Die Chevron Deference is dood. Nou wat?
Hierdie somer het die einde gesien van 'n 40-jarige wetlike leerstelling wat beloof om beduidende gevolge vir kuberveiligheid te hê - en baie ander sektore. Wat is dit, en wat beteken die herroeping daarvan?
Die Chevron Deference, wat 40 jaar terug dateer, beskryf die breedtegraad wat federale agentskappe het om hul eie beleid te interpreteer wanneer hulle reguleer.
Kongres het die Clean Air Act in 1977 opgedateer, wat organisasies gedwing het om besoedelingsbeheertegnologie te installeer wanneer hulle tegniese veranderinge by hul fasiliteite aangebring het.
Wette soos hierdie word deur die wetgewende tak van die Amerikaanse regering (Kongres) gemaak, maar dit vereis dat die uitvoerende tak (federale agentskappe) dit deur regulering afdwing. In hierdie geval was die Omgewingsbeskermingsagentskap se taak om te verseker dat besoedelaars die veranderinge aanbring. Onder die destydse Carter-administrasie (dit was die president wat sonpanele op die Withuis se dak geïnstalleer het), sou die EPA dit waarskynlik sterk afgedwing het.
Wanneer die administrasie egter verander, verander die reguleerders se houdings ook, danksy politieke aanstellings in die agentskappe se leierskap. In die vroeë tagtigerjare het die oliereus Chevron 'n paar veranderinge by een van sy aanlegte aangebring, maar teen daardie tyd was die EPA onder die meer konserwatiewe Reagan-regering (Reagan was die president wat daardie sonpanele verwyder het).
Reagan se EPA het sy regulasie geïnterpreteer om kragsentrales as 'n enkele eenheid te behandel eerder as om op individuele stukke toerusting te fokus. Dit het Chevron in staat gestel om toerusting by sy aanleg op te dateer sonder om ekstra lugwassers te installeer.
Die Natural Resources Defence Council (NRDC) het die EPA gedagvaar en aangevoer dat dit sy reëls strenger moes vertolk het. Die Hooggeregshof het geredeneer dat federale agentskappe hul eie reëls eerder as die geregtelike howe moet interpreteer solank die interpretasie nie in stryd is met die taal van die regulasie nie.
Van toe af sal enige verhoorhofbeslissing oor 'n saak wat federale regulasie behels, na die federale agentskap moet uitstel wanneer die regulasie geïnterpreteer word. Die rasionaal was dat die agentskap meer kundigheid as federale regters gehad het.
Dit wil sê, tot nou toe. Op 28 Junie het die Hooggeregshof beslis oor 'n ander saak, Loper Bright Enterprises v. Raimondo. Loper Bright is 'n vismaatskappy in Nieu-Engeland wat 'n besluit van die Nasionale Mariene Visserydiens (NMFS) wou betwis. Kragtens die Magnuson-Stevens-wet, wat visvangperke oplê, het die NMFS van vissersbote vereis om staatsinspekteurs aan te stel om hul vangste op die vismaatskappye se koste te monitor.
Loper Bright het die NMFS se vermoë om daardie regulasie in te stel in die distrikshof betwis, wat die Chevron Deference toegepas het om die NMFS te laat besluit. Die saak het na die Hooggeregshof gegaan, wat die besluit omgekeer het, wat die Chevron Deference effektief gekanselleer het.
Wat dit vir kuberveiligheid beteken
Hierdie besluit laat distrikshowe weereens toe om te besluit hoe federale agentskappe wetlike statute moet interpreteer, wat kenners bekommerd is, is gelykstaande aan die toelating van regters oor beleid. Die NRDC, wat uiteindelik die Chevron Deference verwelkom het as 'n manier om sekerheid te verskaf in geskille oor federale beleid, oproepe 'n regslandskap wat ná die eerbiediging afgehandel is, "kom neer op die gooi van 'n pyl na 'n veerpyltjiebord van die onderste baan".
"[Daar is] meer as tien verskillende kringe, elk met veelvuldige beoordelaars," argumenteer John Walke, 'n senior advokaat in die organisasie se Omgewingsgesondheidsprogram. "Elkeen met die vermoë om te besluit watter redelike interpretasie hul voorkeur redelike interpretasie is."
Wat het dit met kuberveiligheid te doen? Dit is 'n betreklik jong dissipline wat steeds die federale beleid vernietig. Die bekommernis is nou dat om beleidsbesluite aan 'n paneel van distriks- en kringregters met verskillende menings oor te laat, die waters sal modder.
Federale agentskappe word meer aggressief in die regulering van kuberveiligheid, maar met 'n Kongres wat minder produktief is as ooit, maak hulle toenemend staat op die byvoeging van regulasies by ouer statute wat nie na kuberveiligheid verwys nie, sê, Harley Geiger, Ines Jordan-Zoob en Tanvi Chopra by die Sentrum vir Kuberveiligheidsbeleid.
Die Sentrum se spesialiste is bekommerd dat die ondergang van die Chevron Deference verskeie onlangse regulatoriese veranderinge kan beïnvloed, insluitend die SEC se vereiste dat organisasies vinnig kuberveiligheidsvoorvalle rapporteer, tesame met 2022-hersienings aan die Gramm-Leach-Bliley-wet wat vereis het dat finansiële instellings kuberveiligheidsvoorvalle moes aanmeld. Die statute waarop hierdie regulasies gebaseer is, het geen eksplisiete kuberveiligheidstaal bevat nie. Sonder die Chevron Deference se beskerming kan hulle regsuitdagings in distrikshowe in die gesig staar.
Die Sentrum is bekommerd dat dit dit vir organisasies moeiliker sal maak om 'n duidelike, landwye stel reëls oor kuberveiligheidsbeleid te kry.
"Die uitkoms kan minder konsekwent wees in die toepassing van regulasies oor jurisdiksies," sê die skrywers. "Pogings van die uitvoerende tak om kuberveiligheidsregulasies te harmoniseer sonder uitdruklike kongresgesag kan stoom verloor, wat die nakoming van die industrie dwing om voort te gaan met 'n lappieskombers van sekuriteitsreëls."
Die Sentrum se skrywers is ook bekommerd dat nuwe wette oor kuberveiligheidskwessies minder dubbelsinnig sal moet wees, wat reguleerders met minder speelruimte vir interpretasie in 'n vinnig-ontwikkelende tegnologiesektor sal laat. Dit kan toekomstige kuberveiligheidswette moeiliker maak om te slaag, waarsku die skrywers.
Een wettige toets bly in plek wat howe toelaat om uit te stel na federale agentskappe oor beleidskwessies. Dit word die Skidmore-leerstelling genoem en spruit uit 'n 1944-saak wat howe toelaat om uit te stel na 'n agentskap se interpretasie gebaseer op "die krag om te oorreed, as dit nie die mag het om te beheer nie." Hoe goed 'n agentskap egter oorreed, is vermoedelik steeds die mening van 'n verhoor- of appellantregter.
Wat moet jy doen?
Waar laat dit maatskappye wat probeer om aan kuberveiligheidsregulasies te voldoen?
"Miskien nou meer as ooit, is privaatsektorinisiatiewe om vrywillig effektiewe kuberrisikobestuursprogramme aan te neem nodig om die veerkragtigheid van verbruikers, ondernemings en die samelewing te versterk," sê die Sentrum vir Kuberveiligheidsbeleid-outeurs.
Gelukkig is daar baie robuuste raamwerke, insluitend ISO 27001 en die NIST-kubersekuriteitsraamwerk, waarop maatskappye hul kubersekuriteitspogings kan baseer. Dit laat maatskappye meer geneig om aan federale regulasies te voldoen, en bied ook meer beskerming teen kuberveiligheidsvoorvalle. In 'n meer wisselvallige regsomgewing bied robuuste vrywillige nakoming 'n vlak van sekerheid en toon dit dat organisasies aan die gees, eerder as net die letter, van die wet voldoen het.
