米国 Cyber Incident Nortification Act of 2021案と Cyber Incident Reporting Act of 2021案

こんにちは、丸山満彦です。

米国は議員立法の国なので、議員が法案を議会に提出し、両院で審議され、両院で可決されれば、大統領に送られ、大統領がサインをすれば法律として成立します。法案は議員であれば、だれでも出せますので、法案が提出された段階では、成立するかどうかはなかなか見えないことも多いです。SolarwindsやColonial Pipelineの事案を受けて、重要インフラ等のサイバーインシデントについて政府機関に報告又は通知する義務を課す法律案が上院で提出されているので、備忘録ということで。。。

■ Cyber Incident Nortification Act of 2021案

提出者：Mark Warner (D-VA)上院議員[wikipedia]、Marco Rubio (R-FL)上院議員[wikipedia]、Susan Collins (R-ME) 上院議員[wikipedia]

● Congress

・S.2407 - Cyber Incident Notification Act of 2021

・2021.07.21 法案（XML/HTML, TXT, PDF）

連邦政府機関、その請負事業者、重要インフラ運営者は、ランサムウェア等のセキュリティインシデントを認識してから24時間以内にCISAに通知しないといけない。。。

● Congress

■ Cyber Incident Reporting Act of 2021案

提出者：Gary Peters (D-MI) 上院議員[wikipedia]、Rob Portman (R-OH)上院議員[wikipedia]

・S.2875 - Cyber Incident Reporting Act of 2021

・2021.09.28 法案（XML / HTML, TXT, PDF）

こちらは、報告については72時間以内となっていますが、さらに支払った身代金額も報告する義務（24時間以内）があるとなっていますね。。。