系统出了事，别等查清再报

晚上十点，客服在群里说，有客户登录不上了。

值班的人先去看服务器，负载不高；再看数据库，连接正常。半小时过去，没人说得清是故障还是攻击。

老板问了一句：要不要报。群里安静了几秒，有人说，等查清楚再说。

问题就出在这句「等查清楚」。规矩给的钟，从发现或者获知那一刻就开始走，不等原因查清。

一、出事后的第一个小时，最缺的是决定

多数公司不是没有技术能力，是没有人敢在信息不全的时候做决定。

技术的人想先定位，业务的人想先恢复，老板想先知道影响多大。三件事都合理，但时间不会停下来等。

这一篇只讲一件事：系统出事之后，怎么在规矩要求的时间里，把该做的动作做完。

先把两条时间线摆出来。一条是 2026 年 10 月 1 日刚施行的检查新规，一条是 2025 年 11 月 1 日生效的事件报告办法。

二、十月一日之后，检查看的不只是网站

2026 年 10 月 1 日，公安部第 176 号令施行，2018 年 9 月 15 日发布的第 151 号令同时废止。

过去的检查主要看互联网安全。这次的范围比过去宽，数据安全和个人信息保护都写进去了。检查对象也比过去宽，数据处理者和个人信息处理者都写进去了。

说得直白一点：不是只有对外提供网站的公司才会被检查。你在内部系统里存着客户资料，也可能在检查范围里。

第 176 号令第二条把网络空间安全写成三层，网络运行、数据、信息内容都在里面。

三、十一项检查，最容易缺的是哪几样

第 176 号令第七条列了十一项检查内容。对小公司来说，前几项通常还能拿出来，后面几项最容易空着。

检查内容	小公司常见的缺口
用户注册信息和上网日志	只存了登录名，没存访问记录；或者只留一个月
等保定级、备案、测评、整改、自查	系统上线时没定级，后面一直补不上
漏洞和隐患的整改	扫描报告有，改没改没人跟
数据安全和个人信息保护	客户资料谁都能导出，没有记录
算法推荐管理	用了推荐功能，却没有管理制度
联网备案和接入信息	换了云或者换了办公室，备案信息没改

另外几项，比如关键信息基础设施保护、公共信息内容防范、为公安机关提供技术支持，多数小公司暂时碰不到，但并不意味着可以不知道。检查人员问到时，至少要说得清自己不属于哪一项，为什么不属于。

等保是国家对不同重要程度的系统规定的一套安全保护要求。先定级，再去备案，然后做测评和整改，之后每年还要自查。等保三级以上的系统，其运营者还要每年接受一次现场检查。

四、哪些公司会被每年上门一次

第 176 号令第九条写得很清楚：等保三级（含）以上的网络运营者，以及关键信息基础设施运营者，每年做一次日常性的现场检查。其他公司不是不查，而是以线上巡查、远程检测和必要的现场核查为主。

线上巡查包括信息审核能力测试和漏洞扫描。要做信息审核能力测试的，公安机关会提前三个工作日告知时间与范围；市级以上公安机关做远程漏洞探测，也要提前三个工作日告知。

现场检查有两条保护被检查对象的规矩。警察不得少于两人，要出示警察证和监督检查通知书；检查记录要由公司负责人或者网络安全管理人员签字。

公安机关不得收费，也不得要求你购买指定的产品和服务。

发现隐患但还不构成违法的，公安机关可以发公安提示函，要求限期改掉；风险较大或者已经出事的，可以约谈公司负责人，要求限期整改。

五、四小时的钟，从哪一刻开始走

《国家网络安全事件报告管理办法》从 2025 年 11 月 1 日起施行。它管的是网络运营者，也就是网络的所有者、管理者和网络服务提供者。只要你在建设、运营网络，或者通过网络提供服务，基本都算在内。

办法第四条把报告时限分成了三档：

谁	报给谁	最迟多久
关键信息基础设施运营者	保护工作部门、公安机关	1 小时
中央和国家机关各部门及其直属单位	本部门网信工作机构	2 小时
其他网络运营者	属地省级网信部门	4 小时

绝大多数中小企业落在最后一行，也就是四小时。属地一般指公司主要运营地所在的省，省级网信部门就是省一级的网信办。

这四小时不是从故障发生那一刻算，是从你发现或者获知的那一刻算。客户先发现、打电话到客服，或者外包商先看到、告诉了你，从你收到消息那一刻起，钟就开始走。

六、多大的事才算较大

办法的附件是一份《网络安全事件分级指南》。它把事件分成四档，只有较大以上才触发报告义务。

级别	泄露公民个人信息	直接经济损失	党政机关、企事业单位门户网站或省级以上重点新闻网站连续不能访问
较大	100 万人以上	500 万元以上	2 小时以上
重大	1000 万人以上	2000 万元以上	6 小时以上
特别重大	1 亿人以上	1 亿元以上	24 小时以上

这几行是分级指南里给出的常见情形，不是全部。公司自己的网站停两个小时，不一定按这一行算；要看影响了多少客户、有没有数据被拿走、损失有多大。

重要数据泄露、影响十万人以上基本生活、关键信息基础设施停摆，都可能在条数不到时就进了较大那一档。所以不要拿「我们不到一百万条」当挡箭牌。拿不准，就按较大那一档准备。

七、关键信息基础设施为什么是一小时

关键信息基础设施，指的是能源、交通这类基础行业，以及金融、公共服务里一旦停摆会影响一大片人的系统。它有一份名单，不是公司自己说是就是。

如果你在名单里，报告时限是一小时，报给保护工作部门和公安机关。保护工作部门通常就是这家单位对口的行业主管部门。这条线比普通公司紧得多。

重大、特别重大的事件，收到报告的部门还要继续往上报，时限是半小时到一小时。公司这一层要做的，是先把第一小时里的报告交出去。

多数中小企业不在名单里。但如果你给名单里的单位做系统、做运维，合同里可能会要求你在更短时间内通知客户。这个时间往往比四小时还短。

八、为什么不能等查清原因再报

这是整份办法里最实用的一句话，写在第七条：规定时间内不能判定事发原因、影响或者发展趋势的，可以先报第一项和第二项，其他情况及时补报。

第一项是涉事单位名称和涉事系统的基本情况。

第二项要写发现或者发生的时间与地点，还要写事件类型、级别、已经造成的影响和危害，以及已经采取的措施和效果。

换句话说，第一份报告不需要写成调查报告。先把确定的事实交出去，原因可以后面补。

九、第一份报告要写哪几行

不用等模板。拿一张纸，先写五行：

• 单位与系统：公司全称，出事的系统叫什么，放在哪里。
• 发现时间与现象：几点几分发现的，看到的是什么。
• 影响范围：哪些客户受影响，大概多少人，有没有数据被拿走。
• 已做处置：断开了什么，保留了什么，谁在处理。
• 下一步与请求：准备怎么查，需要谁支援。

如果是勒索软件，还要写上对方要多少钱、用什么方式要、截止到哪天。这一条在办法第七条里单独点了名。

法规没有要求第一份报告写成固定格式，但第七条列了八项内容。第一份先把最要紧的几项写清，剩下的按「及时补报」处理。

十、电话打给谁，谁签字

普通公司先打属地省级网信部门。网信部门设了 12387 这条热线，网站、邮箱和传真也能收报告。拿不准属于哪一档，可以打过去问清楚属地怎么接。

如果怀疑是犯罪，比如有人入侵、勒索、偷数据，还要向公安机关报案。行业里有专门规定的，按行业主管部门的要求再报一次。

公司内部要提前定一个人，再定一个备份。报告的主体是网络运营者，外包商不能替你把这份责任接过去；外包商能做的是及时告诉你，并协助你报。

法规没有规定报告要谁签字，但检查记录要由公司负责人或者网络安全管理人员签。把这两件事都落到同一个人身上，再配一个备份，出事时就不会找不到人。

十一、迟报和瞒报，代价为什么更重

办法第十条写了两层：不按规定报告，按有关法律、行政法规处罚；因为迟报、瞒报，以及漏报和谎报造成重大危害后果的，从重处罚。

修订后的《网络安全法》从 2026 年 1 月 1 日起施行。不履行等保、日志这些义务，先责令改正、给予警告，可以处一万元以上五万元以下罚款。

拒不改正或者出了后果，罚款到五万元以上五十万元以下，直接负责的主管人员也要罚。造成大量数据泄露这类严重后果的，罚款可以到五十万元以上二百万元以下。

关键信息基础设施那一档更高。这些数字不是吓唬人，是提醒一件事：出事之后的处理方式，会影响最后怎么定性。

十二、及时报告能换来什么

办法第十一条留了一条出路：已经采取合理必要的防护措施，按照应急预案处置，有效降低了事件的影响和危害，并且按规定及时报告的，可以视情从轻或者不予追究。

注意这几个条件是一起看的。报了，但什么都没做，不等于免责；做了，但压着不报，也拿不到这一条。

对生意来说，早报还有一层好处：网信部门知道这件事，后面的通报和问询就有了同一个事实基础，不会因为传言先跑一圈。

十三、外包运维出事，谁会先告诉你

很多小公司没有专职运维，服务器、数据库，还有网站都交给外包商。系统出问题时，外包商往往比你先看到。

办法第五条要求网络运营者用合同等形式，要求提供网络安全、系统运维服务的组织或者个人，及时报告监测发现的事件，并协助按规定报告。

这句话要落到合同里，不能只靠平时关系好。合同里至少写清四件事：发现后多久通知你，通知谁，提供哪些日志和记录，配合到什么程度。

云服务商的状态页面不算对你的报告。你在上面跑业务，报告义务仍然在你身上。

十四、平时要备好的四样东西

第一样是一张系统清单。哪个系统在跑，放在哪家云，谁负责，出问题打谁的电话。这张纸在出事那天比任何架构图都管用。

第二样是日志。网络安全法要求网络日志留存不少于六个月。日志就是系统自己记的操作记录，谁在什么时间从哪里做了什么。检查时也会看用户注册信息和上网日志留没留。

第三样是一份应急预案。不用写得很厚，但要写清谁有权决定断开系统，谁负责对外说话，谁负责报告。

第四样是一张报告卡片。把下面这些联系方式提前填好，放在值班的人拿得到的地方。

十五、演练做到什么程度算够

不用搞成攻防比赛。找一个月内的一个下午，叫上技术、客服、负责人和外包商，拿一个假想场景走一遍：客户资料被人打包下载了，怎么办。

计时三十分钟。看几件事：多久能确认影响范围，多久能找到系统清单和日志，第一份报告能不能在四小时内发出去，谁负责跟网信部门对接。

走完把卡住的地方记下来，改掉。下一次再走一遍。这比写一份厚厚的预案更有用。

十六、事后三十天还要交什么

办法第八条要求，事件处置结束后三十日内，对发生原因、应急处置措施、造成的危害、责任追究、完善整改情况、教训做一次全面分析，形成总结报告，按原渠道上报。

这一条最容易被忘。系统恢复了，大家松一口气，总结就拖到下个季度。

把总结当成最后一次盘点：哪些客户受了影响，通知了没有，漏洞补了没有，合同里的报告条款要不要改，下次演练什么时候做。

十七、现在就能填的一张卡片

卡片不用复杂，填满这几行就够：

• 报告责任人：姓名、手机、备份人。
• 属地网信部门：电话，12387，网站与邮箱。
• 公安机关：属地派出所或者网安部门电话。
• 行业主管部门：有就填，没有写无。
• 关键信息基础设施保护部门：在名单里的才填。
• 云与运维供应商：值班电话、升级联系人。
• 律师与保险：需要时打给谁。

最后一行写日期，半年后拿出来核对一次。电话会换，人也会换。

出事那天，最贵的不是技术，是找不到那个该打电话的人。