Cybersecurity Disclosure: SEC Publishes Guidance for Public Companies

The Securities and Exchange Commission's Chair Jay Clayton issued a statement on February 21 about public companies' cybersecurity disclosures:

"In today's environment, cybersecurity is critical to the operations of companies and our markets...I urge public companies to examine their controls and procedures, with not only their securities law disclosure obligations in mind, but also reputational considerations around sales of securities by executives..."

The above excerpt encapsulates the Commission's Guidance on Public Company Cybersecurity Disclosures,¹ published concurrently with Clayton's statement and expressing the SEC's view that public companies should adopt comprehensive cybersecurity policies and procedures.

Disclosure of Material Information

Cybersecurity-related disclosure is currently a priority in SEC reviews of companies' periodic reports. Each of the following sections of a company's SEC reports may require cybersecurity-related disclosure: Risk Factors, MD&A, Description of Business, Legal Proceedings, Board Risk Oversight and Financial Statements.

Companies' disclosure controls and procedures (DC&P) should be robust enough to ensure accurate and timely disclosure of material cybersecurity-related events and information. Important in this context is open communication between technical experts and the people responsible for disclosure decisions. The officers responsible for certifying the company's DC&P should take into account the degree to which the effectiveness of those DC&P may be impacted by cybersecurity risks.

Detailed technical information about a company's cybersecurity systems and vulnerabilities does not have to be disclosed. Rather, companies should disclose cybersecurity risks and incidents that are material to investors, including the concomitant financial and other consequences such as remediation costs, lost revenues, litigation expenses, regulatory fines, insurance premiums, reputational damage and damage to competitiveness, stock price and long-term shareholder value. In assessing the materiality of a potential cybersecurity incident, companies should consider the probability of the event occurring and its anticipated magnitude—the same analysis as is done for other potentially material corporate events.

Specifically regarding financial statement disclosure, the SEC guidance indicates that companies' financial reporting and control systems should be designed to provide reasonable assurance that information about the range and magnitude of the financial impacts of a cybersecurity incident will be incorporated into the financial statements on a timely basis.

In the face of a cybersecurity incident, some material facts may not be available at the time of initial disclosure; a company may need time to assess the full implications of the incident; the company may be in the midst of cooperating with law enforcement officials; and an ongoing investigation may affect the scope of public disclosure that is ultimately provided. But despite all that, the SEC stated explicitly that the existence of an ongoing internal or external investigation of a cybersecurity incident is not by itself a basis for avoiding disclosure of a material cybersecurity incident.

Insider Trading and Selective Disclosure

The insider trading prohibitions and the Regulation FD rules on selective disclosure apply to material nonpublic information about cybersecurity risks and incidents. Accordingly, the SEC guidance indicates that:

• companies' codes of conduct and insider trading policies should be designed to prevent improper trading and tipping in this context; and
• a company in the midst of investigating and assessing the materiality of a cybersecurity incident should consider imposing a trading blackout period, which would help avoid the appearance of improper trading during the period following a cybersecurity incident and before public disclosure.

Cross-Border Comparison

The SEC guidance is consistent with cybersecurity disclosure guidance published by Canadian securities regulators and the International Organization of Securities Commissions.² Like the SEC, Canada's securities regulators have made cybersecurity a priority when reviewing public companies' disclosure documents. On both sides of the border, companies are expected to provide tailored, entity-specific, non-boilerplate information about cybersecurity preparedness, risks and incidents.

_________________________

¹ See: https://www.sec.gov/rules/interp/2018/33-10459.pdf.

² For a discussion of the IOSCO guidance and Canadian securities regulators' guidance, please see Torys' publications "Securities Regulators Publish Guidance on Cybersecurity," "Regulators Weigh in on Cybersecurity" and "All Hands on Deck: Mitigating Cyber Attacks."

Le mois dernier, le Canada a publié sa première Stratégie industrielle de défense (la Stratégie), qui souligne l’engagement du Canada à développer une base industrielle de défense solide et à stimuler la croissance économique. Ces efforts pourraient aussi comprendre le renforcement de l’état de préparation à la biodéfense et aux contre-mesures médicales, ce qui pourrait constituer des débouchés pour le secteur canadien des sciences de la vie en raison de l’importance accordée aux capacités nationales en ce sens et de la nécessité d’atténuer les risques d’urgences sanitaires.

Développement de contre-mesures médicales au Canada

Comme indiqué dans les bulletins précédents, le quatrième pilier de la Stratégie est axé sur la « sécurisation des chaînes d’approvisionnement pour les intrants et les biens clés » par le renforcement de la production nationale et le stockage de ressources. L’accent est mis tout particulièrement sur les contre-mesures médicales, en précisant que nos « alliés ont établi un lien explicite entre l’état de préparation à la biodéfense et aux contre-mesures médicales et leur sécurité économique et nationale, en élaborant de nouvelles stratégies et de nouveaux mécanismes pour faire progresser ces travaux ». Les contre-mesures médicales désignent divers produits réglementés pouvant être utilisés pour protéger la population lors d’une situation d’urgence de grande ampleur, comme l’éclosion d’une maladie ou une attaque impliquant des armes chimiques, biologiques ou nucléaires. Il peut s’agir de vaccins, de médicaments thérapeutiques et produits biologiques, de dispositifs de tests diagnostiques, des équipements de protection individuelle ou industrielle, et d’autres dispositifs médicaux. Les contre-mesures médicales sont essentielles à la réduction et à l’atténuation des dommages lors d’une urgence de santé publique.

Exploiter les voies réglementaires mises en place lors de la pandémie de COVID-19

Pendant et après la pandémie de COVID-19, le Canada a mis en place plusieurs nouvelles voies réglementaires comme mécanismes d’accélération des approbations de produits médicaux, ce qui pourrait offrir au gouvernement des options pour déployer des contre-mesures médicales afin de faire face aux risques pour la santé publique. Au début de la pandémie, Santé Canada a émis diverses ordonnances provisoires pour permettre l’importation et la vente de médicaments et de dispositifs médicaux qui n’avaient pas eu l’approbation des voies réglementaires traditionnelles. Or, Santé Canada a plutôt fait confiance aux voies d’approbation réglementaire et de l’exemption de certaines exigences en homologation de produits des pays impliqués dans la transaction. Beaucoup de ces règles provisoires ont depuis été officiellement intégrées à la réglementation en vertu de la Loi sur les aliments et drogues et ont été appliquées bien après la COVID-19. Conformément au Règlement sur les aliments et drogues, Santé Canada tient à jour la Liste des maladies qui menacent la santé publique et utilisera une procédure d’autorisation modifiée pour les médicaments d’urgence de santé publique pouvant traiter les affections figurant sur la liste. De même, le Règlement sur les instruments médicaux a établi une liste d’instruments médicaux répondant à un besoin urgent de santé publique, ce qui permet à Santé Canada d’autoriser la commercialisation de ces instruments de manière accélérée. Ces outils réglementaires sont utilisés automatiquement quand une situation médicale présente un grand risque pour la santé publique au Canada et nécessite une action immédiate pour contrer ce risque.

Le rôle de la Stratégie dans le renforcement du régime réglementaire de la santé au Canada

La stratégie prévoit que le Canada adoptera une approche proactive en matière de planification en amont des crises sanitaires. Le gouvernement entend s’assurer que les produits médicaux sont déjà disponibles au Canada afin qu’ils puissent être distribués rapidement en cas d’urgence. D’autres modifications récentes au Règlement sur les aliments et drogues permettent de prépositionner au Canada tous les médicaments d’urgence en santé publique, ce qui signifie qu’ils peuvent être importés dans des installations d’entreposage canadiennes avant que leur mise sur le marché n’ait été autorisée. La Stratégie s’appuie sur ces fondements, en faisant référence à l’organisme existant Préparation aux crises sanitaires Canada (PCSC), un organisme opérationnel spécial au sein d’Innovation, Sciences et Développement économique Canada (ISDE), et à un nouveau Fonds des sciences de la vie, lesquels « collaborent avec des partenaires internationaux et de soutenir l’élaboration et la production de contre-mesures médicales ». PCSC supervise la Stratégie en matière de biofabrication et de sciences de la vie du Canada, qui vise à développer un secteur national des sciences de la vie fort et compétitif doté de capacités de biofabrication de pointe, en mettant l’accent sur la capacité à se préparer et à faire face aux futures priorités et crises sanitaires. Dans cette optique, il y aura des occasions pour les fabricants de nouer des collaborations de recherche et des accords commerciaux ou d’approvisionnement liés aux contre-mesures médicales financées par des programmes fédéraux.

Étroitement lié aux capacités nationales, le pilier III de la stratégie implique « Investissement ciblé pour renforcer un secteur canadien de la défense novateur », avec la promesse que le gouvernement fédéral « soutiendr[a] la recherche et le développement, protéger[a] la propriété intellectuelle, soutiendr[a] les petites et moyennes entreprises, investir[a] dans les compétences et la formation, et encourager[a] les exportations afin de créer un secteur de la défense agile et concurrentiel à l’échelle mondiale ». La nécessité de favoriser le développement de la propriété intellectuelle (PI) et la conservation des droits du Canada est mentionnée à plusieurs reprises dans la Stratégie. Par exemple, la Stratégie prévoit l’établissement de partenariats officiels avec l’industrie canadienne qui « [assureront] la propriété et le contrôle nationaux de la propriété intellectuelle (PI) et des capacités essentielles. » La Stratégie reconnaît l’immense talent des établissements canadiens et la précieuse recherche qui y est menée actuellement et qui est déjà financée par des subventions de recherche d’organismes tels que le Conseil de recherches en sciences naturelles et en génie et les Instituts de recherche en santé du Canada, et fait aussi référence à l’engagement de 1,6 milliard de dollars pour de nouveaux fonds de recherche dans le budget de 2025. Cette prise de conscience de la nécessité de promouvoir et de soutenir l’innovation au Canada laisse présager des possibilités de financement, notamment dans les domaines où le Canada accuse un retard en matière de production nationale et où des engagements d’investissement et de fabrication au Canada peuvent être pris.

Prochaines étapes

Dans les prochains mois, nous prévoyons que le gouvernement du Canada publiera d’autres directives et des mesures de suivi. L’équipe de défense des conservateurs poursuivra sa couverture de perspectives sur la défense au Canada en publiant une analyse supplémentaire pour donner des précisions sur l’incidence de la Stratégie sur de multiples secteurs.