У 2012 році на розгляд Конгресу потрапили пропозиції, які, серед іншого, збільшували повноваження уряду для збирання інформації про кібервторгнення і шпигунство в комп’ютерних мережах компаній. Ідея полягала в тому, щоб ділитися з приватним бізнесом інформацією про потенційні погрози, а також спонукати компанії підсилити заходи безпеки. Однак деякі підприємства стали дибки, бо боялися, що законопроект означатиме для них нові витрати, нав’язані згори. Компанії непокоїлися також через те, що співпраця з урядом дасть підставу клієнтам подавати судові позови. Провайдери інтернет-сервісів хотіли юридичних гарантій того, що коли вони передаватимуть інформацію про атаки в Міністерство оборони або внутрішньої безпеки, то не нестимуть відповідальність за розголошування будь-яких персональних даних, які може містити ця інформація, як-от ідентифікаційна інформація про користувачів або інтернет-адреси людей, чиї пакети даних були перехоплені або чиї комп’ютери опинилися в небезпеці.
Торговельна палата США, впливова комерційна асоціація з глибокими кишенями й довгою історією підтримки республіканців, заявила, що законопроект забезпечить владі «надто великий контроль над заходами бізнес-спільноти із захисту власних комп’ютерів і мереж». У той самий час як консервативні чиновники засуджували закон про охорону здоров’я президента Обами за втручання в приватне життя громадян, Торговельна палата стала найзатятішим опонентом законопроекту про кібербезпеку як чергового прикладу державного втручання. Конгресмени з Республіканської партії стали пліч-о-пліч, і законопроект, який охоплював усі аспекти кібербезпеки, утратив будь-який шанс на життя.
Попри несхвалення Конгресу, президент Обама в лютому 2013 року підписав ухвалу щодо «посилення безпеки й стійкості критично важливої національної інфраструктури». Поняття «критично важлива інфраструктура» навмисне сформулювали широко, щоб охопити ним більшість промислових і комерційних компаній. Президент визначив його як «системи і ресурси, фізичні або віртуальні, так життєво необхідні для Сполучених Штатів, що виведення з ладу або руйнування цих систем і ресурсів матиме руйнівний вплив на безпеку, національну економіку або національну охорону здоров’я чи на їхню сукупність». Згідно з цим визначенням, електростанція, безсумнівно, – це критично важливий об’єкт. Так само як банк. І лікарня. А також потяги, автобуси і транспортні компанії. Чи можна вважати критично важливою інфраструктурою службу доставки UPS? Якщо зважити на те, що чимало підприємств залежать від надійних вантажоперевезень і своєчасної доставки товарів і послуг, тоді цілком можливо.
Цією ухвалою адміністрація Обами заявила Конгресові та підприємцям, що не збирається очікувати на новий закон, що посилить контроль влади над інтернетом. Згідно з президентським наказом, федеральні агентства починали активніше обмінюватися інформацією щодо кіберзагроз із приватними підприємствами; Міністерство торгівлі та Національний інститут стандартів і технології (NIST) зобов’язали розробити стандарти безпеки й заохочувати компанії до їхнього дотримання; міністрові внутрішньої безпеки доручили скласти перелік найважливіших об’єктів, «кібератаки на які можуть призвести до катастрофічних наслідків регіонального або державного масштабу».
Білий дім був готовий надалі боротися за новий закон про кібербезпеку. А наразі ухвала Обами давала військовим «зелене світло» на підготовку до кібервійни.
Постанова Обами вкупі з секретною президентською директивою, підписаною п’ять місяців тому і не оприлюдненою, чітко демонструвала, що саме військові керують національною обороною під час кібератак. Так само як збройні сили, які переймають ініціативу у випадку вторгнення іноземної армії або запуску ракет у напрямку американських міст, кіберсили країни встануть на захист у разі цифрових атак і завдадуть удару у відповідь.
Ухвала спростила Міністерству оборони впровадження секретної програми обміну інформацією про шпигунські програми за межами підприємств оборонної промисловості, поширюючи її на «критично важливі інфраструктурні об’єкти», визначені владою. Ще одна директива, відома під назвою PDD-20, окреслила дії військових у разі кібервійни й відповідальність за накази.
Початок будь-якої кібератаки відбувається за наказом президента. Але в надзвичайній ситуації останній може передати свої повноваження міністрові оборони. До прикладу, якщо під загрозою кібератаки опинилася електростанція і немає часу на схвалення президентом стратегії захисту, зокрема на контрудар по джерелу атаки, міністр оборони може віддати наказ самостійно.