Uitspraak van het Hooggerechtshof kan de regelgeving en regels op het gebied van cyberbeveiliging in gevaar brengen
Een recente uitspraak van het Hooggerechtshof heeft het landschap van de handhaving van de regelgeving in de Verenigde Staten aanzienlijk veranderd, met diepgaande gevolgen voor de regelgeving op het gebied van cyberbeveiliging. Op 28 juni 2024 vernietigde het Hooggerechtshof de Chevron-doctrine, een juridisch principe uit 1984 (Chevron v. Natural Resources Defense Council) dat federale agentschappen toestond dubbelzinnigheden in de wet te interpreteren met behulp van hun expertise. Deze doctrine is al veertig jaar de hoeksteen van het federale regelgevingssysteem, waardoor agentschappen met technische expertise en efficiëntie regels kunnen creëren en handhaven.
De beslissing van het Hooggerechtshof schrijft voor dat rechtbanken nu een onafhankelijk oordeel moeten vellen bij het bepalen of een agentschap binnen zijn wettelijke bevoegdheid heeft gehandeld. Deze uitspraak maakt effectief een einde aan de noodzaak voor rechtbanken om de expertise van instanties over te laten in zaken waarbij sprake is van dubbelzinnige statuten, waardoor een praktijk die al veertig jaar bestaat, ongedaan wordt gemaakt. Volgens het Hooggerechtshof "vereist de Wet op de Administratieve Procedure dat rechtbanken hun onafhankelijke oordeel vellen bij de beslissing of een agentschap binnen haar wettelijke bevoegdheid heeft gehandeld, en mogen rechtbanken niet uitstellen tot een interpretatie van de wet door een agentschap simpelweg omdat een statuut dubbelzinnig is; Chevron wordt overruled."
Deze verschuiving heeft aanzienlijke gevolgen voor de cyberbeveiligingsregelgeving in de VS, die voornamelijk wordt beheerd door federale instanties zoals de FDA, de SEC en het DHS. Deze instanties hebben van oudsher vertrouwd op hun expertise bij het interpreteren en handhaven van wet- en regelgeving op het gebied van cyberbeveiliging. Met de uitspraak van het Hooggerechtshof zal gerechtelijk toezicht nu echter een belangrijkere rol gaan spelen in deze zaken, wat mogelijk kan leiden tot meer rechtszaken en betwistingen van beslissingen van agentschappen.
Ilia Kolochenko, advocaat bij Platt Law LLP en CEO bij Immuniweb, merkte op: “Deze baanbrekende beslissing van het Amerikaanse Hooggerechtshof zal waarschijnlijk tektonische en langdurige gevolgen hebben voor de administratieve regelgeving in de VS. Volgens de oude Chevron-doctrine heeft het Hooggerechtshof aanzienlijk meer rechterlijke macht en speelruimte gegeven aan rechtbanken bij de interpretatie van federale wetten die vaag, onduidelijk of gewoon stil kunnen zijn over bepaalde elementen, zoals cyberbeveiliging, privacy of openbaarmaking van datalekken.
De uitspraak houdt in dat bedrijven nu in beroep kunnen gaan tegen beslissingen van agentschappen zonder dat de rechtbank afhankelijk is van de expertise van de agentschappen. Dit zou kunnen leiden tot een toename van het aantal juridische uitdagingen en beroepen, waarbij goed gefinancierde bedrijven mogelijk de Amerikaanse regelgeving op dezelfde manier behandelen als hoe zij de EU-regelgeving benaderen – via uitgebreide juridische strijd. Ken Dunham, directeur cyberdreiging bij Qualys TRU, verwacht "een tsunami aan rechtszaken voor federale agentschappen en/of functionarissen, die nu voor altijd kunnen worden aangeklaagd voor genomen beslissingen."
Professor Jody Freeman van de Harvard Law School voegt hieraan toe: ‘Het is een enorme machtsverschuiving terug naar de rechtbanken en weg van de agentschappen. En om dit in context te plaatsen: dit maakt deel uit van een reeks zaken waarin het Hooggerechtshof het moeilijker heeft gemaakt voor agentschappen om doen hun werk."
Deze ontwikkeling roept zorgen op over de toekomst van de cyberbeveiligingsregelgeving. Kolochenko wijst erop dat rechtbanken nu administratieve regels kunnen ongeldig verklaren die zij in strijd achten met wettelijke doeleinden, wat van invloed is op de regels op het gebied van cyberbeveiliging, de openbaarmaking van inbreuken en kritieke nationale infrastructuur. Dit omvat recente initiatieven zoals de CIRCIA-regels van de CISA, die uitgebreide rapportage van cyberincidenten uit kritieke infrastructuursectoren vereisen. Met het nieuwe rechterlijke toezicht zijn deze regels gevoeliger voor vernietiging.
Jason Porter, VP en CTO bij Optiv + ClearShark, merkt op: "Deze verandering zal er waarschijnlijk toe leiden dat meer regelgevingsacties worden aangevochten en uiteindelijk worden teruggedraaid, wat leidt tot rechtsonzekerheid voor regelgevende instanties en de industrieën waarop zij toezicht houden."
Hoewel de uitspraak van het Hooggerechtshof verschillende uitdagingen met zich meebrengt, kunnen er ook enkele positieve resultaten zijn. Aaron Rose, kantoor van de CTO bij Check Point Software, ziet potentiële voordelen, zoals het dwingen van het Congres om preciezere wetgeving op te stellen en ervoor te zorgen dat agentschappen hun regelgeving baseren op duidelijke wettelijke normen. Een groter gerechtelijk toezicht zou kunnen leiden tot consistentere en eerlijkere uitspraken op basis van gevestigde rechtsbeginselen.
Rose benadrukt echter ook de nadelen: "Met de snelle evolutie van de technologie, vooral op het gebied van cyberbeveiliging, is tijdige aanpassing van cruciaal belang. De beslissing van het Hooggerechtshof zou de implementatie van noodzakelijke maatregelen kunnen vertragen, waardoor er gaten ontstaan waar hackers en slechte actoren misbruik van kunnen maken."
Concluderend kan worden gezegd dat het besluit van het Hooggerechtshof om de Chevron-doctrine ongedaan te maken, een nieuw tijdperk van regelgevend toezicht heeft ingeluid, waarbij de macht is verschoven van deskundige instanties naar het rechtssysteem. Hoewel deze verandering tot doel heeft ervoor te zorgen dat regelgeving gebaseerd is op duidelijke juridische beginselen, introduceert zij onzekerheid en potentiële vertragingen in het snel evoluerende veld van cyberbeveiliging. Naarmate het juridische landschap zich aanpast aan deze uitspraak, zal de uitdaging zijn om gerechtelijk toezicht in evenwicht te brengen met de behoefte aan door deskundigen aangestuurde, tijdige en effectieve cyberbeveiligingsregelgeving.
