01 · 法律层义务深度解读
1.1 《网络安全法》：应急义务的源头条款
第21条要求网络运营者"采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月"——这是泄露溯源最基础的法定日志底线，也是第4页日志体系建设的直接依据。第25条要求"制定网络安全事件应急预案，及时处置系统漏洞、计算机病毒、网络攻击、网络侵入等安全风险；在发生危害网络安全的事件时，立即启动应急预案，采取相应的补救措施，并按照规定向有关主管部门报告"。四个动词——"制定、立即启动、采取补救、按规定报告"——构成一个完整的义务链：没有预案，"立即启动"就无从举证；没有监测能力，"及时处置"就没有抓手。
1.2 《数据安全法》：以"数据安全事件"为对象的处置义务
第27条确立"全流程数据安全管理制度、教育培训、采取相应的技术措施"的基础义务，并明确"在网络安全等级保护制度的基础上，履行数据安全保护义务"；第29条要求"加强风险监测，发现数据安全缺陷、漏洞等风险时，应当立即采取补救措施；发生数据安全事件时，应当立即采取处置措施，按照规定及时告知用户并向有关主管部门报告"；第30条要求重要数据处理者"对其数据处理活动定期开展风险评估，并向有关主管部门报送风险评估报告"。三条叠加的含义是：数据安全事件处置义务适用于全部数据处理者，且重要数据处理者额外背负"事前评估"义务——评估报告的质量在事件发生后将成为监管审查的第一批材料。
1.3 《个人信息保护法》：最精细的"补救+通知"双轨义务
第51条要求个人信息处理者制定"个人信息安全事件应急预案"（安全事件应急被明文列入必要的管理制度）；第55条将"发生个人信息安全事件后的影响评估"（第（四）项）列入个人信息保护影响评估（PIA）的法定触发场景；第57条是本课题最核心的条款：
《个人信息保护法》第57条要点：发生或者可能发生个人信息泄露、篡改、丢失的，个人信息处理者应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人。通知应当包括三项法定内容：①发生或者可能发生个人信息泄露、篡改、丢失的信息种类、原因和可能造成的危害；②个人信息处理者采取的补救措施和个人可以采取的减轻危害的措施；③个人信息处理者的联系方式。同时设置但书：采取措施能够有效避免信息泄露、篡改、丢失造成危害的，可以不通知个人——该豁免的裁量与举证责任在实质上落在处理者身上（何种措施算"有效避免"、危害如何判断，需要有书面的评估结论支撑，否则豁免理由难以经受监管问询）。
第58条对提供重要互联网平台服务、用户数量巨大、业务类型复杂的"守门人"设定特别义务；第66条设定罚则（详见第04节）。此外，《民法典》第1038条从私法角度要求：信息处理者"发生或者可能发生个人信息泄露、篡改、丢失的，应当及时采取补救措施，按照规定告知自然人并向有关主管部门报告"——与个保法第57条形成民行衔接，个人可据此主张民事救济。
1.4 国际参照：GDPR的时限化表达
欧盟GDPR对泄露通知采用了更硬性的时限：第33条要求控制者在知悉后72小时内向监管机构通报（特殊情况须说明理由），第34条要求在可能给个人带来高风险时毫不无故拖延地通知数据主体。虽然GDPR仅直接适用于欧盟境内处理活动，但其72小时时限已被大量跨国企业内化为全球响应基线，也常被中国出海企业的合规团队作为内部时限的参照坐标（第5页KQ-1将讨论"立即/及时"的操作化）。
02 · 行政法规与部门规章
2.1 《关键信息基础设施安全保护条例》（2021年9月1日施行）
条例要求关基运营者建立健全网络安全事件应急机制，并在发生重大网络安全事件或者发现重大网络安全威胁时，按照有关规定向保护工作部门、公安机关报告。与普通网络运营者相比，关基运营者的报告义务更刚性、对象更明确（保护工作部门+公安双通道），且条例同时强化了监测检测、事件处置技术措施与专门安全管理机构的要求。
2.2 《网络数据安全管理条例》（2025年1月1日施行）
- 应急预案义务：网络数据处理者应当建立网络数据安全事件应急预案，发生网络数据安全事件时立即启动预案，采取措施防止危害扩大、消除安全隐患，并按照规定向有关主管部门报告——把网安法第25条的"网络安全事件"义务在行政法规层级细化为"网络数据安全事件"。
- 风险评估义务：重要数据处理者应当按照国家有关规定对重要数据处理活动定期开展风险评估，并向有关主管部门报送风险评估报告；处理重要数据的大型网络平台服务提供者还承担年度风险评估报告义务。风险评估报告内容覆盖数据处理活动的合法性正当性、风险与危害程度、技术措施有效性等，是事件后监管复盘的核心材料。
- 衔接条款：条例与数据出境制度、个人信息保护制度相衔接，出境数据的泄露事件需同时评估出境合规档案义务。
2.3 部门规章与行业规定
| 文件 | 事件相关核心要求 |
|---|---|
| 《工业和信息化领域数据安全管理办法（试行）》（工信部，2023年1月1日施行） | 要求工业和电信数据处理者建立数据安全事件应急机制，发生数据安全事件时立即启动，按照有关规定向有关主管部门报告；对重要数据和核心数据的安全事件报告提出更高要求（具体时限与路径以办法原文及工信部配套文件为准） |
| 《公共互联网网络安全突发事件应急预案》（工信部） | 对公共互联网领域的突发事件建立分级（参照特别重大、重大、较大、一般四级）与分级响应机制，明确电信主管部门、基础电信企业的响应职责 |
| 《国家网络安全事件应急预案》（2017年发布） | 确立特别重大（Ⅰ级）、重大（Ⅱ级）、较大（Ⅲ级）、一般（Ⅳ级）四级事件分级与红色、橙色、黄色、蓝色四级预警，规定监测预警、应急处置、调查评估的组织体系与报告关系 |
| 中国人民银行《中国人民银行业务领域数据安全管理办法》（2025年6月30日施行） | 细化央行业务领域数据处理者的数据安全事件分级、报告与处置要求，金融数据泄露事件需同时考虑金融监管部门的双线报告 |
| 《个人信息保护合规审计管理办法》（国家网信办令第18号，2025年2月公布、5月1日施行） | 处理超过1000万人个人信息的处理者每两年至少开展一次合规审计；泄露事件处置、应急预案有效性、整改闭环均是审计关注点，事件证据将被纳入审计材料 |
行业双线/多线报告提示：金融、电信、能源、医疗等行业主体在发生数据泄露时，往往面临行业主管部门+网信部门+公安机关的多线报告格局，关基运营者还叠加保护工作部门通道。预案中必须预先画好"本组织的报告对象矩阵"（谁在什么时间以什么模板向哪个部门报告），避免事件当天临时寻找报送口径。
03 · 事件分级与分类国家标准
3.1 GB/T 20986-2023《信息安全技术 网络安全事件分类分级指南》
该标准于2023年5月23日发布、2023年12月1日实施，代替沿用十六年的GB/Z 20986-2007，是组织开展事件研判、信息通报、监测预警和应急处置的通用方法依据。其核心内容：
- 事件分类：按成因将网络安全事件分为恶意程序事件、网络攻击事件、信息破坏事件、信息内容安全事件、设备设施故障、灾害性事件与其他事件七大类。其中恶意程序事件细分为计算机病毒、网络蠕虫、特洛伊木马、僵尸网络、恶意代码内嵌网页、恶意代码宿主站点、勒索软件事件、挖矿病毒、混合攻击程序等十个子类——勒索软件在中国国家标准语境下有明确的事件类型坐标。
- 事件分级：从影响对象的重要程度、影响范围、危害程度等要素综合确定事件级别（一般与特别重大、重大、较大、一般的四级管理格局衔接），并给出事件分级流程与分类代码（附录B），便于跨组织通报时的结构化表达。
- 使用要点：组织应在预案中把GB/T 20986-2023的分类代码映射为本组织的告警标签体系，使"研判—分级—上报"三环节使用同一套语言。
3.2 GB/T 38645-2020《信息安全技术 网络安全事件应急演练指南》
规定了应急演练的策划、准备、实施、评估与改进全流程，区分桌面演练、模拟演练、实战演练等形态，是组织把预案从"纸面"搬到"运行"的方法标准（第5页第09节演练体系据此展开）。配套参照还包括GB/T 22239-2019（等保2.0）中关于安全管理中心与应急响应的技术要求，以及GB/T 36073-2018（DSMM）中覆盖数据采集、传输、存储、处理、交换、销毁全生命周期的审计与追溯过程域要求。
3.3 国际框架参照
NIST SP 800-61r3（2025年4月发布，替代2012年版第2版）将应急响应从"四阶段生命周期"升级为对齐NIST CSF 2.0六大功能（Govern、Identify、Protect、Detect、Respond、Recover）的持续风险管理模型，强调治理（Govern）首次进入事件响应核心框架；ISO/IEC 27035系列（2023年更新第1、2部分）提供事件管理原则与预案编制指引；SANS学院的PICERL六阶段模型（Preparation、Identification、Containment、Eradication、Recovery、Lessons Learned）在工程界仍广泛使用。第5页将以NIST 800-61r3为主轴组织响应流程。
04 · 罚则与法律责任全景
4.1 行政责任对照表
| 法律依据 | 责任形态 | 处罚幅度 |
|---|---|---|
| 《网络安全法》第59条 | 不履行第21条、第25条保护义务 | 责令改正、警告；拒不改正或导致危害网络安全等后果的，处1万元以上10万元以下罚款，对直接负责的主管人员处5000元以上5万元以下罚款 |
| 《数据安全法》第45条 | 不履行第27、29、30条保护义务（含未立即处置数据安全事件、未告知用户、未报告） | 责令改正、警告，可并处5万元以上50万元以下罚款；拒不改正或造成大量数据泄露等严重后果的，处50万元以上200万元以下罚款，可责令暂停相关业务、停业整顿、吊销相关业务许可证或营业执照；直接责任人员最高处20万元以下罚款 |
| 《个人信息保护法》第66条 | 违反本法规定处理个人信息，拒不改正 | 情节严重的，由省级以上履行个人信息保护职责的部门责令改正，没收违法所得，并处5000万元以下或者上一年度营业额5%以下罚款，可责令暂停相关业务或停业整顿、吊销许可或执照；对直接负责的主管人员和其他直接责任人员处10万元以上100万元以下罚款 |
| 《民法典》第1038条 | 民事责任 | 泄露、篡改或非法提供个人信息的，承担停止侵害、赔偿损失、赔礼道歉等民事责任（第1165、1182条等提供请求权基础） |
4.2 刑事责任与高管个人责任
- 刑法第253条之一（侵犯公民个人信息罪）：违反国家有关规定，向他人出售或提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。窃取或以其他方法非法获取公民个人信息的，依照前款处罚——内部人员倒卖数据（如第7页圆通"内鬼"类案件）与外部黑客均落入本条射程。
- 刑法第285条（非法侵入计算机信息系统罪、非法获取计算机信息系统数据罪）与第286条（破坏计算机信息系统罪）：覆盖黑客入侵、获取数据与破坏系统的行为谱系。
- 高管与个人的合规义务：上述罚则均设置了"直接负责的主管人员和其他直接责任人员"的罚款档；个保法第66条还可对责任人决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。域外更有警示：Uber前安全负责人Joe Sullivan因2016年数据泄露事件中"隐瞒不报+支付封口费"被美国联邦法院于2022年10月定罪（2023年5月判处三年缓刑、200小时社区服务及5万美元罚金），成为"个人为瞒报担责"的全球标志性判例（第7页复盘）。
执法强度参照：滴滴全球股份有限公司因违反《网络安全法》《数据安全法》《个人信息保护法》被处人民币80.26亿元罚款（国家网信办，2022年7月21日通报，认定16项违法事实）；英国ICO就万豪泄露案先开出约1.83亿英镑罚款意向、后于2020年10月确定罚金为1840万英镑——说明处罚金额与"事后配合度、披露及时性"强相关：主动、完整、及时的响应与披露，本身就是最经济的减损措施。
05 · 义务图谱总表（义务—主体—触发—时限—证据）
| 法定义务 | 条款依据 | 责任主体 | 触发条件 | 时限口径 | 留痕证据 |
|---|---|---|---|---|---|
| 制定应急预案并定期演练 | 网安法25条；数安法27条；个保法51条；网数条例 | 网络运营者/数据处理者/处理者 | 常态义务（事前） | —（持续有效） | 预案文本、修订记录、演练方案与评估报告 |
| 留存网络日志不少于六个月 | 网安法21条 | 网络运营者 | 常态义务（事中留痕） | ≥6个月 | 日志平台覆盖清单、留存策略配置、抽样审计记录 |
| 风险监测与漏洞立即补救 | 数安法29条 | 开展数据处理活动的组织、个人 | 发现数据安全缺陷、漏洞等风险 | 立即 | 漏洞台账、处置工单、补丁验证记录 |
| 数据安全事件立即处置 | 数安法29条 | 同上 | 发生数据安全事件 | 立即 | 事件单、处置时间线、遏制措施记录 |
| 告知用户并报告主管部门 | 数安法29条；网安法25条 | 同上 | 发生数据安全事件 | 按照规定/及时 | 告知内容存档、报告回执、报送模板版本 |
| 个人信息事件补救与通知 | 个保法57条；民法典1038条 | 个人信息处理者 | 发生或可能发生个人信息泄露、篡改、丢失 | 立即 | 影响评估报告、通知文本与发送记录、豁免评估依据（如适用） |
| 重要数据年度风险评估报送 | 数安法30条；网数条例 | 重要数据处理者 | 常态义务（定期） | 按国家有关规定 | 风险评估报告及报送凭证 |
| 重大事件/威胁双通道报告 | 关基条例 | 关基运营者 | 重大网络安全事件或重大网络安全威胁 | 按照有关规定 | 向保护工作部门、公安机关的报告记录 |
| 合规审计（含事件处置核查） | 个保法54条；《个人信息保护合规审计管理办法》 | 处理者（超1000万人者强制定期审计） | 常态化+事件后 | 每两年至少一次（达标群体） | 审计报告、整改方案与闭环证据 |
说明："立即""及时""按照有关规定"为法律原文表述。法律与行政法规多数未统一规定具体小时数，个别行业细则另有快速报告要求；上表"留痕证据"列是本课题建议的组织自证口径，详见第5页KQ-1的操作化方案。
06 · 监管报送与用户告知路径
以下路径图将第05节义务图谱中的"报告/告知"义务组织为可执行的动作序列，适用于一般网络数据处理者发生疑似个人信息泄露事件后的黄金24小时（内部时限为课题建议口径，法定口径以"立即/及时"为准）：
报告对象矩阵（预案中预置）
| 主体类型 | 报告对象 | 备注 |
|---|---|---|
| 一般网络数据处理者 | 履行个人信息保护职责的部门、有关主管部门（按行业与属地确定） | 预案中应列明具体部门名称、联系渠道与报告模板 |
| 关基运营者 | 保护工作部门 + 公安机关（双通道） | 重大事件与重大威胁均触发 |
| 工信领域数据处理者 | 工业和信息化主管部门（按办法及配套文件） | 重要数据、核心数据事件报告要求更高 |
| 金融领域机构 | 金融监管部门（按央行业务领域办法及各金融子行业规则） | 注意金融消费者保护的双线通报 |
| 涉及出境数据 | 境内报告义务 + 境外接收方所在地法律评估（如GDPR第33条72小时通报） | 出境合规档案应预置境外通报决策树 |
| 上市公司（域外参照） | 美国SEC重大网络安全事件披露（Form 8-K Item 1.05，2023年12月生效） | 境内赴境外上市/发债主体需纳入预案 |
07 · 域外通报时限的横向对照
中国法律以"立即/及时/按照规定"为口径，未统一规定小时数；域外主流规则普遍采用硬性时限。二者并非冲突关系——域外时限可作为组织设定内部基线（第1页KQ-1的操作化）与跨境场景下的合规坐标：
| 法域与规则 | 时限要求 | 通报对象 | 关键备注 |
|---|---|---|---|
| 欧盟GDPR第33条 | 控制者知悉后72小时内 | 监管机构 | 迟延须说明理由；允许分阶段补充通报 |
| 欧盟GDPR第34条 | "毫不无故拖延" | 受影响数据主体 | 以"高风险"为触发条件，与个保法第57条但书逻辑同构 |
| 新加坡PDPA（2021年修订） | 3个日历日内 | 个人数据保护委员会（PDPC） | 2021年2月起强制实施；达到规模门槛方触发 |
| 美国SEC规则（Item 1.05） | 重大性确定后4个工作日内 | 投资者（8-K表格） | 2023年7月通过；2023年12月起对大型加速申报人生效，2024年6月起扩展至全部 |
| 中国大陆 | "立即""及时""按照规定" | 主管部门＋用户/个人 | 无统一小时数；行业细则与地方预案另有快速报告要求（见本页第06节报告对象矩阵） |
实践建议：跨境企业宜以72小时为内部首次报告上限基线，与其全球事件响应流程对齐；同时注意境内法定义务不因境外已通报而免除——双重义务并存时，以"较严者先行"为原则编排预案动作序列。
本节参考来源（第2页）
以下均为真实可查的权威来源，用于支撑本页事实性表述。
《中华人民共和国网络安全法》：中国政府网（第21、25、59条）。
《中华人民共和国数据安全法》：中国政府网（第27、29、30、45条）。
《中华人民共和国个人信息保护法》：中国政府网（第51、54、55—58、66条）。
《中华人民共和国民法典》（第1038条）：中国政府网。
《关键信息基础设施安全保护条例》（2021年9月1日施行）：《网络数据安全管理条例》（国务院令第790号，2025年1月1日施行）：中国政府网。
GB/T 20986-2023（2023年5月23日发布、2023年12月1日实施）：国家标准全文公开系统；GB/T 38645-2020（应急演练指南）。
GDPR第33/34条：GDPR.eu；新加坡PDPC数据泄露通报指南：pdpc.gov.sg；美国SEC 2023年网络安全披露最终规则（2023年7月26日）：sec.gov。