Cette loi exige que le secrétaire du ministère où opère la Garde côtière évalue les risques de cybersécurité pour certains logiciels et matériels utilisés dans des installations maritimes spécifiées. Le secrétaire doit effectuer ces évaluations en coordination avec le directeur de l'Agence de cybersécurité et de sécurité des infrastructures (CISA). Les évaluations doivent commencer dans l'année suivant l'adoption de la loi et se dérouler chaque année par la suite. La loi permet au secrétaire d'ignorer les accords de licence d'utilisateur final ou les contrats qui bloqueraient une évaluation, et permet au secrétaire d'évaluer des systèmes sans avoir besoin de la permission du propriétaire. Les propriétaires ou exploitants des installations couvertes doivent envoyer des rapports annuels énumérant les logiciels et matériels couverts qu'ils utilisent ou prévoient d'utiliser, que ces éléments aient été fabriqués par une entité étrangère ou dans un pays étranger préoccupant, ainsi que tout incident de cybersécurité ou autre risque. Les propriétaires doivent certifier que les logiciels et matériels couverts répondent aux normes de l'Institut national des normes et de la technologie (NIST) ou équivalentes au cours de l'année écoulée, ou obtenir une dérogation du secrétaire. Le secrétaire doit faire rapport chaque année aux comités de sécurité intérieure du Congrès sur les constatations, les actions entreprises et les recommandations. De nombreux détails sur les évaluations et les rapports ne sont pas rendus publics, mais le secrétaire peut partager des informations avec d'autres entités fédérales ou partenaires, le cas échéant.
Si vous possédez ou exploitez une installation maritime couverte régie par les parties 105 ou 106 du 33 CFR, vous devrez soumettre un rapport dans les 180 jours suivant l'adoption de la loi, puis chaque année. Votre rapport doit énumérer les logiciels et matériels couverts en cours d'utilisation ou prévus pour utilisation, indiquer si ces éléments ont été fabriqués par certaines entités étrangères ou dans certains pays étrangers, et décrire les incidents de cybersécurité et autres risques. Vous devez certifier que les systèmes énumérés répondent aux normes NIST ou équivalentes au cours de l'année écoulée, à moins que le secrétaire n'accorde une dérogation. Le ministère (par l'intermédiaire de la Garde côtière) et la CISA pourront évaluer annuellement les logiciels et matériels de votre installation, même si des contrats ou un consentement bloqueraient autrement l'accès.
Aucune information disponible publiquement sur les coûts, les crédits ou les mécanismes de financement n'est incluse dans le texte de la loi fourni.
Aucune information disponible publiquement dans le texte de la loi sur les arguments ou raisons déclarés par les partisans de la loi.
Aucune information disponible publiquement dans le texte de la loi sur les objections ou préoccupations déclarées par les opposants.