《中國人民銀行業(yè)務(wù)領(lǐng)域網(wǎng)絡(luò)安全事件報(bào)告管理辦法(征求意見稿)》(以下簡稱《辦法》)于2025年1月24日至2025年2月24日向社會(huì)公開征求意見,在意見征集期內(nèi)共收到有效反饋意見65條,多數(shù)意見已予采納。意見主要集中在以下方面:
一、建議將泄露個(gè)人信息且造成一定影響才納入一般網(wǎng)絡(luò)安全事件分級標(biāo)準(zhǔn)底線規(guī)則。
采納情況:已予采納。致使個(gè)人信息泄露、篡改、丟失的網(wǎng)絡(luò)安全事件,會(huì)對個(gè)人造成一定影響。銜接《中華人民共和國個(gè)人信息保護(hù)法》第五十七條要求,將《辦法》第十條相關(guān)表述修改為“發(fā)生或者可能發(fā)生個(gè)人信息泄露、篡改、丟失的”。
二、建議不將網(wǎng)絡(luò)安全事件引發(fā)輿情納入較大網(wǎng)絡(luò)安全事件分級標(biāo)準(zhǔn)底線規(guī)則。
采納情況:已予采納。刪除《辦法》第九條相關(guān)表述,不再將引發(fā)較大輿情的網(wǎng)絡(luò)安全事件一律分級為較大網(wǎng)絡(luò)安全事件。相應(yīng)在第十五條增加事發(fā)報(bào)告要求:“金融從業(yè)機(jī)構(gòu)發(fā)生網(wǎng)絡(luò)安全事件,尚未達(dá)到較大等級,但出現(xiàn)相關(guān)輿情信息進(jìn)入社交媒體、搜索引擎或者新聞網(wǎng)站熱點(diǎn)榜等情形,引發(fā)較大輿情的,應(yīng)當(dāng)按照前款規(guī)定報(bào)告。”。
三、建議適當(dāng)放寬一般網(wǎng)絡(luò)安全事件分級標(biāo)準(zhǔn)底線規(guī)則,刪除“兩個(gè)以上省級行政區(qū)范圍服務(wù)整體中斷運(yùn)行15分鐘以上”表述。
采納情況:已予采納。《辦法》第十條刪除相關(guān)表述。
四、建議明確網(wǎng)絡(luò)安全事件分級標(biāo)準(zhǔn)底線規(guī)則中“客戶”是指對公客戶還是個(gè)人客戶,且明確事件對“客戶”造成影響才算網(wǎng)絡(luò)安全事件。
采納情況:已予采納。調(diào)整《辦法》第七、八、九、十條相關(guān)表述,將“客戶”區(qū)分為“自然人”、“法人和其他組織”,并增加“已實(shí)際影響”表述。
五、建議適當(dāng)降低網(wǎng)絡(luò)安全事件事發(fā)簡要報(bào)告的時(shí)效性要求。
采納情況:已予采納。《辦法》第十五條將網(wǎng)絡(luò)安全事件事發(fā)簡要報(bào)告的時(shí)效性要求從30分鐘內(nèi)報(bào)送調(diào)整為1小時(shí)內(nèi)報(bào)送。
六、建議刪除減免責(zé)任處理有關(guān)推廣安全可信產(chǎn)品過程中無明顯主觀過錯(cuò)的條款。
采納情況:已予采納。《辦法》第二十二條原有表述修改為“網(wǎng)絡(luò)技術(shù)創(chuàng)新和應(yīng)用過程中因缺乏經(jīng)驗(yàn)、先行先試造成網(wǎng)絡(luò)安全事件,且沒有主觀過錯(cuò)的”。
七、建議適度延后《辦法》生效日期。
采納情況:已予采納。《辦法》自2025年8月1日起施行。
八、建議遭受勒索惡意程序攻擊造成危害時(shí),才納入較大網(wǎng)絡(luò)安全事件分級標(biāo)準(zhǔn)底線規(guī)則。
采納情況:已予采納。《辦法》第九條相關(guān)表述修改為“遭受勒索惡意程序攻擊,已對中國人民銀行業(yè)務(wù)領(lǐng)域網(wǎng)絡(luò)或者中國人民銀行業(yè)務(wù)領(lǐng)域數(shù)據(jù)造成危害后果的”。
九、建議明確金融基礎(chǔ)設(shè)施以及敏感個(gè)人信息的定義。
采納情況:解釋說明。已公開征求意見的《金融基礎(chǔ)設(shè)施監(jiān)督管理辦法》對金融基礎(chǔ)設(shè)施有明確定義;《中華人民共和國個(gè)人信息保護(hù)法》對敏感個(gè)人信息有明確定義,《辦法》均不再重復(fù)定義。
十、建議明確中國人民銀行業(yè)務(wù)領(lǐng)域核心數(shù)據(jù)、重要數(shù)據(jù)的范圍。
采納情況:解釋說明。中國人民銀行業(yè)務(wù)領(lǐng)域重要數(shù)據(jù)識(shí)別工作已另行組織,未被中國人民銀行告知或者公開發(fā)布確認(rèn)為重要數(shù)據(jù)的,不涉及重要數(shù)據(jù)。
十一、建議將分級標(biāo)準(zhǔn)底線規(guī)則涉及個(gè)人信息的計(jì)量單位由“條”改為“人”。
采納情況:解釋說明。《最高人民法院、最高人民檢察院關(guān)于辦理侵犯公民個(gè)人信息刑事案件適用法律若干問題的解釋》(法釋〔2017〕10號(hào))、《最高人民法院、最高人民檢察院關(guān)于辦理非法利用信息網(wǎng)絡(luò)、幫助信息網(wǎng)絡(luò)犯罪活動(dòng)等刑事案件適用法律若干問題的解釋》(法釋〔2019〕15號(hào))等,判定情節(jié)嚴(yán)重程度時(shí)均以“條”為計(jì)量單位。《辦法》區(qū)分網(wǎng)絡(luò)安全事件等級時(shí),參考上述司法解釋,亦以“條”為計(jì)量單位。
十二、建議對網(wǎng)絡(luò)安全事件分級標(biāo)準(zhǔn)底線規(guī)則中有關(guān)影響客戶數(shù)量、個(gè)人信息條數(shù)進(jìn)行調(diào)整。
采納情況:部分采納。《辦法》第七、八、九、十條網(wǎng)絡(luò)安全事件分級標(biāo)準(zhǔn)底線規(guī)則明確的數(shù)量指標(biāo),前期已廣泛征求行業(yè)意見和相關(guān)主管部門意見,并按各方意見進(jìn)行了適當(dāng)調(diào)整。參考《最高人民法院、最高人民檢察院關(guān)于辦理非法利用信息網(wǎng)絡(luò)、幫助信息網(wǎng)絡(luò)犯罪活動(dòng)等刑事案件適用法律若干問題的解釋》(法釋〔2019〕15號(hào))第四條關(guān)于“造成嚴(yán)重后果”的認(rèn)定標(biāo)準(zhǔn),對較大等級網(wǎng)絡(luò)安全事件分級標(biāo)準(zhǔn)底線規(guī)則有關(guān)個(gè)人信息的表述作了適當(dāng)調(diào)整。
十三、適當(dāng)降低網(wǎng)絡(luò)安全事件事中進(jìn)展報(bào)告的時(shí)效性要求。
采納情況:未予采納。《辦法》僅要求重大等級以上網(wǎng)絡(luò)安全事件進(jìn)行事中進(jìn)展報(bào)告,以便及時(shí)掌握事態(tài)發(fā)展情況,必要時(shí)協(xié)調(diào)國家有關(guān)部門等協(xié)同開展應(yīng)急處置。對較大、一般等級網(wǎng)絡(luò)安全事件,《辦法》未要求事中進(jìn)展報(bào)告。
感謝社會(huì)各界對中國人民銀行工作的關(guān)注支持!