法律事務所Fisher Phillips LLPの解説記事によれば、CISAが施行するCIRCIA（Cyber Incident Reporting for Critical Infrastructure Act）は、対象事業者に対し、重大なサイバーインシデントが発生したと合理的に認識してから72時間以内にCISAへ報告することを義務付けている。また身代金を支払った場合は、支払いから24時間以内に別途報告する義務があるとされる。対象範囲は16の重要インフラ分野にまたがる30万超の事業者で、中小企業庁基準（従業員100〜1,500人または年間売上2.25億〜4,700万ドル相当）を超える規模の事業者に加え、病院・銀行・公共事業・通信事業者・航空会社・連邦政府請負業者など特定16分野の事業者は規模を問わず対象となる。報告の対象となる「重大なインシデント」には、重大なデータ損失や業務への深刻な影響、サプライチェーン侵害による不正アクセスなどが含まれる。