各框架的事件响应要求对比
事件响应是每个框架都要求的五个主题之一。各框架的计划看起来相似，但报告时限并不相同。以下是对比。
本文介绍的是撰写时 ControlMapping 已映射的 11 个框架。此后，DORA, CPS 234, Cyber Essentials 已于 2026-10-27 新增；其页面和覆盖矩阵均已包含这些内容。
事件响应属于通用核心内容：我们对照映射的每个框架都要求它。核心要求在各处都一样：有计划、有人员清楚自己的职责，并具备检测、遏制、恢复和总结经验的方法。差异体现在测试上，更重要的是体现在需要通知谁、以及通知的时限有多快。
各框架的要求
| 框架 | 事件响应 | 链接 |
|---|---|---|
| NIST CSF 2.0 | RS.MA-01RS.MA-02RS.MA-03RS.MA-04ID.IM-04 | 主题定义 |
| ISO 27001 | A.5.24A.5.25A.5.26 | 对照映射 |
| CIS v8.1 | CIS 17.1CIS 17.4CIS 17.5CIS 17.7CIS 17.9 | 对照映射 |
| SOC 2 | CC7.4CC7.3 | 编辑说明 |
| PCI DSS | 12.10.112.10.312.10.212.10.4 | 对照映射 |
| CMMC | IR.L2-3.6.1IR.L2-3.6.3 | 对照映射 |
| 800-53 | IR-4IR-8IR-2IR-3 | 对照映射 |
| HIPAA | §164.308(a)(6)§164.308(a)(6)(ii) | 对照映射 |
| GDPR | Art.33(1)Art.33(5) | 编辑说明 |
| NIS2 | 3.13.5 | 对照映射 |
| Essential Eight | ISM-1819 | 编辑说明 |
完整详情及每条关联的依据： 事件响应 跨框架对照 →
计划
每个框架都要求具备有文档记录的事件响应能力：ISO 27001 的事件管理规划、评估与响应控制（A.5.24 至 A.5.26）、SOC 2 对事件的评估与响应（CC7.3、CC7.4）、PCI DSS 的事件响应计划（12.10.1）、CMMC 的事件处置（IR.L2-3.6.1）、HIPAA 的安全事件程序（§164.308(a)(6)），以及 NIS2 的事件处理政策与响应（第 3.1 和 3.5 点）。内容基本一致：角色、严重性等级、升级机制、遏制、根除、恢复以及经验教训。
测试
PCI DSS 是唯一规定固定频率的框架：至少每年审查和测试一次计划（12.10.2），并培训执行计划的人员（12.10.4）。CMMC 和 SP 800-53 要求对该能力进行测试（IR.L2-3.6.3、IR-3），频率由您自行确定。CIS 要求定期演练（17.7）。ISO 27001 和 SOC 2 期望有证据表明计划有效，但不设定固定周期；通常的做法是每年开展一次桌面推演。
报告时限
各框架的真正差异在此体现：
| 框架 | 通知对象 | 时限 |
|---|---|---|
| NIS2 | CSIRT 或主管当局 | 24 小时内提交早期预警；72 小时内提交通报；一个月内提交最终报告 |
| GDPR | 监管机构（个人数据泄露） | 知悉后 72 小时内（第 33 条） |
| GDPR | 受影响的个人（其风险较高时） | 不得无故拖延（第 34 条） |
| CMMC / DFARS | 美国国防部 | 根据 DFARS 条款 252.204-7012，72 小时内 |
| HIPAA | 受影响的个人（违规通知规则） | 不得无故延迟，且不晚于 60 天 |
| PCI DSS | 支付品牌和收单机构 | 按各支付品牌的程序要求执行（12.10.1） |
| ISO 27001、SOC 2 | 无监管时限 | 由您的计划和合同决定 |
一次事件可能同时触发多个时限。例如，某欧盟云服务商存储个人数据并处理银行卡支付，遭遇勒索软件攻击，可能在同一小时内同时启动 NIS2、GDPR 以及支付品牌的处理流程。
关键要点
- 每个框架都要求事件响应计划，内容基本一致。
- 报告时限差异很大，从 NIS2 的 24 小时到 HIPAA 的 60 天不等。
- 一次事件可能启动多个时限，应由一名协调人统一负责。
行动建议
- 编制一份计划，满足最严格的内容要求，并列出适用于您的每项通知义务，包括时限、接收方和责任人。
- 明确由谁判定事件的重大性。 NIS2 的 24 小时时限自您知悉重大事件时开始计算，此决定不能等到周一。
- 至少每年测试一次（可将 PCI 的规定作为默认标准），包括一个非工作时间的场景。
- 记录每一起事件和违规，无论是否已通知：GDPR 要求这样做（第 33(5) 条），每位审计人员都会询问。
事件响应主题页面 列出了每项要求及其来源；报告主题 涵盖通知事宜。我们的 NIS2 指南 对报告程序作了更详细的说明。
常见问题
NIS2 下的事件报告时限是什么？
在知悉重大事件后 24 小时内提交早期预警，72 小时内提交事件通报，并在一个月内提交最终报告。
事件响应计划多久需要测试一次？
PCI DSS 要求至少每年审查和测试一次（12.10.2）。CMMC 和 SP 800-53 要求对事件响应能力进行测试（IR.L2-3.6.3、IR-3）。ISO 27001 和 SOC 2 期望进行测试，但测试频率由您自行决定。
ISO 27001 是否设定事件报告时限？
否。ISO 27001 要求进行事件管理，包括内部报告事件并作出响应，但不设定监管通报时限。时限来自法律（NIS2、GDPR）、合同以及行业规则。
数据截至 2026-10-27：本文中的数字基于当前对照映射计算，映射更新时数字随之更新。 对照映射 已发布的对照表（NIST、ENISA、CIS、PCI SSC）建立了关联 · 编辑说明 在不存在对照表时的 ControlMapping 判断；会显示理由 · 仅与一项 CSF 2.0 成果共享：值得核查，但不构成映射 · 本站数据中无映射 我们的数据中未映射任何内容；通常为新工作，但请查看覆盖范围说明. 非合规建议。
相关文章
分析 · 2026-10-27APRA CPS 234 与 ISO 27001：ISMS 涵盖什么，APRA 又增加了什么ISO 27001 ISMS 几乎涵盖了 APRA CPS 234 的每一段内容，但 APRA 还增加了董事会职责、第三方保证以及严格的通知时限。
分析 · 2026-10-27Cyber Essentials与Essential Eight对比：两项国家基线的比较英国的Cyber Essentials和澳大利亚的Essential Eight都针对常见攻击，但覆盖范围各不相同。哪些内容重叠，哪些不重叠，以及原因何在。
分析 · 2026-10-27DORA 与 NIS2 对比：已有 NIS2 计划能覆盖什么DORA 与 NIS2 的安全内容大部分相同，但 DORA 增加了登记册、合同条款和威胁驱动测试。逐条说明哪些内容可以延续沿用。