Die Verlängerung des CISA-Gesetzes von 2015 wurde als Bestandteil der Hausversion des National Defense Authorization Act für 2027 beschlossen. Der Widespread Information Management for the Welfare of Infrastructure and Government Act würde die bestehende Regelung erneut autorisieren. Sie gewährt rechtliche Schutzmechanismen, damit Unternehmen und die US-Bundesregierung Informationen über Cyberbedrohungen durch kriminelle Akteure und Nationalstaaten austauschen können.
Das Gesetz war im vergangenen Jahr vorübergehend ausgelaufen. In der Folge fehlte Bundesbeamten dem Text zufolge der vollständige Einblick in das Ausmaß digitaler Bedrohungen für die kritische Infrastruktur der USA. Anschließend wurde die Regelung befristet bis zum 30. September verlängert.
Der WIMWIG Act war bereits im vergangenen Jahr vom Ausschuss für Heimatschutz des Repräsentantenhauses gebilligt worden, kam jedoch nicht zur Abstimmung im Plenum. Im Senat stößt das Vorhaben auf Widerstand. Senator Rand Paul aus Kentucky, Vorsitzender des Heimatschutzausschusses, hat angekündigt, jede erneute Autorisierung von CISA 2015 zu blockieren, sofern der Text nicht um eine Passage ergänzt wird, die der Cybersecurity and Infrastructure Security Agency jede Arbeit gegen Online-Desinformation untersagt. Der Quelltext weist ausdrücklich darauf hin, dass das Gesetz und die Behörde nicht direkt miteinander verknüpft sind; die Behörde CISA wurde erst 2018 geschaffen.
Hinzu kommt, dass die Senatsfassung des NDAA bislang keine entsprechende Verlängerung enthält. Es wird allerdings erwartet, dass das Thema im Plenum im Zuge des Änderungsverfahrens noch aufgegriffen wird. Zugleich ist auch dieses Gesetzgebungsverfahren ins Stocken geraten: Demokraten verhinderten in diesem Monat eine weitere Behandlung des Gesetzentwurfs im Rahmen ihres seit Monaten andauernden Konflikts darüber, Donald Trump beim Thema Iran stärker einzuschränken.
Selbst wenn die Verlängerung am Ende in beide Fassungen aufgenommen wird, müsste sie noch die Verhandlungen zwischen Repräsentantenhaus und Senat überstehen, bevor sie Teil eines endgültigen Kompromissgesetzes werden könnte.
Einen ähnlichen Vorstoß gab es bereits im Mai: Eine parteiübergreifende Gruppe von Abgeordneten stellte damals ein Gesetzespaket zu Künstlicher Intelligenz vor, das ebenfalls eine Reautorisierung von CISA 2015 bis 2035 vorsah. Laut Quelltext fand dieses Paket bislang jedoch nur wenig Unterstützung.
Abseits der Informationsaustausch-Regelung unterscheidet sich die Hausfassung des Verteidigungsgesetzes noch in einem weiteren Cyberpunkt vom Senatsentwurf. Anders als der Senat sieht das Repräsentantenhaus keine Zusammenlegung der zwei wichtigsten Cyberfunktionen des Pentagons in einer einzelnen Führungsposition vor.
Der Senatsentwurf würde stattdessen einen neuen Unterstaatssekretär für Cyber, Information und Netzwerke schaffen. Diese Person soll sowohl als Chief Information Officer des Ministeriums als auch als wichtigster Cyberberater des Verteidigungsministers fungieren. Die Regelung würde in zwei Jahren in Kraft treten und ist ein Versuch des Gesetzgebers, wachsenden Spannungen zwischen dem CIO und dem stellvertretenden Verteidigungsminister für Cyberpolitik zuvorzukommen, insbesondere bei der Frage, wer letztlich für digitale Operationen und vor allem offensive Maßnahmen verantwortlich ist. Die vom Repräsentantenhaus beschlossene Fassung verlangt stattdessen eine Überprüfung und Neuordnung aller Cyberrollen im Pentagon.