. The court found that the term “system of internal accounting controls” refers to a company’s financial accounting and does not encompass its cybersecurity systems. In addition to rejecting this claim, the court also rejected several others, leaving a small number remaining.

Principais conclusões

The SEC has increasingly sought to take a prominent role in cybersecurity. Several years ago, the agency issued guidance regarding public companies’ disclosure obligations related to cybersecurity incidents. And as recently as last year, the SEC issued a rule requiring timely disclosure of material cybersecurity incidents and annual disclosure of cybersecurity risk management, strategy, and governance.

The SEC has also promulgated rules related to cybersecurity policies and procedures for broker-dealers, investment companies, registered investment advisers, and other covered institutions. Our team has written about those policies and procedures here.

Further, prior to the order in the SolarWinds case (and as recently as June 2024), the SEC has settled enforcement actions against other public companies using the same internal accounting control theory that the SolarWinds judge rejected.

Against this backdrop, companies should consider the following takeaways:

Although the SolarWinds ruling is a stinging loss for the SEC, the agency’s case against the company and its CISO will continue, albeit on narrowed grounds.
The SEC remains very focused on cybersecurity enforcement and oversight for public companies, such as with the promulgation of the rule mandating disclosure of material cybersecurity incidents. Notably, that rule was not implicated in the SolarWinds case, given that the conduct at issue predated the rule’s effective date. Going forward, public companies should work with their legal advisors to comply with the SEC’s disclosure rule for public companies.
Broker-dealers, investment companies, registered investment advisers, and other covered institutions can expect continued cybersecurity rulemaking and enforcement actions by the SEC. The SEC has made it clear that it views cybersecurity as a significant issue for these entities.
As a result, companies and firms subject to SEC regulation should continue to invest in cybersecurity programs, develop cybersecurity policies & procedures (including incident response plans), and promptly investigate and respond to potential cybersecurity incidents. Working with trusted legal advisors on these steps can help strengthen the company’s cybersecurity program and mitigate risk.

Declaração de exoneração de responsabilidade

Este blogue é disponibilizado por Foley & Lardner LLP ("Foley" ou "a Firma") apenas para fins informativos. Não se destina a transmitir a posição jurídica da Sociedade em nome de qualquer cliente, nem a prestar aconselhamento jurídico específico. As opiniões expressas neste artigo não reflectem necessariamente a posição da Foley & Lardner LLP, dos seus sócios ou dos seus clientes. Por conseguinte, não actue de acordo com esta informação sem procurar aconselhamento junto de um advogado licenciado. Este blogue não se destina a criar, e a sua receção não constitui, uma relação advogado-cliente. A comunicação com a Foley através deste sítio Web, por correio eletrónico, publicação no blogue ou outro, não cria uma relação advogado-cliente para qualquer assunto jurídico. Por conseguinte, qualquer comunicação ou material que transmita a Foley através deste blogue, seja por correio eletrónico, publicação no blogue ou qualquer outra forma, não será tratado como confidencial ou proprietário. A informação neste blogue é publicada "COMO ESTÁ" e não se garante que seja completa, exacta ou actualizada. A Foley não faz representações ou garantias de qualquer tipo, expressas ou implícitas, quanto ao funcionamento ou conteúdo do sítio. A Foley renuncia expressamente a todas as outras garantias, garantias, condições e representações de qualquer tipo, expressas ou implícitas, quer surjam ao abrigo de qualquer estatuto, lei, utilização comercial ou de outra forma, incluindo garantias implícitas de comercialização, adequação a um determinado fim, título e não infração. Em nenhuma circunstância a Foley ou qualquer um dos seus parceiros, oficiais, funcionários, agentes ou afiliados serão responsáveis, direta ou indiretamente, sob qualquer teoria da lei (contrato, delito, negligência ou outra), perante si ou qualquer outra pessoa, por quaisquer reclamações, perdas ou danos, diretos, indirectos, especiais, incidentais, punitivos ou consequenciais, resultantes ou ocasionados pela criação, utilização ou confiança neste site (incluindo informações e outros conteúdos) ou quaisquer sites de terceiros ou as informações, recursos ou materiais acedidos através de tais sites. Em algumas jurisdições, o conteúdo deste blogue pode ser considerado publicidade de advogados. Se aplicável, tenha em atenção que resultados anteriores não garantem um resultado semelhante. As fotografias destinam-se apenas a fins de dramatização e podem incluir modelos. As imagens não implicam necessariamente o estatuto atual de cliente, parceiro ou empregado.

[email protected]

Tampa 813.225.4161

Um homem com cabelo grisalho curto, vestindo um casaco de fato escuro e uma camisa de colarinho rosa claro, está em frente a um fundo interior desfocado, reflectindo a atmosfera profissional de um escritório de advogados.

[email protected]

Chicago 312.832.4992

Informações relacionadas

Ver todas as publicações

11 de dezembro de 2025 Perspetivas sobre tecnologias inovadoras

OCC emite outra carta interpretativa favorável às criptomoedas: permissibilidade de transações sem risco com ativos criptográficos principais

Em 9 de dezembro de 2025, o Gabinete do Controlador da Moeda (OCC) emitiu a Carta Interpretativa 1188 (IL 1188), confirmando que um banco nacional está autorizado, como parte da atividade bancária, a realizar transações de criptoativos sem risco.

10 de dezembro de 2025 Consultor da Indústria Transformadora

A guerra por talentos na indústria automóvel: vencendo a corrida por trabalhadores qualificados

Durante mais de um século, o setor automóvel foi definido pela engenharia mecânica, fabricação e domínio da linha de montagem. Mas hoje, a indústria está a passar por uma transformação tecnológica tão profunda que está a reescrever o ADN da fabricação de automóveis.

3 de dezembro de 2025 Consultor da Indústria Transformadora

Fabricado na China: O que a indústria automóvel deve saber sobre o surgimento global da fabricação chinesa de veículos conectados em meio às crescentes restrições dos EUA

A indústria automóvel chinesa tornou-se global, em grande parte devido aos avanços tecnológicos, às vantagens em termos de custos e ao investimento estrangeiro através de joint ventures, particularmente nas tecnologias de veículos elétricos («EV») e veículos conectados.