赴美上市与网络、数据安全 | SEC拟新增网络安全方面的强制披露要求

编者按

本系列旨在作为研究赴美上市的中国公司在网络、数据安全方面可能遇到的两国监管不同乃至于冲突方面问题的研究笔记，已经发表的文章如下：

本篇文章关注美国SEC新近提出的规则修订建议。其要求在美国上市的企业披露更多的网络安全风险和治理实践。公号君编译相关情况，供大家参考。

具体而言，根据拟议的规则，上市公司将被要求：

• 在确定事件为重大事件的四天内公开披露重大网络安全事件。对 "重大"一词的解释与其他证券法中使用的重大性标准一致：是否有很大的可能性使一个合理的投资者在作出投资决定时认为该信息是重要的，或者它是否会大大改变所提供的信息的总组合。

• 在季度表格10-Q和年度表格10-K中包括任何先前披露的事件的重大更新。美国证券交易委员会承认，为了获得有关网络安全事件的完整信息，往往需要进行长时间的调查，而一个实体可能无法在事件被认为是重要的时候立即披露所有必要的信息。因此，SEC建议每季度更新一次与之前事件有关的重要信息（如事件的范围或任何补救措施），以帮助投资者了解情况。

• 定期披露有关公司的网络安全政策、程序和治理的信息。拟议的规则将要求注册人在其表格10-K中提供有关其网络安全政策和程序的细节，只要他们有任何政策和程序。他们将进一步要求提供有关管理层在执行这些政策和程序方面的作用，以及董事会在监督网络安全风险方面的作用。

• 公开披露董事会的网络安全专业知识。美国证券交易委员会认为，投资者可能会发现发现一个公司的任何董事会成员是否具有网络安全的专业知识，如以前作为信息安全官员的经验或网络安全方面的认证。
  
  这些拟议的规则表明，美国证券交易委员会将继续专注于审查上市公司的网络安全基础设施。在这些拟议规则成为最终规则之前，注册人应审查或加强他们的网络安全政策和程序。一个强大的网络安全制度应包括一个计划，以应对可能的网络安全事件，并在发生重大事件时满足拟议的四天披露期限。最后，公司应考虑在其管理层和董事会中增加网络安全的专业知识。

数据保护官（DPO）社群主要成员是个人信息保护和数据安全一线工作者。他们主要来自于国内头部的互联网公司、安全公司、律所、会计师事务所、高校、研究机构等。在从事本职工作的同时，DPO社群成员还放眼全球思考数据安全和隐私保护的最新动态、进展、趋势。2018年5月，DPO社群举行了第一次线下沙龙。沙龙每月一期，集中讨论不同的议题。目前DPO社群已超过300人。关于DPO社群和沙龙更多的情况如下：

域外数据安全和个人信息保护领域的权威文件，DPO社群的全文翻译：

DPO线下沙龙的实录见：

个人数据与域外国家安全审查系列文章

围绕着TIKTOK和WECHAT的总统令，本公号发表了以下文章：

第29条工作组/EDPB关于GDPR的指导意见的翻译：

关于美国出口管制制度，本公号发表过系列文章：

供应链安全文章：

传染病疫情防控与个人信息保护系列文章

关于数据与竞争政策的翻译和分析：

健康医疗大数据系列文章：

网联汽车数据和自动驾驶的系列文章：

网络空间的国际法适用问题系列文章：

关于欧盟技术主权相关举措的翻译和分析：

关于保护网络和信息系统安全的相关文章包括：

中国个人信息保护立法的相关文章包括：

《网络数据安全管理条例（征求意见稿）》系列文章：

《数据安全法》的相关文章包括：

关于健康医疗数据方面的文章有：

关于人工智能安全和监管，本公号发布过以下文章：

关于中美与国家安全相关的审查机制，本公号发布过以下文章：

数据的安全、个人信息保护、不正当竞争等方面的重大案例：

关于数据执法跨境调取的相关文章：

业务场景中的数据跨境流动的文章如下：

数字贸易专题的系列文章有：

行为定向广告（behavioral targeting advertising）系列的文章包括：

关于数据要素治理的相关文章包括：

人脸识别系列文章：

地缘政治与跨国科技公司运营之间的互动影响：