Chevron Deference är död. Vad nu?

Den här sommaren såg slutet på en 40-årig juridisk doktrin som lovar att få betydande konsekvenser för cybersäkerhet – och många andra sektorer. Vad är det och vad innebär det att häva det?

Chevron Deference, som går tillbaka 40 år, beskriver det utrymme som federala myndigheter har att tolka sin egen policy när de reglerar.

Kongressen uppdaterade Clean Air Act 1977, vilket tvingade organisationer att installera föroreningskontrollteknik när de gjorde tekniska förändringar i sina anläggningar.

Lagar som dessa stiftas av den lagstiftande grenen av den amerikanska regeringen (kongressen), men de kräver att den verkställande myndigheten (federala myndigheter) upprätthåller dem genom reglering. I det här fallet var Naturvårdsverkets uppgift att se till att förorenare gjorde ändringarna. Under Carter-administrationen vid den tiden (detta var presidenten som installerade solpaneler på Vita husets tak) skulle EPA sannolikt ha upprätthållit dem starkt.

Men när förvaltningen förändras gör det också tillsynsmyndigheternas attityder, tack vare politiska utnämningar i myndigheternas ledning. I början av åttiotalet gjorde oljejätten Chevron några förändringar vid en av sina anläggningar, men vid den tiden var EPA – under den mer konservativa Reagan-regeringen (Reagan var presidenten som tog bort dessa solpaneler).

Reagans EPA tolkade sin förordning för att behandla kraftverk som en enda enhet snarare än att fokusera på enskilda delar av utrustningen. Det gjorde det möjligt för Chevron att uppdatera utrustningen vid sin fabrik utan att installera extra luftskrubber.

Natural Resources Defense Council (NRDC) stämde EPA och hävdade att det borde ha tolkat dess regler mer strikt. Högsta domstolen resonerade att federala myndigheter borde få tolka sina egna regler snarare än de rättsliga domstolarna så länge tolkningen inte strider mot språket i förordningen.

Från och med då skulle varje rättegångsdomstols avgörande i ett fall som involverar federal reglering behöva hänskjuta till den federala myndigheten när den tolkar förordningen. Skälet var att byrån hade mer expertis än federala domare.

Det vill säga tills nu. Den 28 juni avgjorde Högsta domstolen ett annat mål, Loper Bright Enterprises mot Raimondo. Loper Bright är ett fiskeföretag i New England som ville ifrågasätta ett beslut från National Marine Fisheries Service (NMFS). Enligt Magnuson-Stevens Act, som inför fiskebegränsningar, krävde NMFS att fiskebåtar skulle utse statliga inspektörer för att övervaka deras fångster på fiskeföretagens bekostnad.

Loper Bright hade ifrågasatt NMFS:s förmåga att införa den förordningen i tingsrätten, som tillämpade Chevron Deference för att låta NMFS besluta. Fallet gick till Högsta domstolen, som upphävde beslutet, vilket i praktiken avbröt Chevron Deference.

Vad detta betyder för cybersäkerhet

Detta beslut tillåter återigen distriktsdomstolar att avgöra hur federala myndigheter ska tolka lagar, vilket experter oroar är liktydigt med att låta domare bestämma policy. NRDC, som till slut välkomnade Chevron Deference som ett sätt att ge säkerhet i tvister om federal politik, kallar ett rättsligt landskap efter Deference "likvärdigt med att kasta en pil mot en piltavla i lägre domstol".

"[Det finns] mer än tio olika kretsar, var och en med flera domare," hävdar John Walke, en senior förespråkare i organisationens miljöhälsoprogram. "Var och en har förmågan att bestämma vilken rimlig tolkning som är deras föredragna rimliga tolkning."

Vad har detta med cybersäkerhet att göra? Detta är en relativt ung disciplin som fortfarande slår ut federal politik. Oron nu är att om man överlåter politiska beslut till en panel av distrikts- och kretsdomare med olika åsikter kommer vattnet att lera.

Federala myndigheter blir mer aggressiva när det gäller att reglera cybersäkerhet, men med en kongress som är mindre produktiv än någonsin förlitar de sig i allt högre grad på att lägga till regleringar i äldre lagar som inte hänvisar till cybersäkerhet, säg Harley Geiger, Ines Jordan-Zoob och Tanvi Chopra vid Center for Cybersecurity Policy.

Centerns specialister oroar sig för att Chevron Deferences bortgång kan påverka flera senaste regeländringar, inklusive SEC:s krav på att organisationer snabbt ska rapportera cybersäkerhetsincidenter, tillsammans med 2022 års revisioner av Gramm-Leach-Bliley Act som krävde att finansinstitutioner skulle rapportera cybersäkerhetsincidenter. De stadgar som dessa regler bygger på innehöll inte något uttryckligt cybersäkerhetsspråk. Utan Chevron Deferences skydd skulle de kunna möta juridiska utmaningar i distriktsdomstolar.

Centern oroar sig för att detta kommer att göra det svårare för organisationer att få ett tydligt, landsomfattande regelverk för cybersäkerhetspolicy.

"Resultatet kan bli mindre konsekvens i tillämpningen av förordningar över jurisdiktioner," säger författarna. "Exekutivavdelningens ansträngningar för att harmonisera cybersäkerhetsbestämmelser utan uttrycklig kongressmyndighet kan tappa kraften, vilket tvingar industrins efterlevnad att fortsätta brottas med ett lapptäcke av säkerhetsregler."

Centerns författare oroar sig också för att nya lagar om cybersäkerhetsfrågor kommer att behöva vara mindre tvetydiga, vilket ger tillsynsmyndigheter mindre utrymme för tolkning i en snabbt utvecklande tekniksektor. Detta kan göra framtida cybersäkerhetslagar svårare att passera, varnar författarna.

Ett juridiskt test kvarstår som tillåter domstolar att skjuta upp till federala myndigheter i policyfrågor. Kallas Skidmore-doktrinen och härstammar från ett fall från 1944 som låter domstolar skjuta till en byrås tolkning baserad på "kraften att övertyga, om den saknar makten att kontrollera." Men hur väl en byrå övertygar är förmodligen fortfarande en rättegångs- eller klagandedomares åsikt.

Vad ska du göra?

Var lämnar detta företag som försöker följa cybersäkerhetsreglerna?

"Kanske nu mer än någonsin behövs initiativ från den privata sektorn för att frivilligt anta effektiva cyberriskhanteringsprogram för att stärka motståndskraften hos konsumenter, företag och samhället", säger författaren till Center for Cybersecurity Policy.

Lyckligtvis finns det gott om robusta ramverk, inklusive ISO 27001 och NIST cybersäkerhetsramverket, som företag kan basera sina cybersäkerhetsinsatser på. Dessa gör att företag mer benägna att följa federala bestämmelser och ger också mer skydd mot cybersäkerhetsincidenter. I en mer flyktig juridisk miljö erbjuder robust frivillig efterlevnad en viss grad av säkerhet och visar att organisationer har följt lagens anda, snarare än bara bokstaven.