2023 年 12 月 8 日，国家互联网信息办公室就《网络安全事件报告管理办法（征求意见稿）》公开征求意见。征求意见稿共十四条，核心是把网络安全事件的报告，从原则性要求变成有主体、有时限、有内容的程序。
其中最容易引起讨论的，是“1 小时”这个时限。对多数企业而言，1 小时不是从发现异常开始算，而是从确认事件等级开始算；真正困难的，是在 1 小时内完成研判、决策与对外报告。
谁要报告
征求意见稿适用于网络运营者。发生网络安全事件时，运营者应当及时启动应急预案进行处置；按照《网络安全事件分级指南》，属于较大、重大或特别重大网络安全事件的，应当于 1 小时内报告。
报告对象根据主体不同有所区别：中央和国家机关各部门及其管理的企事业单位，向本部门网信工作机构报告；其他运营者，通常向属地网信部门报告。涉及关键信息基础设施的，还需要向保护工作部门、公安机关报告。
报告什么
报告不是一句“我们被攻击了”。通常需要说明：事件发生时间、发现时间、影响范围、涉及系统与数据、已采取的措施、当前状态、预计恢复时间，以及是否需要外部支持。
这些信息在事件初期往往不完整。办法的要求不是等到全部查清再报告，而是先报告已知情况，后续补充。企业需要设计“初报—续报—终报”的流程，而不是一次性报告。
一小时内的现实挑战
第一，研判。什么算“较大”？分级指南有指标，但实际判断需要技术、业务与法务共同参与。如果没有预先定义，事件发生时容易争论不休。
第二，决策。谁有权确认事件等级、谁有权对外报告、谁负责与监管沟通，必须在预案中写明。等到事件发生再找人，时间已经过去一半。
第三，证据。报告内容需要与日志、监控、工单一致。平时没有留存习惯，临时拼凑的报告容易前后矛盾。
预案应当怎么改
其一，把分级标准写进预案。结合《网络安全事件分级指南》，把本企业的系统、数据与业务映射到具体等级，减少临场判断。
其二，设置报告责任人。明确第一报告人、备份报告人与对外沟通负责人，并确保 7×24 小时可达。
其三，准备模板。初报、续报、终报各有模板，包含必填字段与常见问题，避免事件现场从零起草。
其四，做一次演练。演练不是走流程，而是测试：能否在 1 小时内完成研判、审批与报告；报告内容是否与日志一致；外部沟通是否顺畅。
其五，保留记录。报告时间、报告对象、报告内容、后续更新，都应有记录。这些记录既是合规证据，也是复盘基础。
与等级保护、数据安全的关系
网络安全事件报告不是孤立义务。它与网络安全等级保护、数据安全风险评估、个人信息泄露通知相互衔接。一次事件可能同时触发多套报告义务，企业应建立统一的“事件响应矩阵”，避免重复报告或漏报。
涉及网络安全制度与事件响应，可参见网络安全合规服务；涉及数据泄露与个人信息处理，参见数据合规服务；涉及预案落地与常年支持，另见常年法律顾问服务。
本文依据国家网信办 2023 年 12 月 8 日公开征求意见的《网络安全事件报告管理办法（征求意见稿）》编写，仅供参考，不构成法律意见。