凌晨三点运维发现数据库被异常导出，老板第一个问题是数据泄露怎么办、要不要报警，第二个问题是能不能压下来不声张——这两个问题答错的代价，网络数据安全管理条例写得明明白白。条例2025年1月1日起施行，第10条管产品服务漏洞的报告，第11条管数据安全事件的应急预案、报告和用户通知，第61条还挂着民事赔偿和刑事责任。很多企业搜「数据泄露要不要报告」「数据泄露多久内通知用户」「发现数据被偷先做什么」，这篇按条文把事件处置的时间线和动作清单排出来，帮企业在最慌的一夜做对每一步。
先看这三个要点
- 预案不是文件柜里的摆设：第11条要求建立健全应急预案，事件发生立即启动、防止危害扩大、消除隐患、按规定报告——平时没建预案，出事时每一个动作都是临场发挥。
- 通知利害关系人有时限和内容要求：事件危害个人、组织权益的，要及时以电话、短信、即时通信工具、电子邮件或公告等方式通知，内容含事件风险、危害后果、已采取的补救措施。
- 涉嫌犯罪要报案并配合：处置中发现违法犯罪线索的，应按规定向公安机关、国家安全机关报案并配合侦查——不报不是稳妥，是新的违法。
一、条文原文
- 第十条 网络数据处理者提供的网络产品、服务应当符合相关国家标准的强制性要求；发现网络产品、服务存在安全缺陷、漏洞等风险时，应当立即采取补救措施，按照规定及时告知用户并向有关主管部门报告；涉及危害国家安全、公共利益的，网络数据处理者还应当在24小时内向有关主管部门报告。
- 第十一条 网络数据处理者应当建立健全网络数据安全事件应急预案，发生网络数据安全事件时，应当立即启动预案，采取措施防止危害扩大，消除安全隐患，并按照规定向有关主管部门报告。
- 网络数据安全事件对个人、组织合法权益造成危害的，网络数据处理者应当及时将安全事件和风险情况、危害后果、已经采取的补救措施等，以电话、短信、即时通信工具、电子邮件或者公告等方式通知利害关系人；法律、行政法规规定可以不通知的，从其规定。网络数据处理者在处置网络数据安全事件过程中发现涉嫌违法犯罪线索的，应当按照规定向公安机关、国家安全机关报案，并配合开展侦查、调查和处置工作。
二、处置要件对照
| 要件·动作 | 条文依据 | 时间与内容要求 |
|---|---|---|
| 漏洞补救 | 第十条 | 发现产品服务安全缺陷、漏洞立即补救，及时告知用户并报告 |
| 24小时报告 | 第十条 | 漏洞涉及危害国家安全、公共利益的，24小时内向主管部门报告 |
| 启动预案 | 第十一条第一款 | 事件发生后立即启动预案，防止危害扩大、消除隐患 |
| 事件报告 | 第十一条第一款 | 按规定向有关主管部门报告，内容随预案和监管要求 |
| 通知利害关系人 | 第十一条第二款 | 及时通知，内容包括事件风险、危害后果、补救措施，方式多样可选 |
| 报案配合 | 第十一条第二款 | 发现违法犯罪线索按规定向公安、国家安全机关报案并配合 |
三、一晚上该做的事，按顺序排
第一小时：止血优先，动作留痕。第11条的立法逻辑是先控制危害再谈程序：立即启动预案、防止危害扩大、消除安全隐患。实操的第一小时做四件事——切断继续泄露的通道（改凭证、封端口、下线受影响服务）、固定证据（日志、访问记录、受影响数据范围快照）、召集预案里的应急小组、开始记录时间线。留痕这一步最容易被忽视：事后证明「及时启动、尽力止损」全靠时间戳和操作日志，没有记录的补救在监管和诉讼里等于没做。
报告：分清两个触发点。第10条和第11条是两条并行的报告线：第10条针对产品服务本身的缺陷漏洞——发现漏洞就触发补救、告知用户、报告三连，涉及危害国家安全公共利益的加一个24小时硬时限；第11条针对已发生的数据安全事件——立即启动预案并按规定报告。两条线的「按规定」指向各行业主管部门的专门规定（金融、工信、卫健各有细则），企业要提前把自己适用的报告时限、报告对象写进预案，别等出事再查。拿不准是否达到报告门槛时，宁可报——迟报漏报的处理后果远重于一次可能的误报。
通知用户：内容和方式都在条文里。通知的三要素——事件和风险情况、危害后果、已采取的补救措施，一样不能少；「及时」的判断与事件影响面挂钩，影响越大越要快。方式给了五种可选：电话、短信、即时通信工具、电子邮件、公告。实操建议按影响程度分层：核心受损用户（如账户被直接盗用）逐一直接触达，潜在风险用户（如可能被撞库）短信或站内信触达，大规模事件叠加公告。通知正文要有可操作的建议（改密码、开启二次验证、警惕钓鱼），空洞的「我们非常重视」既不合规也留不住用户。
报案：既是义务也是保护。处置中发现违法犯罪线索——拖库、勒索软件、内部人员倒卖——要向公安机关报案并配合侦查。报案的意义有三层：合规上这是法定义务，不报在监管检查时是无从辩解的污点；证据上警方介入能固定境外黑客、资金链路等企业自己够不到的证据；责任上，及时报案配合调查是后续行政处罚裁量（第59条的从轻减轻情形）和民事诉讼中证明自身尽责的有力材料。
善后：把一次事故变成合规资产。事件平息后的复盘要做三件事：更新预案（这次暴露的响应盲区写进新版）、评估报告义务与通知义务的履行情况（留档备查）、评估对受损用户的民事责任（第61条，给他人造成损害的依法承担民事责任）。站内《网络平台泄露用户数据，要担责吗》讲了民事责任的认定逻辑，《个人信息泄露怎么索赔：因果关系举证与赔偿数额的确定》从用户索赔视角做了展开，企业可以从这两篇反推自己抗辩和补偿的边界。
这条规则的边界
- 通知义务以「对个人、组织合法权益造成危害」为前提。内部测试环境的误操作、未涉个人信息且未危害他人权益的技术故障，不触发第11条第二款的用户通知，但报告义务（第一款）仍要按行业规定判断。
- 「按规定可以不通知」的例外是窄门。法律行政法规规定可以不通知的从其规定——例如侦查需要暂缓通知的情形，例外权在法规不在企业，自行决定「不声张」没有依据。
- 24小时时限挂在第10条的特定情形。产品服务漏洞涉及危害国家安全、公共利益才触发24小时报告，普通商业系统的漏洞修复和告知按「及时」标准执行，两个时限别混用。
- 预案义务覆盖所有网络数据处理者。不是只有大公司才要预案，第11条的「网络数据处理者」是全称——小企业可以预案简短，但不能没有。
四、常见疑问快答
怀疑被拖库但还没确认，先通知用户还是先查清楚？**
先止血、先报告主管部门，通知按「及时」要求推进——确认泄露范围需要时间，但通知不必等到全部查清，可以先通报已确认的事实、风险和已采取的措施，后续滚动更新。拖到舆论爆出才通知，迟延通知本身就是过错加重情节。
事件是第三方运维商的失误造成的，我们还用报告和通知吗？**
用。对外你仍是处理者和责任人（第9条主体责任、第16条对服务提供方的要求），报告与通知义务不因内部追责而转移；对内按第12条凭合同向接收方、受托方追偿。
被勒索软件加密后交赎金解锁，算不算处置不当？**
交赎金本身不当然违法，但隐瞒事件、不报告不通知的风险极大：勒索软件攻击通常伴随数据窃取，属于典型的数据安全事件，第11条的报告、通知、报案义务一个都免不了；配合调查的记录也是事后争取从轻处理的关键。
五、实操建议
- 把第11条写进一页纸预案：应急小组名单（含联系方式）、四类动作（止血、报告、通知、报案）的触发条件和时限、通知模板、报告模板，A4两页放得下；
- 提前锁定报告对象与时限：查清本行业主管部门的事件报告细则，把口径写死在预案里，别出事当晚现查现学；
- 通知模板提前备好三个版本：账户受损版、风险提示版、公告版，事件发生时填空即可，别让措辞讨论耗掉黄金时间；
- 每年至少演练一次：应急演练既是第30条对重要数据处理者的要求，也是所有处理者验证预案可执行性的最低成本方式，演练记录本身是尽责证据。
站内《网站被黑、数据泄露，公司要罚多少钱：2026年新网络安全法的四档罚款》讲了网安法侧的罚则梯度，可与条例第11条配套理解；《公安调取平台数据，平台能拒绝吗》讲了执法配合中的权利义务边界，事件处置遇警方介入时可参考。
相关阅读
一句话总结：数据泄露的第一夜按第10条、第11条走四步——止血留痕、按规定报告、及时通知利害关系人、发现犯罪线索就报案，预案平时备好、动作件件留痕，既是义务也是事后自保的证据。
以上内容为一般性法律知识介绍，不构成正式法律意见。具体事件处置请结合事实进展，咨询执业律师后处理。