半夜两点安全告警，运维确认数据库被拖，老板第一个问题不是「损失多少」，而是「要不要报、报给谁、多久内报」——这是所有企业遇到数据泄露时最慌的几个小时，搜「数据泄露应急处置」的多半正在其中。法律其实把动作顺序写好了：数据安全法第二十九条管所有数据处理活动的应急义务，网络安全法第二十七条给走网络的企业加上「立即启动应急预案」这道指令。2026 年写的这篇，按时间轴把出事后每一步拆开讲，让你在最慌的时候照单执行。
先看这三个要点
- 三个法定动作不能少：发生数据安全事件，立即采取处置措施＋按照规定及时告知用户＋向有关主管部门报告（数据安全法第二十九条），顺序可以并行，缺项就是违法。
- 走网络的加启动预案：利用网络开展业务的，还要按网络安全法第二十七条立即启动应急预案——平时没演练过的预案，此刻救不了你。
- 瞒报是独立违法：不履行第二十九条义务的，按数据安全法第四十五条处罚——警告加五万至五十万罚款；拒不改正或造成大量数据泄露等严重后果的，五十万至二百万，可责令停业吊照。
一、条文原文
- 《中华人民共和国数据安全法》第二十九条
- 开展数据处理活动应当加强风险监测，发现数据安全缺陷、漏洞等风险时，应当立即采取补救措施；发生数据安全事件时，应当立即采取处置措施，按照规定及时告知用户并向有关主管部门报告。
- 《中华人民共和国网络安全法》第二十七条
- 网络运营者应当制定网络安全事件应急预案，及时处置系统漏洞、计算机病毒、网络攻击、网络侵入等安全风险；在发生危害网络安全的事件时，立即启动应急预案，采取相应的补救措施，并按照规定向有关主管部门报告。
二、出事后二十四小时：按时间轴走
第 0-1 小时，止血。确认事件范围：哪些系统、哪批数据、影响多少用户。立即采取处置措施——封堵入侵通道、下线受影响服务、重置凭证、隔离受感染主机。这一步的目标是把损失锁死在当下范围。
第 1-4 小时，启动预案＋定级。按网络安全法第二十七条启动应急预案；预案应当已按事件危害程度、影响范围分级，对照分级确定响应层级和报告路径。此时同步固定证据：日志快照、攻击痕迹、时间线记录，后续报告和追责都用得上。
第 4-24 小时，报告＋告知。按行业主管部门的规定路径向有关主管部门报告——行业有专门时限规定的从其规定，没有明确时限的按「及时」从严把握，实践中普遍以小时计而非以天计。同时准备告知用户：泄露了什么信息、可能造成什么影响、用户该做什么（改密码、警惕诈骗）。告知内容要实在，模棱两可的「部分数据可能受到影响」既不满足义务也不止损。
| 要件 | 法律要求 | 实操要点 |
|---|---|---|
| 风险监测 | 加强风险监测，发现缺陷、漏洞立即补救 | 告警系统 7×24 在线，漏洞修复有台账 |
| 立即处置 | 发生事件立即采取处置措施 | 封堵、下线、隔离、重置凭证，先止血再查因 |
| 启动预案 | 立即启动应急预案（网络安全法27条） | 预案分级清晰、演练记录可查 |
| 告知用户 | 按照规定及时告知用户 | 说明泄露内容、影响、补救建议，渠道可查证 |
| 报告部门 | 向有关主管部门报告 | 按行业规定路径与时限，留存报告凭证 |
| 证据固定 | 配合调查与自查所需 | 日志、快照、时间线，防止被二次篡改 |
三、哪些「风险」也要动起来
第二十九条的前半句常被忽略：还没出事、只是发现缺陷和漏洞时，「立即采取补救措施」的义务已经生效。扫描出高危漏洞却排期到下季度修，出事后回头看就是「未及时补救」的证据。软件厂商还有单独一层义务：产品存在缺陷、漏洞时要立即补救并按规定告知用户和报告（网络安全法第二十四条），买你软件的客户出事会连着查你。
五、常见问题快答
问：发现的是漏洞、还没被利用，也要动作吗？ 要。第二十九条前半句就是为此写的：发现数据安全缺陷、漏洞等风险时，应当立即采取补救措施。「还没出事」只影响事件定级，不影响补救义务——高危漏洞排期三个月，出事后这份排期单就是未及时补救的书证。
问：报告里要写什么内容？ 围绕事实与控制：发生了什么（时间、系统、数据类型与规模）、怎么发现的、影响范围评估、已采取的处置措施、后续计划。初次报告不必等全部事实查清，先报已确认部分，滚动更新；隐瞒或拼凑的时间线在后续调查中会被拆穿，代价远大于「部分未知」。
问：告知用户的成本很高，能只发一条简短公告吗？ 形式可以简，要素不能缺：泄露了什么类型的信息、涉及什么时间段、可能带来什么风险、建议用户做什么、企业会做什么。缺要素的告知在监管眼里等于没告知——用户拿着缺胳膊少腿的公告去投诉，企业还要再挨一轮核查。
问：事件处理完了，还有后续义务吗？ 有。复盘报告、整改措施落地、根因修复、同类风险排查，以及把这次事件写进下次预案修订——第四十五条的「拒不改正」档位就悬在「改没改真」上。事件台账保存完整，既是合规记录，也是下次检查的答卷。
问：勒索软件攻击导致数据被加密，算数据安全事件吗？ 算。数据丧失可用性同样是安全事件，第二十九条的处置、告知、报告义务照样触发；是否支付赎金是商业与法律交织的独立决策，但不影响「先报告、先处置」的法定动作。
六、预案文本怎么写才「能用」
一份能在凌晨两点救命的预案，至少有五个特征：分级明确——按危害程度与影响范围划档，每档配响应层级，谁拍板、谁报告写得清清楚楚；动作具体——「立即处置」翻译成断网、下线、改密、隔离等一条条可执行指令；路径落地——各主管部门的联系方式、报告渠道、行业时限规定附在文末，不用出事时现查；角色到人——指挥、技术、对外、法务各设 A 角 B 角，避免「负责人在休假」卡死流程；版本活着——每次演练、每次真实事件后修订一次，修订记录留痕。预案写完锁进抽屉的，出事时只能当废纸；真正管用的预案，是演练出来的肌肉记忆。
七、边界与误区
- 误区一：「先内部查清楚再上报，免得报错」。报告义务的时间以「及时」计，等内部查完往往已过时限。正确做法是按预案先报初步情况，后续补充更新——监管接受「滚动报告」，不接受「沉默到底」。
- 误区二：「告知用户会引发恐慌和诉讼，能不发就不发」。告知是法定义务，隐瞒本身就是处罚理由，而且用户从第三方得知泄露后，企业的商誉损失远大于主动告知。
- 误区三：「报给 IT 部门的上级公司就算报了」。报告对象是有关主管部门，路径按行业规定走；集团内通报替代不了对外报告。
- 后果叠加：处置不当造成大量数据泄露的，四十五条跳档处罚之外，给他人造成损害的还有民事赔偿责任（第五十二条），构成治安或犯罪的依法追究——一次瞒报可能同时启动三条追责线。
八、实操建议
- 把第二十九条写成一张「事件响应卡」：监测→补救→处置→启动预案→告知→报告，每步标注责任人和联络方式，贴进值班室；
- 每年至少一次实战演练（网络安全法对关基运营者还要求定期演练），演练记录是检查时的加分项；
- 提前整理好各主管部门的报告渠道与行业时限规定，出事当天现查规定只会更慢；
- 准备好用户告知的信函模板，法律审一遍存着，出事时替换变量即可发出，把「及时」真正落进小时级。
站内软件有漏洞，厂商必须告诉你吗、平台泄露你的信息，网安法怎么罚、等级保护不是口号：网络运营者的五项等保义务对相关义务与路径有专文，可对照使用。
八、事件中的角色分工：谁做什么一次说清
真实事件里最容易出乱子的不是技术，是角色混乱——技术团队在处置，老板在对外发言，法务还不知道事件存在。预案里把五个角色写死：指挥者（通常为分管负责人）负责定级、决策与资源调度，是唯一对外的指挥口；技术处置负责止血、取证与根因排查，只对指挥者汇报；对内协调负责通知用户、安抚客户与员工口径统一，告知文案先过法务再发出；对外报告负责按预案路径向主管部门报告，报告时间点与内容留痕；法务负责证据保全评估、责任分析、与监管沟通的口径把关。每个角色配 A 角 B 角，B 角的存在专治「负责人在出差」。演练时就按这套分工实战跑一遍，把「谁先知道、谁先说话、谁最后签字」练成条件反射——事件应对的水平，从来不是预案文本决定的，是分工的肌肉记忆决定的。
最后补充一个「事后十二个月」视角。事件处置完不是终点：接下来一年里，监管的复查、用户的索赔、合作方的尽调都会反复回到这次事件——复查看整改是否落地（对照事件报告里的整改承诺逐项核验），索赔看过错与因果关系（处置记录、报告凭证是关键证据），尽调看合规水位（事件台账完整、整改闭环的企业反而加分）。所以事件材料的归档标准要按「给外人看」来定：时间线完整、决策留痕、报告凭证齐全、整改验收闭环。一次处理得体的事件，反而能成为证明企业合规能力的素材；一次糊弄过去的瞒报，则是悬在头顶十二个月的雷。事件的终点不是灭火成功，是卷宗归档那一刻。
一句话总结：数据安全事件应急记两条——平时要有监测和预案（数据安全法29条前半＋网络安全法27条），出事后三动作并行：立即处置、及时告知用户、按规定报告主管部门；瞒报不省事，罚单直接翻四倍。
以上内容为一般性法律知识介绍，不构成正式法律意见。具体事件的定级、报告路径与用户告知方案，请结合行业规定，咨询执业律师后执行。