O relógio que ninguém pode pôr a contar por si
O Item 1.05 do Formulário 8-K exige a divulgação de incidentes de cibersegurança materiais, abrangendo a natureza, o âmbito e o momento do incidente e o seu impacto material ou o impacto material razoavelmente provável, incluindo na situação financeira e nos resultados das operações. A comunicação tem de ser apresentada no prazo de quatro dias úteis a contar do momento em que o emitente determina que o incidente é material. Quando a informação não está disponível no momento da apresentação, o emitente declara-o e apresenta uma alteração no prazo de quatro dias úteis a contar do momento em que essa informação fica disponível.
A estrutura é invulgar. A maioria dos prazos regulatórios começa num evento. Este começa num juízo, feito pela própria empresa, sobre o seu próprio incidente. Esse desenho coloca o peso no processo de determinação e não na comunicação, e é sobre o processo de determinação que os inspetores, os advogados dos autores das ações e os conselhos de administração fazem perguntas depois.
O que mostraram os primeiros anos de comunicações
O padrão das comunicações desde a entrada em vigor da regra é revelador. Das empresas que apresentaram um Formulário 8-K por um incidente de cibersegurança no período posterior a abril de 2024, uma clara maioria fê-lo ao abrigo do Item 8.01 - o item geral de divulgação voluntária - e não do Item 1.05.
Essa divisão não é evasão. Reflete uma posição real: uma empresa que não determinou que um incidente é material, mas considera que os investidores devem ter conhecimento dele, comunica ao abrigo do 8.01. A própria orientação da SEC incentiva exatamente esta separação, para que o Item 1.05 mantenha o seu significado como sinal de materialidade.
O que isto significa, sim, é que a decisão de divulgação passou a ser um juízo em duas fases sob pressão de tempo, com uma consequência à luz do direito dos valores mobiliários associada a cada fase, tomado enquanto a resposta ao incidente ainda está em curso. É uma decisão difícil de tomar bem, e extremamente difícil de reconstituir mais tarde se não a tiver registado à medida que avançava.
O que deve conter o registo da determinação
- Quando a organização tomou conhecimento do incidente pela primeira vez, claramente distinguido do momento em que foi escalado e do momento em que a determinação foi feita
- O que se sabia no momento da determinação, por oposição ao que se soube depois - a determinação é avaliada com base na informação disponível na altura
- Quem participou na determinação e em que qualidade, uma vez que a materialidade é um juízo que a regra atribui ao emitente, não à equipa de segurança
- O raciocínio aplicado, incluindo estimativas quantitativas de impacto e os fatores qualitativos considerados
- Porque é que o incidente foi ou não determinado como material, com as determinações negativas registadas com o mesmo cuidado que as positivas
- O que mudou posteriormente e se isso desencadeou uma obrigação de alteração
Porque é que o registo feito na altura pesa mais do que o registo exaustivo
Um memorando de determinação escrito uma semana depois, por mais cuidadoso que seja, tem um problema que nenhum cuidado resolve: foi escrito com conhecimento do que aconteceu a seguir.
Se o incidente se revelou menor, o memorando vai refleti-lo inconscientemente. Se se revelou grave, também. Nenhum dos casos é desonesto, e ambos são visíveis para quem ler o memorando à luz do desfecho. O valor de um registo de determinação vem quase inteiramente de ter sido feito na altura, antes de alguém saber como as coisas iriam correr.
É por isso que o registo precisa de uma data verificável e não de uma data declarada. Um documento que afirma ter sido escrito a 14 de março, num sistema em que as datas podem ser definidas, prova consideravelmente menos do que o mesmo documento com um selo temporal verificável de forma independente. Num contexto de valores mobiliários, em que a questão do que a administração sabia e quando é muitas vezes todo o litígio, essa diferença tem um peso real.
A sobreposição com as obrigações europeias
As empresas cotadas nos EUA com operações na Europa estão a gerir dois regimes de incidentes em simultâneo. A mecânica difere - o alerta precoce de 24 horas da NIS2 é mais rápido e tem um limiar mais baixo do que o Item 1.05, e o DORA acrescenta a sua própria notificação de incidentes graves para entidades financeiras - mas o requisito de evidência subjacente é quase idêntico: um registo defensável e datado do que se sabia, quando, e do que foi decidido.
Construir um único processo de evidência de incidentes que alimenta várias comunicações regulatórias é significativamente mais barato do que manter processos paralelos, e elimina um risco específico: a incoerência entre o que disse a um supervisor europeu no prazo de 72 horas e o que disse ao mercado uma semana depois. O padrão de consolidação está descrito em construir uma única camada de evidência para entidades com dupla regulação, e o detalhe da regra específica dos EUA está em regras de divulgação de cibersegurança da SEC: o que as empresas dos EUA têm de saber em 2026.
- Defina o processo de determinação e os participantes antes de um incidente, não durante
- Registe o conhecimento, o escalamento e a determinação como três eventos distintos com selo temporal
- Documente as determinações negativas com o mesmo rigor que as comunicações
- Ancore os registos de determinação para que as suas datas não dependam dos seus próprios sistemas
- Concilie as narrativas de divulgação dos EUA e da Europa antes de qualquer uma delas ser emitida
Se pretende registos de determinação de incidentes cujas datas sejam verificáveis por terceiros, pode ancorar o primeiro em poucos minutos, ou ler como funciona o modelo na página da plataforma ROOTKey.