Was sind die Cybersicherheitsanforderungen der SEC-Verordnung S-P?

Die United States Securities and Exchange Commission (SEC) erließ im Jahr 2000 die Regulation S-P (Reg S-P), um die Finanzinformationen der Verbraucher zu schützen. Die Verordnung verlangt von Finanzinstituten, schriftliche Richtlinien zum Schutz von Kundendaten zu entwickeln und ihre internen Datenentsorgungsaktivitäten zu regulieren.

Im März 2023 schlug die SEC Änderungen an der Verordnung S-P vor. Wenn die vorgeschlagenen Regeln verabschiedet werden, würden sie den regulatorischen Geltungsbereich von Reg S-P erweitern, indem sie die betroffenen Institutionen dazu verpflichten, Incident-Response-Programme zu erstellen und Schutzmaßnahmen zu installieren, um Datenschutzverletzungen und andere Cybersicherheitsbedrohungen zu mindern, die Verbraucher Identitätsdiebstahl oder anderen erheblichen Schäden aussetzen könnten.

Lesen Sie weiter, um mehr über die Datensicherheitsanforderungen von Reg S-P zu erfahren, zu erfahren, welche Maßnahmen Finanzinstitute ergreifen müssen, um diese einzuhalten, und um zu verstehen, wie die U.S. Securities Exchange Commission das Gesetz in Zukunft erweitern möchte.

Erfahren Sie, wie UpGuard Unternehmen bei der Einhaltung von Vorschriften in ihrer gesamten Lieferkette unterstützt>

SEC-Verordnung S-P: Datenschutz bei Finanzinformationen von Verbrauchern

Die SEC-Verordnung S-P verlangt von allen Broker-Dealern, Investmentgesellschaften, Geschäftsentwicklungsgesellschaften (Investment Company Act von 1940) und registrierten Anlageberatern (Investment Advisers Act von 1940), dass sie ihre Standards zum Schutz von Kundendaten und zur Entsorgung von Kundendaten befolgen.

Die SEC unterteilt die Verordnung in erster Linie in zwei wesentliche Regeln: die Safeguards Rule und die Disposal Rule.

• Safeguards Rule: Finanzinstitute müssen schriftliche Richtlinien und Verfahren zum Schutz von Kundendaten und -informationen einführen
• Entsorgungsregel: Abgedeckte Institutionen müssen schriftliche Richtlinien und Verfahren einführen, um die Entsorgung von Kundendaten zu regeln und unbefugten Zugriff zu verhindern

Finanzinstitute können eine vollständige Kopie der Regulation S-P im elektronischen CFR-System (Code of Federal Regulations) einsehen.

Cybersicherheitsanforderungen der Verordnung S-P

Die Safeguards Rule, die Disposal Rule und andere Bestimmungen der Verordnung verlangen von Finanzinstituten, dass sie verschiedene Datenschutzstandards einhalten.

Gemäß der SEC-Verordnung S-P müssen alle anwendbaren Finanzinstitute:

• Entwicklung schriftlicher Richtlinien, um die administrativen, technischen und physischen Kontrollen zu berücksichtigen, die sie installiert haben, um Kundeninformationen weiterhin zu schützen
• Entwicklung schriftlicher Richtlinien zum Schutz vor unbefugtem Zugriff und zur Verhinderung der unbefugten Verwendung von Informationen im Zusammenhang mit der ordnungsgemäßen Entsorgung
• Bereitstellung einer klaren und auffälligen ersten Datenschutzerklärung, die ihre Datenschutzrichtlinien und Datenaktivitäten widerspiegelt
• Stellen Sie allen Kunden einen jährlichen Datenschutzhinweis zur Verfügung, der alle geltenden Aktualisierungen der Datenschutzrichtlinie enthält
• Bereitstellung einer Opt-out-Methode, die es den betroffenen Verbrauchern ermöglicht, die Erfassung ihrer personenbezogenen Daten aufzuschieben
• Ergreifen Sie geeignete Maßnahmen, um die Offenlegung nicht öffentlicher personenbezogener Daten einzuschränken und den Zugriff von Drittanbietern zu kontrollieren

Erfahren Sie, wie Unternehmen mit UpGuard ihre Cybersicherheitsprogramme verbessern können>

Anforderungen an die Datenschutzerklärung

Die Verordnung S-P verlangt von Finanzinstituten, dass sie allen Verbrauchern, deren nicht öffentliche personenbezogene Daten an einen nicht verbundenen Dritten weitergegeben werden, eine erste Datenschutzerklärung zur Verfügung stellen. Das Finanzinstitut muss diese Datenschutzerklärung bis zum Beginn der Kundenbeziehung mit dem Verbraucher teilen.

Institute sind nicht verpflichtet, eine Datenschutzerklärung an Verbraucher zu senden, wenn die Verwendung von Kundeninformationen keine Offenlegung durch Dritte beinhaltet oder wenn der Kunde eines Finanzinstituts nicht in eine laufende Verbraucherbeziehung eingebunden ist.

Regulation S-P verpflichtet die zuständigen Institutionen auch, allen Kunden eine jährliche Datenschutzerklärung zur Verfügung zu stellen. Das Finanzinstitut muss innerhalb von 12 Monaten eine jährliche Mitteilung veröffentlichen und alle relevanten Aktualisierungen der Datenschutzrichtlinie enthalten.

Die ursprüngliche Datenschutzerklärung und jede nachfolgende jährliche Datenschutzerklärung, die ein Finanzinstitut seinen Kunden zur Verfügung stellt, müssen die folgenden Informationen enthalten:

• Die Kategorien nichtöffentlicher personenbezogener Daten, die die Institution sammelt
• Die Kategorien nichtöffentlicher personenbezogener Daten, die die Institution offenlegt
• Die Arten von verbundenen Unternehmen oder nicht verbundenen Dritten, die sensible Kundeninformationen erhalten
• Die Kategorien nicht öffentlicher personenbezogener Daten ehemaliger Kunden, die die Institution offenzulegen beabsichtigt
• Eine Erläuterung der Rechte des Verbrauchers, einschließlich des Rechts, der Offenlegung nicht öffentlicher personenbezogener Daten zu widersprechen
• Interne Aufzeichnungsrichtlinien und -kontrollen, die zum Schutz der Vertraulichkeit und Sicherheit personenbezogener Daten vorhanden sind
• Alle Offenlegungen, die im Rahmen des Fair Credit Reporting Act (FCRA) erfolgen

Anforderungen an die Datenentsorgung

Im Rahmen von Reg S-P müssen Finanzinstitute bei der Entsorgung der personenbezogenen Daten, die sie von Verbrauchern sammeln, mehrere Richtlinien befolgen. Aufgrund ihres breiten Anwendungsbereichs sind die Anforderungen an die Datenentsorgung von Reg S-P deutlich allgemeiner als die anderen Anforderungen der Verordnung.

Um die Verordnung S-P einzuhalten, müssen Finanzinstitute:

• Stellen Sie sicher, dass die Sicherheit und Vertraulichkeit von Kundendatensätzen während des gesamten Datenentsorgungsprozesses geschützt wird
• Ergreifen Sie angemessene Maßnahmen, um Kundendaten vor zu erwartenden Cybersicherheitsbedrohungen zu schützen
• Angemessene Maßnahmen ergreifen, um die Informationen von Verbraucherberichten während des gesamten Datenentsorgungsprozesses vor unbefugtem Zugriff oder unbefugter Verwendung zu schützen

Anforderungen an die Offenlegung von Informationen

Die SEC-Verordnung S-P schränkt ein, wie und wann Institute Verbraucherinformationen offenlegen dürfen. Um die Reg S-P einzuhalten, verlangt die Kommission von den Instituten, dass sie die folgenden Kriterien erfüllen, bevor sie Informationen offenlegen:

• Der Verbraucher hat eine erste Datenschutzerklärung erhalten,
• Die ursprüngliche Datenschutzerklärung enthält einen Opt-out-Hinweis,
• Der Verbraucher hatte die angemessene Gelegenheit, sich von der Offenlegung abzumelden, und
• Der Verbraucher hat sich nicht von der Offenlegung abgemeldet

Zu den sinnvollen Opt-out-Möglichkeiten gehören Post- oder elektronische Prozesse, die dem Verbraucher ein 30-tägiges Antwortfenster einräumen. Dieses Fenster sollte ab dem Datum beginnen, an dem der Aussteller die Mitteilung versendet, oder mit dem Datum, an dem der Kunde den Erhalt einer elektronischen Mitteilung bestätigt.

Finanzinstitute, die Informationen von einem verbundenen Unternehmen erhalten, unterliegen ebenfalls mehreren Bestimmungen von Reg S-P. Zu den Beschränkungen der Offenlegung gemäß Regulation S-P gehören:

• Die Institute können die Informationen an die verbundenen Unternehmen weitergeben, von denen sie die Informationen ursprünglich erhalten haben
• Die Institute können die Informationen an andere verbundene Unternehmen in ihrem Netzwerk weitergeben, aber diese verbundenen Unternehmen dürfen die Informationen nur in dem Umfang verwenden, wie das Mutterinstitut dies gestattet hat

Ausnahmen von der SEC-Verordnung S-P

Die SEC-Verordnung S-P gewährt anwendbaren Instituten mehrere Ausnahmen, die der Safeguards Rule, der Disposal Rule und anderen gesetzlichen Bestimmungen unterliegen. Die prominentesten Ausnahmen von Regulation S-P erleichtern es Finanzinstituten, Geschäftsfunktionen mit ihren Drittpartnern durchzuführen.

Zu diesen Ausnahmen gehören:

• Spätere Opt-out-Benachrichtigungsanforderungen gelten nicht für Finanzinstitute, die nicht öffentliche personenbezogene Daten an einen neuen Dritten weitergeben, wenn das Institut und der Dritte eine vertragliche Vereinbarung getroffen haben, die den Dienstleister daran hindert, Verbraucherinformationen offenzulegen
• Die Anforderungen an die Opt-out-Benachrichtigung gelten nicht für Finanzinstitute, die Verbraucherinformationen weitergeben, um Bundes- oder Landesgesetze einzuhalten.

Wer setzt die Verordnung S-P durch?

Die SEC ist die führende Regulierungsbehörde, die mit der Durchsetzung der Regulation S-P beauftragt ist. Die Kommission ist befugt, Durchsetzungsmaßnahmen durchzuführen, und hat die Befugnis, Änderungen der Verordnung vorzuschlagen.

Strafen bei Nichteinhaltung

Während die SEC die Strafen für die Nichteinhaltung noch nicht standardisiert hat, hat die Kommission mehrere Klagen beigelegt und erhebliche Strafen durchgesetzt.

Im Juni 2016 einigte sich die SEC mit Morgan Stanley, nachdem ein Mitarbeiter sensible Kundendaten heruntergeladen und offengelegt hatte. Die Klage führte zu einer Geldstrafe von 1 Million US-Dollar. Im September 2018 erzielte die SEC zudem einen Vergleich mit Voya Financial Advisors. Diese Klage befand Voya des Verstoßes gegen die Safeguards-Regel für schuldig und führte auch zu einer Zivilstrafe von 1 Million US-Dollar.

Vorgeschlagene Verbesserungen der Verordnung S-P?

Seit ihrer Veröffentlichung im Jahr 2000 hat die SEC die Regulation S-P nur geringfügig geändert. Der Vorschlag der SEC aus dem Jahr 2023 sieht jedoch vor, den Geltungsbereich der Verordnung aggressiv auszuweiten.

Wenn der Vorschlag angenommen wird, müssen Finanzinstitute einen schriftlichen Incident-Response-Plan erstellen, der Verfahren zur Identifizierung, Minderung und Behebung von Cybersicherheitsrisiken enthält.

Darüber hinaus enthält der Vorschlag folgende Bestimmungen:

• Von den zuständigen Instituten zu verlangen, dass sie Incident-Response-Pläne entwickeln, die sich mit dem Risiko Dritter befassen, einschließlich der Aufnahme von Vertragsbestimmungen in Vereinbarungen mit Dritten,
• Verpflichten Sie die zuständigen Institutionen, alle betroffenen Personen über relevante Datenschutzverletzungen oder andere Cybersicherheitsvorfälle zu informieren, die sie dem Risiko eines Identitätsdiebstahls aussetzen könnten

• Zählen Sie die Transferstellen zu den erfassten Instituten, die der Safeguards Rule und anderen regulatorischen Anforderungen unterliegen.

• Von den betroffenen Institutionen verlangen, dass sie schriftliche Aufzeichnungen führen, die die Einhaltung dokumentieren
• Änderung der jährlichen Anforderungen an die Zustellung von Datenschutzhinweisen der Regulation S-P, um eine Ausnahme aufzunehmen, die durch eine Änderung des Gramm-Leach-Bliley Act (GLBA) der Federal Trade Commission (FTC) aus dem Jahr 2015 vorgeschrieben ist

Die SEC hat diese Verbesserungen am 15. März 2023 vorgeschlagen. Nach der Veröffentlichung eröffnete die SEC eine öffentliche Kommentierungsfrist, die im Federal Register veröffentlicht wurde und 60 Tage nach der Veröffentlichung des Vorschlags durch die Kommission begann.

Am selben Tag, an dem die SEC Änderungen an der Regulation S-P vorschlug, schlug sie auch Änderungen an der Regulation SCI vor.

Der Kongress muss noch einen der beiden Vorschläge unterzeichnen. Es wird eine 12-monatige Übergangsfrist geben, wenn ein Vorschlag angenommen wird.

Definitionen von Schlüsselbegriffen (SEC Regulation S-P)

Regulation S-P setzt sich aus einer Vielzahl von Schlüsselbegriffen und Definitionen zusammen. Die SEC hat alle ihre Begriffe in Abschnitt 248.3 von Titel 17 definiert. Einige der kritischeren Begriffe wurden der Einfachheit halber unten aufgeführt.

Nicht öffentliche personenbezogene Daten

Gemäß der Verordnung S-P umfassen nicht öffentliche personenbezogene Daten personenbezogene Daten personenbezogene Daten sowie Listen, Beschreibungen oder andere Gruppierungen von Verbrauchern, die Institutionen aus der Verwendung solcher Informationen ableiten.

Persönlich identifizierbare Finanzinformationen

Die SEC definiert personenbezogene Finanzinformationen als alle Informationen, die ein Verbraucher zur Verfügung stellt, um eine Finanzdienstleistung, Maklerunterstützung, einen Anlageverwaltungsdienst oder ein anderes Finanzprodukt zu erhalten.

Beispiele für persönlich identifizierbare Finanzinformationen sind:

• Kredit- oder Darlehensanträge,
• Kontostände,
• Zahlungshistorie und
• Kaufhistorie

Zu den persönlich identifizierbaren Finanzinformationen gehören keine blinden Daten, öffentlich zugängliche Informationen oder andere Informationen, die keine persönlichen Identifikatoren (Kontonummern, Namen, Adressen) enthalten.

Öffentlich zugängliche Informationen

Zu den öffentlich zugänglichen Informationen gehören alle Informationen, die der Öffentlichkeit rechtmäßig zur Verfügung gestellt werden. Zu diesen Informationen gehören Aufzeichnungen von Bundes-, Landes- oder Kommunalbehörden, weit verbreitete Medien und öffentliche Offenlegungen.

Nicht verbundene Dritte

Die SEC definiert nicht verbundene Dritte als jedes Unternehmen, das nicht von einem Broker, Händler oder einer Investmentgesellschaft kontrolliert wird oder nicht unter gemeinsamer Kontrolle mit einem Broker, Händler oder einer Investmentgesellschaft steht.

Was ist die Securities and Exchange Commission (SEC)?

Die United States Securities and Exchange Commission (SEC) ist eine Behörde der Bundesregierung, die die Bundeswirtschaft vor Bedrohungen der nationalen Sicherheit und Marktmanipulation schützt. Der Hauptsitz der Agentur befindet sich in Washington, D.C.

UpGuard kann Finanzinstituten dabei helfen, die Einhaltung gesetzlicher Vorschriften zu erreichen und Reputationsrisiken in ihrer gesamten Lieferkette zu managen.

Da der Geltungsbereich der Verordnung S-P wahrscheinlich zunehmen wird, sollten sich Finanzinstitute darauf vorbereiten, die neuen Anforderungen des Gesetzes zu erfüllen. Die intuitiven Cybersicherheitstools von UpGuard können Finanzinstituten dabei helfen, robuste Incident-Response-Programme zu entwickeln, die ihr gesamtes Risikomanagement und ihre Risikostrategien für Drittanbieter verbessern.

UpGuard BreachSight und UpGuard Vendor Risk bieten Unternehmen eine leistungsstarke Cybersicherheits-Toolbox, die Zugriff auf Folgendes umfasst:

• Aktuelle Sicherheitsbewertungen von Anbietern,
• Umfassende Risikoprofile von Anbietern,
• Sicherheitsupdates in Echtzeit,
• Anpassbare Risikobewertungen,
• Flexible Sicherheitsfragebögen,
• Intuitive Workflows zur Fehlerbehebung und
• Benutzerdefinierte Berichtsvorlagen