为NIS2的24小时和72小时时限制定事件报告流程

第23条规定了NIS2对重大事件设定的三个报告时限。在知悉事件后24小时内提交早期预警，在72小时内提交事件通报，并在一个月内提交最终报告。ISO 27001及大多数框架都要求进行事件管理，但没有任何框架要求必须按此时限通知监管机构。以下说明如何制定满足该要求的流程。

三类报告

报告	时限	内容
早期预警	自知悉起24小时内	事件是否疑似为恶意行为，以及是否可能产生跨境影响
事件通报	自知悉起72小时内	更新信息、对严重程度和影响的初步评估，以及可获取的入侵指标
最终报告	通报后一个月内	详细描述、可能的根本原因、已采取及正在实施的缓解措施、跨境影响

主管机构还可能要求提供中间更新。如果事件在一个月时仍未结束，你需要提交进展报告，并在处置结束后一个月内提交最终报告。

第1步：为贵机构界定“重大”事件

第23条第(3)款的判定标准较为宽泛：包括严重的运营中断或财务损失，或对他人造成重大损害。对于某些数字服务提供商，实施条例规定了更具体的标准。请将其转化为简短的判定清单，供值班负责人在几分钟内完成判断，并附上示例。同时明确说明：存疑时，应提交早期预警。

第2步：明确人员分工

• 谁负责判定是否属于重大事件（并设置候补人员，全天候待命）。
• 谁负责向CSIRT或主管机构提交，并确保提前测试报告门户的访问权限。
• 谁负责审批报告内容，但审批不应成为瓶颈。早期预警只需少量细节。
• 谁负责通知管理层。根据第20条，管理层负有相应责任。

第3步：与事件处理流程衔接

在现有事件响应计划中加入报告决策节点：在分诊阶段提问“这是否可能属于重大事件？”，并在此记录时限起算点。请仔细记录知悉时间，因为所有时限都以此为起点计算。

第4步：协调其他时限

一起重大事件往往会触发多项义务：

• GDPR：如个人数据遭泄露，须在72小时内通知监管机构（第33条）。
• 合同：客户通知条款，通常为24至72小时。
• 其他监管要求：涉及银行卡数据时的支付品牌方、行业监管机构，以及金融机构适用的DORA。

应由一名协调人负责维护该清单，避免因各团队误以为某项时限不归其管而错过任何截止时间。

第5步：模板与演练

为三类报告分别准备模板，列明所需字段，并预先填入公司信息。随后至少每年开展一次演练，最好从星期五晚上开始，并记录耗时。

实践场景

为测试该流程，可按以下方式开展一次简短演练，最好从星期五晚间开始：

1. 第0小时：监控系统发现某台支撑面向客户服务的文件服务器出现异常加密活动。
2. 第2小时：值班工程师确认多台服务器遭勒索软件感染，部分客户的服务受到影响。
3. 决策节点：是否属于重大事件？依据清单进行判断，并记录决定及时间。
4. 第24小时前：使用模板提交早期预警，注明疑似恶意活动及可能的跨境影响。
5. 第72小时前：提交事件通报，附上初步评估及入侵指标。
6. 并行时限：个人数据是否触发GDPR通知？合同是否要求通知客户？

为每个步骤计时。你发现的缺口（谁有门户访问权限、谁可以审批、模板存放在哪里）正是流程的真正薄弱环节。

保留记录

记录每一起经过重大性评估的事件，包括决定不报告的事件，并注明理由。监管人员会问你如何判断，而不仅仅是报告了什么。

事件响应与报告主题页面对比了各框架的要求，NIS2指南则涵盖该法规的其余内容。

常见问题

根据NIS2，什么算是重大事件？

依据第23条第(3)款，指已对实体造成或可能造成严重运营中断或财务损失，或已对他人造成或可能造成重大物质或非物质损害的事件。实施条例为某些数字服务提供商设定了更具体的阈值。

根据NIS2，应向谁报告？

各成员国NIS2法律指定的国家CSIRT或主管机关。部分国家设有单一报告入口。