Nicolai Ørsted
Micha Fritzen
Cyberangreb kan hurtigt lamme drift eller kompromittere data, længe før konsekvenserne er fuldt afdækket. For børsnoterede selskaber rejser det et akut behov for at vurdere, om der foreligger intern viden, og om offentliggørelse kan eller skal ske straks efter markedsmisbrugsforordningen (MAR). ESMA’s reviderede retningslinjer om udsættelse af offentliggørelse samt FCA’s observationer giver praktiske pejlemærker for klassifikation, timing og fortrolighed.
Vurdering af intern viden ved cyberangreb
Intern viden omfatter ikke-offentlige, præcise oplysninger, der sandsynligvis vil påvirke kursen. Oplysninger om en alvorlig hændelse kan være intern viden, selv før de fulde konsekvenser er kendt. Vurderingen bør bl.a. omfatte angrebets omfang og karakter, kompromittering af kundedata eller forretningshemmeligheder, driftsforstyrrelser, økonomiske effekter og omdømmepåvirkning.
FCA anbefaler som udgangspunkt at antage, at cyberrelaterede oplysninger kan udgøre intern viden, og peger på, at også historiske kompromitteringer og efterfølgende forhold (fx uforudsete afhjælpningsomkostninger eller justering af guidance) kan udløse oplysningspligt. ESMA’s detaljerede rammer for udsættelse og vurdering findes i deres opdaterede retningslinjer, mens FCA uddyber praksis i sin Primary Market Bulletin. Se ESMA’s rapport her. Se FCA’s bulletin her.
Langstrakt proces kontra enkeltstående hændelse
Efter MAR art. 17, som ændret af Listing Act, skal intern viden om mellemliggende skridt i et langstrakt forløb ikke nødvendigvis offentliggøres, hvis fortroligheden sikres; kun den endelige omstændighed eller begivenhed skal offentliggøres, hvis den udgør intern viden. ESMA præciserer, at udstederen først skal afklare, om der er tale om et mellemliggende skridt eller en enkeltstående hændelse.
Ved cyberangreb bestemmer undersøgelsens længde ikke klassifikationen. Kendte følger som produktionsstop eller bekræftet datatyveri vil typisk være enkeltstående hændelser. Er disse oplysninger intern viden, kræves offentliggørelse, medmindre betingelserne for udsættelse i art. 17, stk. 4, er opfyldt.
Udsættelse, fortrolighed og timing efter MAR art. 17
Udsættelse forudsætter legitime interesser, at oplysningerne ikke strider mod tidligere offentlig kommunikation, og at fortroligheden kan sikres. ESMA anerkender en legitim interesse i midlertidigt at indsamle supplerende fakta om en ekstraordinær hændelse for at muliggøre en korrekt markedsforståelse.
Offentliggørelse bør dog ske, så snart et groft skadeestimat foreligger, og kan suppleres senere. Fortrolighed skal løbende vurderes, især fordi angriberen kan have samme oplysninger. Hvis fortrolighed ikke længere kan sikres, udløser art. 17, stk. 7, hurtig offentliggørelse. Tidlige offentlige beroligelser på fx web og sociale medier kan begrænse muligheden for udsættelse, hvis senere oplysninger står i kontrast hertil.
Gør dit arbejde med sundhedsdata og AI lidt lettere efter Djøfs kursus
Læs mere her →Deling med myndigheder og kunder under NIS2, DORA og GDPR
Oplysninger kan deles med politi, cybersikkerhedsmyndigheder eller eksterne eksperter, når det er nødvendigt og sker som led i sædvanlig erhvervsudøvelse, jf. MAR art. 10, forudsat at modtageren er underlagt fortrolighed; ellers kræves samtidig offentliggørelse, jf. art. 17, stk. 8. Varslingspligter efter NIS2, DORA og GDPR løber parallelt med MAR, og myndigheder er retligt forpligtet til at bevare fortrolighed.
Kundevarsling adskiller sig: Skal mange kunder informeres, kan fortrolighed sjældent opretholdes, hvorfor offentliggørelse normalt bør ske forud for eller samtidig med varslingen. Udstedere bør eksplicit markere over for myndigheder og rådgivere, at oplysningerne er eller kan være intern viden, som skal behandles fortroligt.
