国家网络安全事件报告管理办法
本文依据2025年正式发布的《国家网络安全事件报告管理办法》整理。原页面曾收录征求意见稿，已不再把征求意见稿作为现行法规依据。
法规概览
| 项目 | 内容 |
|---|---|
| 法规 | 《国家网络安全事件报告管理办法》（2025年9月11日） |
| 生效日期 | 2025年11月1日 |
| 主要适用对象 | 在中国境内建设、运营网络或者通过网络提供服务的网络运营者 |
| 核心问题 | 事件分级、不同主体的报告对象和时限、报告内容、补报与进展、供应商协同、30日总结 |
| 官方来源 | 国家互联网信息办公室 |
下文按 “法规要求 → 落实与验收” 展开：每项要求同时说明实施动作与可验证证据。行业领域另有专门报告规定的，需要并行遵守，不能用本办法替代行业专项义务。
安全要求与实施
| 核心主题 | 达成状态 |
|---|---|
| 事件发现与分级 | 事件不漏、等级判得准、边界场景有统一口径 |
| 报告对象与时限 | 不同主体知道向谁报、多久报 |
| 报告内容与持续补报 | 信息不完整也能先报，后续重要变化持续补报 |
| 服务商协同 | 外包运维、安全服务发现事件后不会卡在供应商侧 |
| 事后总结与闭环 | 事件结束后原因、责任、整改和教训可追溯 |
建立事件发现和分级能力
法规要求｜第4、12条及附件。 网络运营者发现或获知涉及本单位的网络安全事件后，应按《网络安全事件分级指南》研判；较大以上事件进入法定报告流程。事件原因包括人为、攻击、漏洞隐患、软硬件故障、不可抗力等。
落实与验收。
- 把安全告警、生产故障、数据异常、用户投诉、供应商通报和外部情报纳入统一事件研判入口。
- 建立特别重大、重大、较大、一般四级规则，覆盖系统中断、数据泄露、违法有害信息传播、直接经济损失等指标。
- 关键判级指标明确数据来源和计算口径，避免事故发生后临时找人统计。
- 非攻击原因导致的系统和数据事件同样进入判级，不允许以“只是稳定性故障”排除。
验收证据。
- 从近期开过P1/P2的生产故障反查，有没有符合网络安全事件定义却从未进入安全研判的事件？
- 随机给出“关基主要功能中断30分钟”“泄露100万人个人信息”等边界场景，现场能否正确判级？
- 影响人数、系统中断时长、数据量和直接经济损失从哪里取，现场能否拿出来？
- 同一事件等级随影响扩大时，升级机制是否会自动触发新的报告任务？
按主体确定报告对象和最迟时限
法规要求｜第4条。 较大以上事件按主体采用不同报告路径：涉及关键信息基础设施的，第一时间向保护工作部门、公安机关报告，最迟不超过1小时；中央和国家机关部门及直属单位最迟不超过2小时向本部门网信工作机构报告；其他网络运营者最迟不超过4小时向属地省级网信部门报告。行业有专门规定的还应按行业要求报告，涉嫌违法犯罪的及时向公安机关报案。
落实与验收。
- 先按机构和系统属性建立报告路径表，不在事故发生后临时查“归谁管”。
- 维护监管联系人、12387等允许渠道、主备人员和紧急授权，报告流程不依赖单一负责人。
- 建立行业专项报告义务映射，同一事件可以同时触发网信、关基、公安、金融等多条链路。
- 内部审批时限必须为法定窗口留出缓冲，不把“内部确认等级”人为当作重新起算点。
验收证据。
- 随机指定一个系统，团队能否在几分钟内说清属于哪种主体路径、报给谁、最迟多久？
- 如果安全负责人和审批人同时不可达，报告是否会停止？
- 从历史真实事件时间线重新计算：发现/获知、初步判级、内部升级、实际报送分别是什么时间？
- 同时触发行业专项报告时，是否存在“网信已经报了，所以行业不用再报”的错误理解？
在信息不完整时先报并持续补报
法规要求｜第7条。 报告应覆盖涉事单位和系统、发现/发生时间、地点、类型、级别、影响危害、已采取措施、趋势、原因初判、溯源线索、后续措施、现场保护等信息；规定时间内不能确定全部信息时，可以先报基本信息，其他情况及时补报；出现新的重要情况或阶段性进展应及时报告。
落实与验收。
- 准备最小首报字段和完整报告字段，允许未知信息标记“待确认”，不为等根因和最终影响而迟报。
- 事件处置、取证和监管报告并行推进，阶段性结果和影响变化能持续更新。
- 勒索软件等专项情形把法规要求的附加信息纳入模板和研判流程。
- 每次报送保留对象、时间、内容版本和提交结果，后续补报与首报能关联到同一事件。
验收证据。
- 抽一份真实报告：当时未知的信息是否明确标记并及时补报，还是为了“写完整”延迟首报？
- 报告后事件影响升级或调查取得新进展时，是否真的发过更新？
- 报告中的影响数据能否回到原始业务和安全记录复算？
- 通话、邮件、平台提交等证据能否证明“向正确对象报了什么”，而不只是内部文档已生成？
把外包安全和运维服务纳入报告链路
法规要求｜第5条。 网络运营者应以合同等形式要求为其提供网络安全、系统运维等服务的组织或个人及时报告其监测发现的网络安全事件，并协助运营者依法报告。
落实与验收。
- 在安全服务、云服务、运维和托管合同中明确事件发现、通知时限、联系人、证据保全和协助报告责任。
- 供应商告警直接进入本机构事件研判流程，不能只在供应商工单中关闭。
- 重大外包变更和人员更替同步更新联系人和升级路径。
验收证据。
- 随机抽一个云/运维/安全服务合同，是否明确发现事件后的通知和协助义务？
- 最近一次供应商发现的高危事件，从供应商告警到本机构判级用了多久？
- 非工作时间供应商发现事件时，能否触达本机构有效值班人？
- 外包合同写了“及时通知”但没有联系人和升级路径时，现场能否真正执行？
在事件结束后30日内完成总结和整改闭环
法规要求｜第8条。 网络安全事件处置工作结束后，网络运营者应于30日内全面分析原因、应急处置、危害、责任追究、完善整改和教训等，形成总结报告按原渠道上报。
落实与验收。
- 明确定义“处置工作结束”的内部事实依据，不用任意晚关工单延后总结。
- 总结覆盖技术根因、管理根因、影响、责任、整改和经验教训，并与首报/补报事实保持一致。
- 整改任务进入正式跟踪机制，明确责任人、期限和复测标准。
- 总结上报与内部复盘区分管理，内部文档完成不等于已经履行上报义务。
验收证据。
- 检查期间所有较大以上事件是否都能找到30日内按原渠道上报的总结？
- 总结中的影响和根因是否与事件期间记录一致，还是事后重新“美化”了时间线？
- 整改项是否有明确关闭和复测证据，还是只写“已加强管理”？
- 从生产故障和安全事件清单反查，是否存在已结束但从未形成总结的漏项？
法规原文
查看法规原文
版本说明
本站原文件曾保存2023年征求意见稿，其中“统一1小时报告、24小时补报、5个工作日总结”等内容已经失效，不再作为现行依据。
现行《国家网络安全事件报告管理办法》于2025年9月11日发布，自2025年11月1日起施行，共14条，并附《网络安全事件分级指南》。
官方现行全文及附件：国家互联网信息办公室。
现行条款结构速查
- 第1—3条：立法依据、适用范围和监管职责。
- 第4条：较大以上事件的报告对象和最迟时限；关基相关事件、中央和国家机关体系、其他网络运营者分别适用不同路径；行业另有专项规定的并行遵守。
- 第5条：通过合同等形式要求网络安全、系统运维等服务提供者及时通知其发现的事件，并协助运营者依法报告。
- 第6条：鼓励社会组织和个人报告所获悉的较大以上网络安全事件。
- 第7条：规定首报内容；信息不完整时可先报基本信息，后续及时补报；出现重要变化或阶段性进展继续报告。
- 第8条：事件处置结束后30日内形成总结报告并按原渠道上报。
- 第9条：12387等统一报告渠道。
- 第10—11条：未依法报告的责任，以及及时报告并有效降低影响时的责任考量。
- 第12条：网络安全事件、网络运营者定义以及分级指南依据。
- 第13条：涉密事件按有关规定执行。
- 第14条：施行日期。
分级指南
附件将事件分为特别重大、重大、较大、一般四级，并从重要网络和信息系统中断、关键信息基础设施中断、数据泄露、个人信息泄露、违法有害信息传播、直接经济损失等维度给出判级指标。
事件判级、报告对象、时限和具体量化阈值应直接核对顶部官方全文及附件；本站正文负责实施解读，不再保留已失效征求意见稿全文。