发生网络安全事件后可以适用的法律

2023年2月，发生某初创公司核心数据库被勒索病毒加密，网络黑客开价40个比特币。安全老板第一反应是事件适用报警，但警察问了一句：“你们有等保备案吗？发生”全场沉默。这事最后靠《数据安全法》第二十七条撑住了——企业履行数据安全保护义务是网络法定义务，不是安全可选项。 国内处理网络安全事件，事件适用法律工具箱里最常用的发生三件套是《网络安全法》《数据安全法》和《个人信息保护法》。这三部法分工明确：《网络安全法》管网络运行安全，网络相当于大楼的安全消防通道；《数据安全法》管数据全生命周期，相当于保险柜的事件适用密码锁；《个人信息保护法》管个人隐私，相当于每个住户的发生房门钥匙。出了事，网络先看数据被碰了哪一层，安全再决定适用哪部法。 具体到操作层面，事件发生的72小时内是黄金窗口。假设你是电商平台，用户订单信息泄露了，这时候《个人信息保护法》第五十七条直接规定：必须立即采取补救措施，并通知监管部门和受影响用户。漏报瞒报？第六十六条罚则写着，情节严重的可处五千万元或上一年度营业额百分之五罚款。注意，是营业额，不是利润。某头部平台2021年因数据违规被罚80亿，就是按这个逻辑算的。 但法律适用不是一刀切。如果你是金融机构，还得叠加《网络安全法》第二十一条的等级保护要求。如果你是关键信息基础设施运营者，那《关键信息基础设施安全保护条例》的“一把手负责制”就得落实。更麻烦的是跨境数据泄露——服务器在海外，用户在国内，这时候《数据出境安全评估办法》和《个人信息保护法》第三十八条的出境条件就得同时看。我见过一个案例，某车企因车联网数据跨境传输没做安全评估，被责令整改三个月，业务直接停摆。 刑事责任的边界更值得警惕。《刑法》第二百八十五条、二百八十六条的“非法获取计算机信息系统数据罪”“破坏计算机信息系统罪”，不光是针对黑客。如果企业因安全防护缺失导致数据泄露，且造成严重后果，相关责任人也可能被追刑责。2022年某快递公司泄露40万条用户信息，运维总监被判刑一年半——罪名是“拒不履行信息网络安全管理义务罪”。这条罪2015年才写入刑法，很多人不知道。 最后说个容易踩的坑：事件报告时限。多数人以为72小时内报告就行，但《网络安全法》第二十五条要求的是“立即”处置，而《数据安全法》第二十九条要求“及时”上报。什么叫“立即”？什么叫“及时”？司法实践中通常按2小时到24小时区间判断。2021年某云服务商宕机7小时未上报，被工信部通报批评并罚款5万元。金额不大，但信用记录上的污点，比罚款疼得多。 法律不是事后诸葛亮，它是事前画的线。真出了事，先翻翻自己有没有做等保测评，有没有数据分类分级台账，有没有应急预案并演练过。这些动作做了，法律条文就是你的盾牌；没做，它们就是砸下来的锤子。

本文地址：http://www.79wt.cn/news/1292d1399857.html