独立系のデータ漏洩通知コンプライアンス企業RadarFirstが公開したブログ記事（「Comprehensive Guide to the NAIC Model Law」）によれば、NAICは2017年10月にInsurance Data Security Model Law（モデル法668号）を採択しました。これは保険会社・保険代理店等が情報セキュリティプログラムを策定・実施し、サイバーセキュリティ事案を調査し、州の保険監督官へ通知することを求める内容です。NAIC自身はこのモデル法を各州へ制定するよう促す役割にとどまり、直接の法執行権限は持ちません。同記事によれば、2022年5月31日時点で21州がこのNAICモデル法に基づく法律を制定しており、実際の通知期限や基準などの詳細は州ごとに異なると説明されています。このように、NAICが策定したモデル法は各州議会が個別に法制化することで初めて拘束力を持つという、州単位の保険規制とNAICの役割分担を具体的に示す事例です。