Urteil des Obersten Gerichtshofs könnte Regulierung und Vorschriften zur Cybersicherheit gefährden
Ein kürzlich ergangenes Urteil des Obersten Gerichtshofs hat die Landschaft der Regulierungsdurchsetzung in den Vereinigten Staaten erheblich verändert, mit tiefgreifenden Auswirkungen auf die Regulierung der Cybersicherheit. Am 28. Juni 2024 hob der Oberste Gerichtshof die Chevron-Doktrin auf, ein 1984 eingeführtes Rechtsprinzip (Chevron v. Natural Resources Defense Council), das es Bundesbehörden erlaubte, Unklarheiten im Gesetz mit ihrem Fachwissen zu interpretieren. Diese Doktrin ist seit vier Jahrzehnten der Eckpfeiler des föderalen Regulierungssystems und ermöglicht es Behörden, Regeln mit technischem Fachwissen und Effizienz zu erstellen und durchzusetzen.
Die Entscheidung des Obersten Gerichtshofs schreibt vor, dass Gerichte nun unabhängig urteilen müssen, wenn sie feststellen, ob eine Behörde im Rahmen ihrer gesetzlichen Befugnisse gehandelt hat. Dieses Urteil macht es praktisch überflüssig, dass Gerichte sich in Fällen mit mehrdeutigen Gesetzen auf die Expertise einer Behörde verlassen müssen, und hebt damit eine seit vierzig Jahren bestehende Praxis auf. Laut dem Obersten Gerichtshof „verlangt das Verwaltungsverfahrensgesetz von Gerichten, unabhängig zu urteilen, ob eine Behörde im Rahmen ihrer gesetzlichen Befugnisse gehandelt hat, und Gerichte dürfen sich nicht der Auslegung des Gesetzes durch eine Behörde beugen, nur weil ein Gesetz mehrdeutig ist; Chevron wird aufgehoben.“
Dieser Wandel hat erhebliche Auswirkungen auf die Regulierung der Cybersicherheit in den USA, die überwiegend von Bundesbehörden wie der FDA, der SEC und dem DHS verwaltet wird. Diese Behörden haben sich in der Vergangenheit auf ihr Fachwissen verlassen, um Gesetze und Vorschriften zur Cybersicherheit auszulegen und durchzusetzen. Mit dem Urteil des Obersten Gerichtshofs wird die gerichtliche Aufsicht in diesen Angelegenheiten jedoch nun eine wichtigere Rolle spielen, was möglicherweise zu mehr Rechtsstreitigkeiten und Anfechtungen von Entscheidungen der Behörden führen wird.
Ilia Kolochenko, Rechtsanwältin bei Platt Law LLP und CEO bei Immuniweb, bemerkte: „Diese wegweisende Entscheidung des Obersten Gerichtshofs der USA wird wahrscheinlich tektonische und langfristige Konsequenzen für die administrative Gesetzgebung in den USA haben. Indem der Oberste Gerichtshof die 40 Jahre alte Chevron-Doktrin außer Kraft setzte, gab er den Gerichten deutlich mehr richterliche Macht und Spielraum bei der Auslegung von Bundesgesetzen, die vage, unklar oder einfach schweigsam zu bestimmten Elementen wie Cybersicherheit, Datenschutz oder Offenlegung von Datenschutzverletzungen sein können.“
Das Urteil bedeutet, dass Unternehmen nun gegen Entscheidungen von Behörden Berufung einlegen können, ohne dass die Gerichte auf die Expertise der Behörden zurückgreifen müssen. Dies könnte zu einer Zunahme von Rechtsstreitigkeiten und Berufungen führen, da finanzstarke Unternehmen möglicherweise US-Vorschriften ähnlich behandeln wie EU-Vorschriften – und zwar durch umfangreiche Rechtsstreitigkeiten. Ken Dunham, Direktor für Cyberbedrohungen bei Qualys TRU, erwartet „eine Flut von Rechtsstreitigkeiten für Bundesbehörden und/oder -beamte, die nun auf Dauer für getroffene Entscheidungen verklagt werden können.“
Jody Freeman, Professor an der Harvard Law School, fügt hinzu: „Es handelt sich um eine massive Machtverschiebung zurück zu den Gerichten und weg von den Behörden. Und um das in den Kontext zu setzen: Dies ist einer von mehreren Fällen, in denen der Oberste Gerichtshof es den Behörden schwerer gemacht hat, ihre Arbeit zu tun.“
Diese Entwicklung gibt Anlass zur Sorge hinsichtlich der Zukunft der Cybersicherheitsvorschriften. Kolochenko weist darauf hin, dass Gerichte nun Verwaltungsvorschriften für ungültig erklären können, die ihrer Ansicht nach nicht mit den gesetzlichen Zielen vereinbar sind. Dies betrifft Vorschriften zur Cybersicherheit, zur Offenlegung von Verstößen und zu kritischer nationaler Infrastruktur. Dazu gehören aktuelle Initiativen wie die CIRCIA-Vorschriften des CISA, die eine umfassende Berichterstattung über Cybervorfälle in Sektoren kritischer Infrastrukturen vorschreiben. Mit der neuen gerichtlichen Aufsicht ist die Gefahr größer, dass diese Vorschriften gekippt werden.
Jason Porter, VP und CTO bei Optiv + ClearShark, merkt an: „Diese Änderung wird wahrscheinlich dazu führen, dass mehr Regulierungsmaßnahmen angefochten und letztlich aufgehoben werden, was zu Rechtsunsicherheit für die Regulierungsbehörden und die von ihnen beaufsichtigten Branchen führt.“
Obwohl das Urteil des Obersten Gerichtshofs einige Herausforderungen mit sich bringt, könnte es auch positive Folgen haben. Aaron Rose, CTO bei Check Point Software, sieht mögliche Vorteile, etwa dass der Kongress gezwungen wird, präzisere Gesetze zu erarbeiten und dass Behörden ihre Vorschriften auf klaren Rechtsnormen basieren. Eine verstärkte gerichtliche Kontrolle könnte zu einheitlicheren und gerechteren Urteilen auf der Grundlage etablierter Rechtsgrundsätze führen.
Rose hebt jedoch auch die Nachteile hervor: „Angesichts der rasanten technologischen Entwicklung, insbesondere in der Cybersicherheit, ist eine rechtzeitige Anpassung von entscheidender Bedeutung. Die Entscheidung des Obersten Gerichtshofs könnte die Umsetzung notwendiger Maßnahmen verlangsamen und Lücken hinterlassen, die Hacker und böswillige Akteure ausnutzen können.“
Zusammenfassend lässt sich sagen, dass die Entscheidung des Obersten Gerichtshofs, die Chevron-Doktrin aufzuheben, eine neue Ära der Regulierungsaufsicht eingeleitet hat und die Macht von Expertenbehörden auf das Justizsystem verlagert. Diese Änderung soll zwar sicherstellen, dass die Vorschriften auf klaren Rechtsgrundsätzen beruhen, führt jedoch zu Unsicherheit und potenziellen Verzögerungen im sich rasch entwickelnden Bereich der Cybersicherheit. Während sich die Rechtslandschaft an dieses Urteil anpasst, wird die Herausforderung darin bestehen, die gerichtliche Aufsicht mit der Notwendigkeit von von Experten geleiteten, zeitnahen und wirksamen Cybersicherheitsvorschriften in Einklang zu bringen.
