發(fā)文機關(guān)中國人民銀行
發(fā)文日期2025年05月23日
時效性2025年08月01日生效
發(fā)文字號中國人民銀行令〔2025〕第4號
施行日期2025年08月01日
效力級別部門規(guī)章
《中國人民銀行業(yè)務(wù)領(lǐng)域網(wǎng)絡(luò)安全事件報告管理辦法》已經(jīng)2025年5月12日中國人民銀行第8次行務(wù)會議審議通過，現(xiàn)予發(fā)布，自2025年8月1日起施行。
行長 潘功勝
2025年5月23日
中國人民銀行業(yè)務(wù)領(lǐng)域網(wǎng)絡(luò)安全事件報告管理辦法
第一章 總 則
第一條 為規(guī)范中國人民銀行業(yè)務(wù)領(lǐng)域網(wǎng)絡(luò)安全事件報告管理，根據(jù)《中華人民共和國網(wǎng)絡(luò)安全法》《中華人民共和國數(shù)據(jù)安全法》《中華人民共和國個人信息保護法》《中華人民共和國中國人民銀行法》等法律、行政法規(guī)，制定本辦法。
第二條 金融從業(yè)機構(gòu)在中華人民共和國境內(nèi)發(fā)生中國人民銀行業(yè)務(wù)領(lǐng)域網(wǎng)絡(luò)安全事件時，應(yīng)當按照本辦法規(guī)定向中國人民銀行或者住所地中國人民銀行分支機構(gòu)報告。非中國人民銀行業(yè)務(wù)領(lǐng)域網(wǎng)絡(luò)安全事件無須按照本辦法規(guī)定報告。涉及國家秘密的，按照有關(guān)規(guī)定執(zhí)行。
第三條 本辦法所稱中國人民銀行業(yè)務(wù)領(lǐng)域，指依據(jù)法律、行政法規(guī)，黨中央、國務(wù)院決定，由中國人民銀行承擔監(jiān)督和管理職責的業(yè)務(wù)領(lǐng)域。
本辦法所稱中國人民銀行業(yè)務(wù)領(lǐng)域網(wǎng)絡(luò)安全事件（以下簡稱網(wǎng)絡(luò)安全事件），指由于人為原因、遭受網(wǎng)絡(luò)攻擊、存在漏洞隱患、軟硬件缺陷或故障、不可抗力等因素，對本機構(gòu)建設(shè)、運營、維護、管理的中國人民銀行業(yè)務(wù)領(lǐng)域網(wǎng)絡(luò)或者處理的中國人民銀行業(yè)務(wù)領(lǐng)域數(shù)據(jù)造成危害的事件。
第四條 國家有關(guān)部門和其他金融管理部門等對網(wǎng)絡(luò)安全事件報告有規(guī)定的，金融從業(yè)機構(gòu)還應(yīng)當從其規(guī)定報告。涉及危害計算機信息系統(tǒng)等違法犯罪的網(wǎng)絡(luò)安全事件，金融從業(yè)機構(gòu)還應(yīng)當及時向公安機關(guān)報案。
中國人民銀行加強與國家有關(guān)部門和其他金融管理部門間的網(wǎng)絡(luò)安全事件報告內(nèi)容共享，按照國家有關(guān)部門規(guī)定向其通報網(wǎng)絡(luò)安全事件，并根據(jù)其他金融管理部門需要向其通報網(wǎng)絡(luò)安全事件。
第五條 任何個人和組織有權(quán)向中國人民銀行或其分支機構(gòu)舉報金融從業(yè)機構(gòu)未按照本辦法規(guī)定報告網(wǎng)絡(luò)安全事件的行為。中國人民銀行或其分支機構(gòu)對舉報人的相關(guān)信息予以保密。
第二章 網(wǎng)絡(luò)安全事件分級
第六條 金融從業(yè)機構(gòu)應(yīng)當在本機構(gòu)網(wǎng)絡(luò)安全管理制度或者操作規(guī)程中明確網(wǎng)絡(luò)安全事件分級標準（以下簡稱分級標準），將網(wǎng)絡(luò)安全事件分為特別重大、重大、較大和一般四個等級。金融從業(yè)機構(gòu)應(yīng)當每年組織評估并視情更新分級標準。分級標準如有更新，應(yīng)當報本機構(gòu)主管網(wǎng)絡(luò)安全的領(lǐng)導(dǎo)班子成員批準。
金融從業(yè)機構(gòu)制定分級標準時，應(yīng)當綜合考慮網(wǎng)絡(luò)安全事件對業(yè)務(wù)、用戶等的影響程度。金融從業(yè)機構(gòu)針對與貨幣存取款、支付交易、稅款繳庫、銀行間市場交易密切相關(guān)的中國人民銀行業(yè)務(wù)領(lǐng)域網(wǎng)絡(luò)制定分級標準時，應(yīng)當差異化考慮業(yè)務(wù)高峰時段和非業(yè)務(wù)高峰時段網(wǎng)絡(luò)安全事件對業(yè)務(wù)處理的影響程度。
金融從業(yè)機構(gòu)還應(yīng)當結(jié)合中國人民銀行業(yè)務(wù)領(lǐng)域數(shù)據(jù)安全管理相關(guān)規(guī)定，制定與中國人民銀行業(yè)務(wù)領(lǐng)域數(shù)據(jù)遭到篡改、破壞、泄露相關(guān)的分級標準。
金融從業(yè)機構(gòu)可以針對網(wǎng)絡(luò)安全等級保護三級以上的中國人民銀行業(yè)務(wù)領(lǐng)域網(wǎng)絡(luò)，逐一細化制定專門適用的分級標準。
第七條 符合下列情形之一的，應(yīng)當分級為特別重大網(wǎng)絡(luò)安全事件：
（一）屬于金融基礎(chǔ)設(shè)施、直接服務(wù)5000萬個以上自然人或者與貨幣存取款、支付交易、稅款繳庫、銀行間市場交易密切相關(guān)的中國人民銀行業(yè)務(wù)領(lǐng)域網(wǎng)絡(luò)，主要功能在業(yè)務(wù)高峰時段出現(xiàn)兩個以上省級行政區(qū)范圍整體中斷運行3小時以上或者單個省級行政區(qū)范圍整體中斷運行6小時以上的；
（二）提供金融服務(wù)的中國人民銀行業(yè)務(wù)領(lǐng)域網(wǎng)絡(luò)，主要功能出現(xiàn)中斷、超時報錯等情形，導(dǎo)致業(yè)務(wù)無法正常開展，經(jīng)合理測算或者估算，已實際影響1000萬個以上自然人或者100萬個以上法人和其他組織的；
（三）中國人民銀行業(yè)務(wù)領(lǐng)域核心數(shù)據(jù)遭到篡改、破壞、泄露的；
（四）致使泄露1000萬條以上敏感個人信息或者1億條以上個人信息的；
（五）網(wǎng)信部門、公安機關(guān)已明確應(yīng)當分級為特別重大網(wǎng)絡(luò)安全事件的；
（六）中國人民銀行或其上?？偛俊⑹〖壏中?、計劃單列市分行研判并書面告知金融從業(yè)機構(gòu)，應(yīng)當分級為特別重大網(wǎng)絡(luò)安全事件的。
第八條 符合下列情形之一的，應(yīng)當至少分級為重大網(wǎng)絡(luò)安全事件：
（一）屬于金融基礎(chǔ)設(shè)施、直接服務(wù)5000萬個以上自然人或者與貨幣存取款、支付交易、稅款繳庫、銀行間市場交易密切相關(guān)的中國人民銀行業(yè)務(wù)領(lǐng)域網(wǎng)絡(luò)，主要功能在業(yè)務(wù)高峰時段出現(xiàn)兩個以上省級行政區(qū)范圍整體中斷運行1.5小時以上或者單個省級行政區(qū)范圍整體中斷運行3小時以上的；
（二）提供金融服務(wù)的中國人民銀行業(yè)務(wù)領(lǐng)域網(wǎng)絡(luò)，主要功能出現(xiàn)中斷、超時報錯等情形，導(dǎo)致業(yè)務(wù)無法正常開展，經(jīng)合理測算或者估算，已實際影響100萬個以上自然人或者10萬個以上法人和其他組織的；
（三）中國人民銀行業(yè)務(wù)領(lǐng)域重要數(shù)據(jù)遭到篡改、破壞、泄露的；
（四）致使泄露100萬條以上敏感個人信息或者1000萬條以上個人信息的；
（五）網(wǎng)信部門、公安機關(guān)已明確應(yīng)當分級為重大網(wǎng)絡(luò)安全事件的；
（六）中國人民銀行或其上?？偛俊⑹〖壏中?、計劃單列市分行研判并書面告知金融從業(yè)機構(gòu)，應(yīng)當分級為重大網(wǎng)絡(luò)安全事件的。
第九條 符合下列情形之一的，應(yīng)當至少分級為較大網(wǎng)絡(luò)安全事件：
（一）屬于金融基礎(chǔ)設(shè)施、直接服務(wù)5000萬個以上自然人或者與貨幣存取款、支付交易、稅款繳庫、銀行間市場交易密切相關(guān)的中國人民銀行業(yè)務(wù)領(lǐng)域網(wǎng)絡(luò)，主要功能在業(yè)務(wù)高峰時段出現(xiàn)兩個以上省級行政區(qū)范圍整體中斷運行15分鐘以上或者單個省級行政區(qū)范圍整體中斷運行30分鐘以上的；
（二）提供金融服務(wù)的中國人民銀行業(yè)務(wù)領(lǐng)域網(wǎng)絡(luò)，主要功能出現(xiàn)中斷、超時報錯等情形，導(dǎo)致業(yè)務(wù)無法正常開展，經(jīng)合理測算或者估算，已實際影響10萬個以上自然人或者5000個以上法人和其他組織的；
（三）致使泄露500條以上征信信息、財產(chǎn)信息，或者致使泄露5萬條以上個人信息的；
（四）遭受勒索惡意程序攻擊，已對中國人民銀行業(yè)務(wù)領(lǐng)域網(wǎng)絡(luò)或者中國人民銀行業(yè)務(wù)領(lǐng)域數(shù)據(jù)造成危害后果的；
（五）網(wǎng)信部門、公安機關(guān)已明確應(yīng)當分級為較大網(wǎng)絡(luò)安全事件的。
第十條 符合下列情形之一的，應(yīng)當至少分級為一般網(wǎng)絡(luò)安全事件：
（一）提供金融服務(wù)的中國人民銀行業(yè)務(wù)領(lǐng)域網(wǎng)絡(luò)，主要功能出現(xiàn)單個省級行政區(qū)范圍整體中斷運行30分鐘以上的；
（二）提供金融服務(wù)的中國人民銀行業(yè)務(wù)領(lǐng)域網(wǎng)絡(luò)，主要功能出現(xiàn)中斷、超時報錯等情形，導(dǎo)致業(yè)務(wù)無法正常開展，經(jīng)合理測算或者估算，已實際影響1萬個以上自然人或者1000個以上法人和其他組織的；
（三）中國人民銀行業(yè)務(wù)領(lǐng)域網(wǎng)絡(luò)主要功能出現(xiàn)中斷、超時報錯等情形，導(dǎo)致業(yè)務(wù)無法正常開展，已持續(xù)1小時以上的；
（四）中國人民銀行業(yè)務(wù)領(lǐng)域數(shù)據(jù)遭到篡改、破壞、泄露，導(dǎo)致社會危害的；
（五）發(fā)生或者可能發(fā)生個人信息泄露、篡改、丟失的；
（六）網(wǎng)信部門、公安機關(guān)已明確應(yīng)當分級為一般網(wǎng)絡(luò)安全事件的。
第十一條 金融從業(yè)機構(gòu)制定與中國人民銀行管理的金融基礎(chǔ)設(shè)施業(yè)務(wù)交互功能異常相關(guān)的分級標準時，應(yīng)當征求金融基礎(chǔ)設(shè)施運營機構(gòu)意見并協(xié)商一致。
第十二條 金融從業(yè)機構(gòu)發(fā)生網(wǎng)絡(luò)安全事件時，應(yīng)當對照分級標準，綜合確定網(wǎng)絡(luò)安全事件等級。同時符合多個分級標準的，應(yīng)當按照最高級別確定網(wǎng)絡(luò)安全事件等級。對照分級標準無法準確確定網(wǎng)絡(luò)安全事件等級的，應(yīng)當至少分級為較大網(wǎng)絡(luò)安全事件。
因災(zāi)害或者信息基礎(chǔ)設(shè)施故障，導(dǎo)致金融從業(yè)機構(gòu)多個中國人民銀行業(yè)務(wù)領(lǐng)域網(wǎng)絡(luò)同時發(fā)生網(wǎng)絡(luò)安全事件時，應(yīng)當先分別確定網(wǎng)絡(luò)安全事件等級，再按照各網(wǎng)絡(luò)安全事件等級中的最高級別，確定整體的網(wǎng)絡(luò)安全事件等級。
網(wǎng)絡(luò)安全事件事態(tài)發(fā)展情況已達到更高級別分級標準時，金融從業(yè)機構(gòu)應(yīng)當立即調(diào)整網(wǎng)絡(luò)安全事件等級。
第三章 網(wǎng)絡(luò)安全事件報告
第十三條 金融從業(yè)機構(gòu)應(yīng)當明確應(yīng)急處置與報告的職責分工，確保網(wǎng)絡(luò)安全事件報告及時、準確、完整，不得遲報、漏報或者瞞報。
金融從業(yè)機構(gòu)應(yīng)當健全網(wǎng)絡(luò)安全風(fēng)險監(jiān)測預(yù)警體系，提升第一時間發(fā)現(xiàn)和報告網(wǎng)絡(luò)安全事件的技術(shù)能力。
金融從業(yè)機構(gòu)發(fā)生網(wǎng)絡(luò)安全事件時，應(yīng)當立即啟動應(yīng)急預(yù)案，采取相應(yīng)的補救措施。按照本辦法規(guī)定報告網(wǎng)絡(luò)安全事件時，不應(yīng)遲滯業(yè)務(wù)恢復(fù)、存證溯源、用戶解釋、輿情應(yīng)對等處置工作。
第十四條 國家開發(fā)銀行、政策性銀行、國有商業(yè)銀行、中國郵政儲蓄銀行、股份制商業(yè)銀行、屬于系統(tǒng)重要性金融機構(gòu)的城市商業(yè)銀行、系統(tǒng)重要性非銀行支付機構(gòu)、經(jīng)營個人征信業(yè)務(wù)的征信機構(gòu)發(fā)生網(wǎng)絡(luò)安全事件時，應(yīng)當向中國人民銀行報告；其分支機構(gòu)發(fā)生網(wǎng)絡(luò)安全事件時，應(yīng)當向住所地中國人民銀行分支機構(gòu)報告。中國人民銀行所屬單位及其管理的金融基礎(chǔ)設(shè)施運營機構(gòu)發(fā)生網(wǎng)絡(luò)安全事件時，應(yīng)當向中國人民銀行報告。其他金融從業(yè)機構(gòu)或其分支機構(gòu)發(fā)生網(wǎng)絡(luò)安全事件時，應(yīng)當向住所地中國人民銀行分支機構(gòu)報告；在保障報告時效性前提下，證券、期貨、基金機構(gòu)發(fā)生網(wǎng)絡(luò)安全事件時，經(jīng)中國證監(jiān)會派出機構(gòu)轉(zhuǎn)通報同級中國人民銀行分支機構(gòu)。
中國人民銀行計劃單列市分行（不含深圳市分行）、地市分行接報轄區(qū)發(fā)生較大等級以上網(wǎng)絡(luò)安全事件時，應(yīng)當及時上報至中國人民銀行省級分行。中國人民銀行省級分行、深圳市分行接報轄區(qū)發(fā)生重大等級以上網(wǎng)絡(luò)安全事件時，應(yīng)當及時上報至中國人民銀行。
第十五條 金融從業(yè)機構(gòu)發(fā)生較大等級以上網(wǎng)絡(luò)安全事件后，應(yīng)當于1小時內(nèi)報送網(wǎng)絡(luò)安全事件事發(fā)簡要報告，并在24小時內(nèi)報送網(wǎng)絡(luò)安全事件事發(fā)報告。
金融從業(yè)機構(gòu)發(fā)生網(wǎng)絡(luò)安全事件，尚未達到較大等級，但出現(xiàn)相關(guān)輿情信息進入社交媒體、搜索引擎或者新聞網(wǎng)站熱點榜等情形，引發(fā)較大輿情的，應(yīng)當按照前款規(guī)定報告。
第十六條 對于重大等級以上網(wǎng)絡(luò)安全事件，金融從業(yè)機構(gòu)應(yīng)當至少每隔2小時進行事中進展報告，直至處置結(jié)束。處置過程中如出現(xiàn)調(diào)高網(wǎng)絡(luò)安全事件等級、處置取得階段性進展、發(fā)現(xiàn)新的問題等重要情況時，應(yīng)當立即報告。
第十七條 網(wǎng)絡(luò)安全事件處置結(jié)束后，金融從業(yè)機構(gòu)應(yīng)當于10個工作日內(nèi)報送事后調(diào)查總結(jié)報告。無法按時報送事后調(diào)查總結(jié)報告的，金融從業(yè)機構(gòu)應(yīng)當先按時報送初步報告，說明承諾報送事后調(diào)查總結(jié)報告的日期并按時報送。承諾日期原則上應(yīng)當在處置結(jié)束之日起40個工作日內(nèi)。
第十八條 金融從業(yè)機構(gòu)可以通過電話、即時通信工具、電子郵件、傳真或者中國人民銀行指定的信息系統(tǒng)報送網(wǎng)絡(luò)安全事件事發(fā)簡要報告、事發(fā)報告和事中進展報告；采用電子郵件、傳真方式報告的，應(yīng)當通過電話或者即時通信工具確認中國人民銀行或其分支機構(gòu)已收悉。涉及工作秘密的，不得通過互聯(lián)網(wǎng)渠道報告。
金融從業(yè)機構(gòu)應(yīng)當書面報送網(wǎng)絡(luò)安全事件事后調(diào)查總結(jié)報告，并加蓋本機構(gòu)或者承擔報告職責內(nèi)設(shè)部門公章。中國人民銀行對網(wǎng)絡(luò)安全事件事后調(diào)查總結(jié)報告另有電子化報送規(guī)定的，金融從業(yè)機構(gòu)還應(yīng)當按照規(guī)定電子化報送。
第十九條 網(wǎng)絡(luò)安全事件事發(fā)簡要報告內(nèi)容包括初次確定的網(wǎng)絡(luò)安全事件等級、事發(fā)時間、依據(jù)網(wǎng)絡(luò)安全事件分類分級相關(guān)國家標準確定的網(wǎng)絡(luò)安全事件分類、影響的中國人民銀行業(yè)務(wù)領(lǐng)域網(wǎng)絡(luò)及其對應(yīng)的網(wǎng)絡(luò)安全保護等級、涉及的數(shù)據(jù)中心、報告機構(gòu)和報告時間、報告人和聯(lián)系方式。網(wǎng)絡(luò)安全事件事發(fā)報告應(yīng)當在事發(fā)簡要報告內(nèi)容基礎(chǔ)上，增補影響范圍和程度、已采取的措施和效果，網(wǎng)絡(luò)攻擊事件還應(yīng)當增補分析研判情況。
網(wǎng)絡(luò)安全事件事中進展報告應(yīng)當在事發(fā)簡要報告基礎(chǔ)上，增補說明最新確定的網(wǎng)絡(luò)安全事件等級、影響的變化、處置進展和下一步擬采取的措施。如存在需中國人民銀行或其分支機構(gòu)協(xié)調(diào)支持處置的事項，應(yīng)當一并說明。
網(wǎng)絡(luò)安全事件事后調(diào)查總結(jié)報告內(nèi)容應(yīng)當包括最終確定的網(wǎng)絡(luò)安全事件等級、處置歷程回顧、影響損失評估、技術(shù)或者管理問題根源分析、處置經(jīng)驗教訓(xùn)、后續(xù)改進措施、報告機構(gòu)和報告時間、報告人和聯(lián)系方式、簽發(fā)人。
第二十條 金融從業(yè)機構(gòu)發(fā)生網(wǎng)絡(luò)安全事件涉及個人信息泄露、篡改、丟失的，事后調(diào)查總結(jié)報告還應(yīng)當說明本機構(gòu)為有效避免網(wǎng)絡(luò)安全事件危害所采取的補救措施、依法通知個人的情況和告知個人可以采取減輕危害措施的情況。
對于重大等級以上網(wǎng)絡(luò)安全事件，前款所列內(nèi)容應(yīng)當在事中進展報告中提前予以說明。
第二十一條 較大等級以上網(wǎng)絡(luò)安全事件事后調(diào)查總結(jié)報告內(nèi)容，還應(yīng)當包括直接負責的主管人員和其他直接責任人員的責任認定和對應(yīng)責任處理情況。
金融從業(yè)機構(gòu)應(yīng)當綜合考慮動機態(tài)度、客觀條件、程序方法、后果影響、挽回損失等因素，在本機構(gòu)網(wǎng)絡(luò)安全管理制度中明確責任處理的差異化適用情形。事后調(diào)查總結(jié)報告中對直接負責的主管人員和其他直接責任人員的處理措施，應(yīng)當符合本機構(gòu)網(wǎng)絡(luò)安全管理制度規(guī)定。
第二十二條 滿足下列條件之一并且能提供相關(guān)證明材料的，金融從業(yè)機構(gòu)可以根據(jù)直接負責的主管人員和其他直接責任人員具體承擔職責，視情針對性減輕或者免除責任處理，但應(yīng)當在網(wǎng)絡(luò)安全事件事后調(diào)查總結(jié)報告中予以說明：
（一）已按本辦法規(guī)定主動報告，同時按照本機構(gòu)網(wǎng)絡(luò)安全事件應(yīng)急預(yù)案有關(guān)程序立即進行處置，盡最大努力降低影響的；
（二）網(wǎng)絡(luò)技術(shù)創(chuàng)新和應(yīng)用過程中因缺乏經(jīng)驗、先行先試造成網(wǎng)絡(luò)安全事件，且沒有主觀過錯的；
（三）已切實落實中國人民銀行和本機構(gòu)網(wǎng)絡(luò)安全、數(shù)據(jù)安全相關(guān)管理制度要求，并嚴格執(zhí)行本機構(gòu)相關(guān)操作規(guī)程的。
第二十三條 中國人民銀行或其分支機構(gòu)認為金融從業(yè)機構(gòu)網(wǎng)絡(luò)安全事件事后調(diào)查總結(jié)報告存在內(nèi)容缺失、原因分析不清、影響損失評估失實、責任認定或者處理不當?shù)惹樾?，退回事后調(diào)查總結(jié)報告并正式反饋修改意見的，金融從業(yè)機構(gòu)應(yīng)當在收到反饋之日起10個工作日內(nèi)完善事后調(diào)查總結(jié)報告并重新報送。
第二十四條 金融從業(yè)機構(gòu)收到中國人民銀行或其分支機構(gòu)通報的其網(wǎng)絡(luò)產(chǎn)品、服務(wù)存在運行異常、疑似數(shù)據(jù)泄露、安全缺陷、漏洞等風(fēng)險提示時，應(yīng)當立即組織核查，采取必要補救措施。經(jīng)核查風(fēng)險屬實并構(gòu)成網(wǎng)絡(luò)安全事件的，金融從業(yè)機構(gòu)應(yīng)當按照本辦法規(guī)定進行報告；風(fēng)險不屬實或者尚不構(gòu)成網(wǎng)絡(luò)安全事件的，應(yīng)當根據(jù)通報要求按時反饋風(fēng)險核查處置情況。
第二十五條 金融從業(yè)機構(gòu)應(yīng)當建立網(wǎng)絡(luò)安全事件臺賬，完整準確記錄網(wǎng)絡(luò)安全事件事發(fā)時間、事發(fā)報告時間、中國人民銀行或其分支機構(gòu)接報聯(lián)系人和對應(yīng)的網(wǎng)絡(luò)安全事件報告內(nèi)容。中國人民銀行分支機構(gòu)應(yīng)當相應(yīng)建立轄區(qū)網(wǎng)絡(luò)安全事件臺賬。臺賬應(yīng)當至少留存三年。
第四章 法律責任
第二十六條 中國人民銀行或其分支機構(gòu)根據(jù)金融從業(yè)機構(gòu)報告處置網(wǎng)絡(luò)安全事件的情況，可以按照中國人民銀行執(zhí)法檢查有關(guān)規(guī)定明確的程序，對金融從業(yè)機構(gòu)依法實施檢查，金融從業(yè)機構(gòu)應(yīng)當予以配合。
金融從業(yè)機構(gòu)拒絕、阻礙中國人民銀行或其分支機構(gòu)實施檢查的，中國人民銀行或其分支機構(gòu)依照《中華人民共和國網(wǎng)絡(luò)安全法》第六十九條予以處罰。
第二十七條 金融從業(yè)機構(gòu)未按照本辦法規(guī)定報告網(wǎng)絡(luò)安全事件的，中國人民銀行或其分支機構(gòu)依照《中華人民共和國網(wǎng)絡(luò)安全法》第五十九條予以處罰。
前款行為涉及中國人民銀行業(yè)務(wù)領(lǐng)域數(shù)據(jù)遭到篡改、破壞、泄露或者非法獲取、非法利用的，中國人民銀行或其分支機構(gòu)依照《中華人民共和國數(shù)據(jù)安全法》第四十五條予以處罰；前款行為涉及個人信息泄露、篡改、丟失的，中國人民銀行或其分支機構(gòu)可以依照《中華人民共和國個人信息保護法》第六十六條予以處罰。
第二十八條 金融從業(yè)機構(gòu)收到中國人民銀行或其分支機構(gòu)通報的風(fēng)險，如果風(fēng)險屬實，但未立即采取補救措施或者未按照本辦法規(guī)定按時反饋核查處置情況的，中國人民銀行或其分支機構(gòu)依照《中華人民共和國網(wǎng)絡(luò)安全法》第六十條予以處罰。
有前款行為并且通報的風(fēng)險為數(shù)據(jù)安全缺陷、漏洞的，中國人民銀行或其分支機構(gòu)依照《中華人民共和國數(shù)據(jù)安全法》第四十五條予以處罰。
第二十九條 金融從業(yè)機構(gòu)在接受中國人民銀行或其分支機構(gòu)檢查時，主動供述檢查人員尚未掌握的未按照本辦法規(guī)定報告網(wǎng)絡(luò)安全事件行為的，應(yīng)當從輕或者減輕處罰。
第三十條 中國人民銀行分支機構(gòu)未按照本辦法規(guī)定報告網(wǎng)絡(luò)安全事件，存在失職失責行為，造成重大損失、嚴重后果或者惡劣影響的，對直接負責的主管人員和其他直接責任人員依規(guī)依紀依法予以嚴肅追責問責。
第五章 附 則
第三十一條 本辦法下列用語的含義：
（一）金融從業(yè)機構(gòu)，是指金融機構(gòu)以及經(jīng)中國人民銀行批準設(shè)立或者認定的其他機構(gòu)。
（二）網(wǎng)絡(luò)，是指由計算機或者其他信息終端及相關(guān)設(shè)備組成的按照一定的規(guī)則和程序?qū)π畔⑦M行收集、存儲、傳輸、交換、處理的系統(tǒng)。
（三）業(yè)務(wù)高峰時段，是指按年度統(tǒng)計的分時平均業(yè)務(wù)量超過日平均業(yè)務(wù)量百分之三的時段，或者依據(jù)本機構(gòu)制度列明的其他合理計算方式確定的時段。
（四）整體中斷運行，是指因網(wǎng)絡(luò)安全事件，某一時段內(nèi)未處理和處理失敗業(yè)務(wù)量與正常情況全部業(yè)務(wù)量的比例，經(jīng)合理測算或者估算，已經(jīng)超過百分之七十。
（五）主要功能，是指與用戶身份認證或者業(yè)務(wù)交互相關(guān)的功能。
（六）本辦法所稱“以上”均含本數(shù)。
第三十二條 本辦法由中國人民銀行負責解釋。
中國人民銀行分支機構(gòu)自身發(fā)生的網(wǎng)絡(luò)安全事件應(yīng)當向其上級行報告，報告時效、途徑和內(nèi)容等要求按照本辦法對金融從業(yè)機構(gòu)的規(guī)定執(zhí)行。
第三十三條 本辦法自2025年8月1日起施行?！躲y行計算機安全事件報告管理制度》（銀發(fā)〔2002〕280號文印發(fā)）、《中國人民銀行計算機系統(tǒng)信息安全報告制度》（銀發(fā)〔2010〕366號文印發(fā)）同時廢止。
