安全事件有报告义务吗

有报告义务，而且这个义务写在法律里，不是行业惯例。《网络安全法》要求网络运营者制定网络安全事件应急预案，发生危害网络安全的事件时立即启动预案，并按照规定向有关主管部门报告。 一、不同身份的口径 普通网站和系统运营者：落实等级保护义务，发生危害事件时按规定向主管部门报告。等级保护本身也内含报告要求：定级备案的系统发生事件，运营者是第一责任人，报告链条和处置记录都要能拿出来。关键信息基础设施运营者：要求更严格，事件报告和应急演练都是法定动作，范围和时限也更细。行业层面：金融、医疗、教育等行业主管部门另有更具体的报告要求，时限通常按小时计，以所在行业的规范为准。搞不清自己属于哪一类，是很多企业报告缺位的第一原因。 二、个人信息泄露的特殊要求 事件涉及个人信息泄露并且可能造成危害的，按《个人信息保护法》应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人，内容包括事件原因、可能造成的影响、已经采取的补救措施。通知个人和报告部门可以同步进行，通知模板提前准备好，事件来时直接填内容，不临时措辞。这一条在监管检查里属于重点项，瞒报的后果比事件本身更重。 三、报告之外要留什么 报告需要材料支撑：发现时间、影响范围、处置时间线、日志证据。这些依赖平时的记录习惯——日志集中保存、变更留痕、操作有审计，事发时才拼得出完整时间线。日志保存期限建议不少于六个月，这也是《网络安全法》对日志留存的基本要求。处置结束后做一次复盘，把根因、损失和改进措施写成文档，既是内部资产，也是向监管说明情况的材料。 四、边界怎么把握 多大的事算"事件"，没有统一答案，拿不准时倾向上报，由主管部门判断性质。自己压着不报，一旦被外部渠道披露，责任性质就从技术事故变成了管理问题，代价完全不同。