報告時鐘：香港、新加坡和美國的網絡安全事件報告要求，以及它們對 IT 服務合約意味著什麼

核心發現： 香港的關鍵基礎設施法例自 2026 年 1 月 1 日起實施，被指定的營運者須在 12 小時內報告嚴重的電腦系統安全事件，其他事件為 48 小時。新加坡的時限更短：關鍵資訊基礎設施所有者 2 小時，受 MAS 監管的金融機構 1 小時。在美國，銀行有 36 小時，上市公司在認定事件重大後有四個工作日，而聯邦關鍵基礎設施報告規則（CIRCIA）截至 2026 年 10 月 31 日仍未生效。所有這些時鐘都從受監管企業「知悉」事件時開始計算；而對於把 IT 外判出去的公司，「知悉」通常發生在服務商的監控系統裡。因此，受監管的客戶需要在自己的合約中約定服務商向客戶通報的時間，並且要短於它所適用的最短監管時限。

當監管機構寫下「在知悉後 12 小時內」，這 12 小時屬於受監管的公司。但大多數 30 至 300 人的公司並不自己監控系統。第一條告警由 IT 服務商的監控發出，第一個判斷「這是不是事件」的是服務商的工程師，什麼時候拿起電話也由服務商決定。如果服務商的合約允許它花上一天才通知客戶，客戶的 12 小時、2 小時甚至 1 小時，可能在公司裡有人知道計時已經開始之前就用完了。

本報告把香港網絡安全事件報告要求與新加坡和美國的要求並排對比——這兩個市場往往是香港企業的母公司、客戶或另一組監管機構所在地。然後回答這種對比引出的實際問題：服務商對客戶的通知條款要怎麼寫，客戶對監管機構的報告義務才可能按時完成？

全文有三點限制。本文不構成法律意見；報告義務取決於你的牌照、行業和事件的具體情況，應由你的律師確認適用哪些規定。各項監管立場以 2026 年 10 月 31 日為準。中國內地的事件報告規定不在本文討論範圍內。

每個時鐘都從「知悉」開始，而「知悉」通常發生在服務商那裡

把本報告涉及的各項制度放在一起讀，會反覆看到同一個表述：報告時限從受監管實體知悉事件、發現事件，或認定事件達到某個門檻時開始計算。沒有一項是從公司董事總經理碰巧聽說的時候開始算的。

對有內部安全團隊的公司來說，這個區別只是理論上的：看到告警的人本來就是受監管實體的員工。但對把 IT 外判出去的公司來說就不是這樣。一個典型外判環境裡的順序是：

• 終端檢測工具、郵件過濾或防火牆在服務商監看的控制檯裡發出告警。
• 服務商的工程師進行分診，往往是在客戶的辦公時間以外。
• 服務商判斷這是安全事件而不是故障，在內部升級。
• 服務商通知客戶的指定聯繫人。
• 客戶判斷事件是否達到監管門檻，並作出報告。

監管機構一般不會接受「供應商沒有告訴我們」作為遲報的理由，有些還明確說過。例如，香港證券及期貨事務監察委員會（證監會）就表示過，公司不應因為要先完成內部調查而延遲應作的報告。實際結果是：從第一條告警到客戶指定聯繫人之間的每一個小時，都是從客戶的監管時限里扣掉的。

這就是本報告討論的缺口。它不是任何人的安全漏洞，而是兩份合約之間的缺口：一份是客戶與監管機構之間的，一份是客戶與 IT 服務商之間的。

香港：一部新法例、兩個金融監管機構和一個自願通報制度

香港是三個市場中制度最新、層次最多的。一家公司可能受法定時鐘約束，可能受監管機構「立即」的要求約束，也可能完全沒有強制時鐘，取決於它是什麼機構、持有什麼數據。

《保護關鍵基礎設施（電腦系統）條例》（第 653 章）

第 653 章於 2025 年 3 月 19 日獲立法會通過，政府於 2025 年 6 月刊憲公佈生效日期，條例自 2026 年 1 月 1 日起實施。條例對被指定為關鍵基礎設施營運者的機構施加法定義務，由保安局下設的關鍵基礎設施（電腦系統安全）專員辦事處執行，部分行業由相關行業監管機構負責。

條例及專員發出的《實務守則》所述的報告義務為：

• 嚴重的電腦系統安全事件——已經、正在或相當可能干擾關鍵基礎設施核心功能——須在知悉後 12 小時內報告。
• 關鍵電腦系統中的其他安全事件，須在知悉後 48 小時內報告。
• 須在知悉後 14 日內提交書面報告。

條例適用於被指定的營運者，而不是所有公司。大多數 30 至 300 人的公司永遠不會被指定。它們是從另一側接觸這部條例的：作為營運者的 IT 供應商，或者作為同時服務營運者的 IT 服務商的客戶。營運者須管理其依賴第三方的電腦系統的安全，實際上就意味著它們會把自己的 12 小時時鐘寫進供應商合約。一家客戶中有被指定營運者的香港 IT 服務公司，應預期會被問到自己多快能報告。

金管局：「立即」，沒有小時數

受香港金融管理局監管的認可機構，其事件報告要求來自金管局的指引，而不是一部寫明小時數的法例。金管局 2010 年關於事故應變及管理的通函指出，認可機構在知悉重大事故後應立即通知金管局，不應等到事故得到糾正才報告；金管局其後的通訊，包括 2024 年的一份新聞稿，也提醒銀行應儘快報告可能對業務、客戶或聲譽造成重大影響的事故。

沒有小時數本身就是發現。「立即」比本報告中任何一個固定時限都短，完全沒有給第二天早上才通知銀行的服務商留下餘地。關於香港銀行業網絡安全框架對外判 IT 的更廣泛期望，可參閱我們關於 香港機構合併採購 MSP、MSSP 與 C-RAF 支援 的報告。

證監會：持牌法團須「立即」報告

證監會《操守準則》第 12.5 段要求持牌人或註冊人在發生重大違規、違反或不合規情況，或其系統出現重大故障時，立即向證監會報告。證監會於 2017 年發出通函，提醒持牌法團應立即報告重大網絡安全事件，包括勒索軟件攻擊。

證監會自己的數據說明了這一要求為何重要。其於 2025 年 2 月 6 日發表的《2023/24 年度持牌法團網絡保安專題檢視報告》記錄，2021 至 2024 年間持牌法團共報告了 8 宗重大網絡安全事件，包括擾亂交易和後台系統的勒索軟件攻擊、客戶帳戶遭未經授權訪問，以及第三方 IT 供應商遭入侵。同一份報告把生命週期結束的軟件和第三方 IT 服務管理列為其提出預期標準的範疇之一。

PDPO：暫無強制性資料外泄通報

《個人資料（私隱）條例》（第 486 章）沒有法定的資料外泄通報義務。向個人資料私隱專員公署（私隱公署）通報屬自願性質，依據是私隱公署的《資料外泄事故的處理及通報指引》（2023 年 6 月版）。但通報仍然很常見：根據私隱公署公佈的數字，2024 年共收到 203 宗資料外泄事故通報，高於 2023 年的 157 宗；2025 年為 246 宗。

強制通報制度自 2020 年起已在討論。當年政府向立法會政制事務委員會提交的文件提出設立該制度，並以「五個工作日」作為向私隱公署通報的期限示例。截至 2026 年 10 月 31 日，我們未發現有落實該建議的修訂條例草案提交立法會，它仍然只是建議。一旦立法，幾乎每一家持有個人資料的香港公司都會多一個時鐘。

新加坡：三個市場中最短的時鐘

新加坡同時有關鍵基礎設施法例、設有 1 小時規則的金融監管機構，以及強制性的個人資料制度。它的時鐘是三個市場中最短的。

《2018 年網絡安全法》：關鍵資訊基礎設施所有者 2 小時

根據《2018 年網絡安全法》及《2018 年網絡安全（關鍵資訊基礎設施）條例》，關鍵資訊基礎設施（CII）所有者須在知悉規定的網絡安全事件後 2 小時內通知新加坡網絡安全局（CSA），並在 14 日內提交補充資料。

《2024 年網絡安全（修訂）法》於 2024 年 5 月 7 日獲國會通過，CSA 宣佈其主要條文自 2025 年 10 月 31 日起生效。CSA 表示，修訂擴大了報告範圍，涵蓋懷疑由高級持續性威脅（APT）引起的事件，以及通過 CII 所有者控制下、與 CII 不相連的系統干擾基本服務的事件，並把第三方擁有的 CII 納入監管。方向很清楚：更多系統、更多事件類型、更多機構被納入 2 小時的時限。

MAS 科技風險管理通知：1 小時

受新加坡金融管理局（MAS）監管的金融機構，須遵守 MAS 按牌照類別分別發出的《科技風險管理通知》。通知要求機構在發現相關事件後儘快、且不遲於 1 小時通知 MAS，並在發現後 14 日內提交根本原因和影響分析報告。

1 小時是本報告中最短的固定時限，幾乎沒有給以小時計算的服務商升級步驟留下空間。對於把監控外判出去的新加坡受監管機構，服務商必須在響應的最初幾分鐘就參與進來，而不是事後才向它彙報。外判方面更全面的要求，可參閱我們的 MAS TRM 外判 IT 清單。

PDPA：認定須通報後 3 個日曆日

根據《2012 年個人資料保護法》（第 26A 至 26E 條）及《2021 年個人資料保護（資料外泄通報）條例》，機構在評估資料外泄事件屬須通報後，須於 3 個日曆日內通知個人資料保護委員會（PDPC）。若事件可能對受影響個人造成重大傷害，或影響 500 人或以上，即屬須通報。機構也須儘快對懷疑的外泄事件進行評估。與香港不同，新加坡的私隱時鐘是強制性的，幾乎適用於每一家持有個人資料的機構。

美國：規定分散，但有一項條款值得照搬

美國沒有統一的事件報告法律。一家公司可能同時面對證券披露時鐘、銀行業時鐘、消費金融時鐘、尚未生效的關鍵基礎設施時鐘，以及五十個州的資料外泄法，取決於它是什麼機構。

SEC 表格 8-K 第 1.05 項：認定重大後四個工作日

美國證券交易委員會（SEC）關於網絡安全風險管理及事件披露的規則（第 33-11216 號公告，2023 年 7 月 26 日通過）要求上市公司在認定網絡安全事件屬重大後四個工作日內，以表格 8-K 第 1.05 項披露。重大性認定本身須在發現事件後不無理拖延地作出。2024 年 5 月，SEC 職員澄清第 1.05 項適用於公司已認定為重大的事件，其他事件可以通過其他項目自願披露。

銀行規則：36 小時，以及服務商的義務

美國貨幣監理署（OCC）、聯邦儲備局和聯邦存款保險公司（FDIC）聯合發佈的《電腦安全事件通知規則》於 2022 年 4 月 1 日生效，2022 年 5 月 1 日起須遵守。銀行機構在認定發生須通知事件後，須儘快、且不遲於 36 小時通知其主要聯邦監管機構。

這項規則的後半部分，是本報告中最有用的一項條文。它直接對銀行服務商施加義務：服務商一旦認定發生了電腦安全事件，且該事件已經或相當可能使所涵蓋的服務出現四小時或以上的重大中斷或降級，就須儘快通知每一家受影響的銀行客戶。換句話說，監管機構已經替服務商寫好了對客戶的通知條款。它沒有讓銀行自己去談判，而是直接約束服務商，用的是「儘快」，而不是「一天內」。

FTC 保障規則：非銀行金融機構 30 日

美國聯邦貿易委員會（FTC）修訂了《保障規則》，要求按揭經紀、安排融資的汽車經銷商、報稅服務商等非銀行金融機構，在發現涉及 500 名或以上消費者未加密資料的須通知事件後，儘快、且不遲於 30 日通知 FTC。修訂自 2024 年 5 月 13 日起生效。

CIRCIA：72 小時，但尚未生效

《2022 年關鍵基礎設施網絡事件報告法》（CIRCIA）將要求受涵蓋實體在 72 小時內向網絡安全和基礎設施安全局（CISA）報告受涵蓋的網絡事件，並在 24 小時內報告贖金支付。這些義務要到 CISA 的最終規則生效後才開始。截至 2026 年 10 月 31 日，最終規則尚未公佈；CISA 的 CIRCIA 頁面說明，在最終規則生效日之前，機構無須根據 CIRCIA 提交報告。行業媒體報道，CISA 在 2025 年 10 月的法定期限過後，於 2026 年 10 月 1 日把最終規則送交白宮管理和預算辦公室審查。在聯邦公報正式公佈之前，看到的任何時間表都只應視為預測。

各州資料外泄法

美國 50 個州都有各自的資料外泄通知法，觸發條件和期限各不相同，由全國州議會聯合會（NCSL）彙編索引。我們不在這裡把它們歸納成一個數字，因為根本沒有一個統一的數字。

各時鐘並排對比

下面把每項規定壓縮成一行：約束誰、什麼時候開始計時、第一個期限、後續報告。按時限由短到長排列。

• MAS 科技風險管理通知（新加坡）： 約束受 MAS 監管的金融機構；發現相關事件時開始計時；不遲於 1 小時通知 MAS；14 日內提交根本原因和影響報告。
• 《2018 年網絡安全法》（新加坡）： 約束 CII 所有者（2025 年 10 月 31 日起範圍擴大）；知悉時開始計時；2 小時內通知 CSA；14 日內提交補充資料。
• 金管局指引（香港）： 約束認可機構；知悉重大事故時開始計時；立即通知；沒有固定小時數。
• 證監會《操守準則》（香港）： 約束持牌人和註冊人；發生重大違規或重大系統故障（包括重大網絡安全事件）時開始計時；立即報告；沒有固定小時數。
• 第 653 章（香港）： 約束被指定的關鍵基礎設施營運者；知悉時開始計時；嚴重事件 12 小時，其他事件 48 小時；14 日內提交書面報告。
• 美國銀行規則： 約束銀行機構；認定須通知事件時開始計時；36 小時內通知監管機構。銀行服務商在發生達四小時或以上的符合條件的中斷後，須儘快通知受影響的銀行客戶。
• SEC 第 1.05 項（美國）： 約束上市公司；作出重大性認定時開始計時；四個工作日內提交。
• PDPA（新加坡）： 約束持有個人資料的機構；評估為須通報時開始計時；3 個日曆日內通知 PDPC。
• FTC 保障規則（美國）： 約束非銀行金融機構；發現影響 500 名或以上消費者的須通知事件時開始計時；30 日內通知。
• CIRCIA（美國）： 將約束受涵蓋的關鍵基礎設施實體；受涵蓋事件 72 小時、贖金支付 24 小時；截至 2026 年 10 月 31 日尚未生效。
• PDPO（香港）： 截至 2026 年 10 月 31 日沒有強制通報；依私隱公署指引自願通報。

有兩點很突出。第一，其中五個時鐘以小時計算或要求「立即」，而這五個都適用於本報告所針對的受監管行業：銀行、持牌證券公司、其他金融機構和關鍵基礎設施。第二，沒有寫明小時數的制度——金管局和證監會——並不因此更寬鬆。「立即」比任何數字都緊。

時鐘對 IT 服務合約意味著什麼

如果受監管企業的時鐘以小時計算，而它的「知悉」通常始於服務商，那麼服務商合約就是企業報告能力的一部分。為非受監管客戶寫的通知條款，例如「不無故拖延」或以一天為單位的期限，作為預設條款是合理的。但對於受上述前五個時鐘約束的客戶，單靠它並不夠。

真正起作用的是以下五項條款。這是我們預期受監管客戶的律師會去找的條款，也是服務受監管客戶的服務商應準備好接受的條款。

• 明確的檢測義務。 合約寫明服務商監控什麼（終端、郵件、身份、防火牆、雲端日誌）、在什麼時段監控、由什麼工具發出告警。通知條款的速度，取決於背後的監控。
• 短於客戶最短監管時限的服務商對客戶通知時間。 如果客戶適用的最短時鐘是 1 小時，服務商通知客戶指定聯繫人的時間就需要以分鐘計算；如果是 12 小時，幾個小時或許可行。這個數字應寫進合約，而不是停留在假設裡。
• 非辦公時間也有效的指定升級路徑。 凌晨兩點發到共用郵箱的通知，不會啓動任何人的響應。合約寫明聯繫誰、怎樣聯繫、按什麼順序，以及對方不接聽時怎麼辦。
• 證據保全和一份事實性的初步報告。 服務商保全日誌和受影響系統的證據，並以客戶可直接用於其監管報告的形式，提供一份簡短的事實摘要。是否報告、報告內容由客戶決定和簽署。
• 配合後續報告。 第 653 章、MAS 通知和新加坡 CII 條例都要求在 14 日內提交書面跟進報告。服務商的根本原因分析必須及時提供，才能用於這份報告。

美國銀行規則是第二項條款最清晰的範本。它沒有給服務商一個小時數，而是要求「儘快」，並明確定義觸發條件。一家已經為美國銀行客戶接受這一標準的服務商，已經證明這項條款可以寫出來，也可以執行。

成本

以分鐘計算的合約通知時間，只有在凌晨兩點有人值守時才有意義。因此報告時鐘既是法律問題，也是產品問題：7×24 小時檢測、安全運營職能和升級值班表都是有成本的服務，而成本不會因為條款寫了「立即」就消失。事件發生時要付出多少代價，可參閱我們的 網絡安全事件成本上升：對 IT 服務商和其客戶意味著什麼；本報告討論的是法律時鐘，而不是帳單。

香港的具體情況：三類買家，三個不同的時鐘

由於香港是本報告的重點，有必要說明同一種服務商關係可以帶有三個不同的時鐘。

• 持牌資產管理公司（證監會第 4/9 類）： 根據《操守準則》，它的時鐘是「立即」。服務商需要在懷疑發生事件時就通知它，而不是等到確認之後，因為證監會表示過報告不應等待內部調查完成。
• 為銀行提供服務的金融科技公司： 它不是認可機構，但它的銀行客戶是，銀行的「立即」會出現在這家公司的供應商合約裡。它的服務商的通知時間，就成了銀行報告鏈條的第一環。
• 被指定關鍵基礎設施營運者的 IT 或設施供應商： 它本身沒有被指定，但營運者在第 653 章下的 12 小時時鐘會寫進它的合約。它自己的 IT 服務商，則在同一條鏈條上再往後一步。

在這三種情況下，公司本身的規模都無關緊要。決定時鐘的，是公司受誰監管，或為誰供貨。

Brocent 自身的立場

Brocent 銷售的正是時鐘所要求的檢測和升級服務，讀者在閱讀本節時應考慮這一點。

對於受監管客戶，Brocent 會在每位客戶的訂單表格（Order Form）中，與客戶另行約定事件報告和升級時間，獨立於標準服務條款。訂單表格會根據該客戶實際適用的監管時鐘設定服務商對客戶的通知時間，寫明升級聯繫人和時段，並說明客戶會收到哪些證據和初步報告。一家負有「立即」報告義務的持牌法團，與一家不受監管的貿易公司，所需的條款不同，得到的條款也不同。

我們公佈的 服務水平 列出了按優先級劃分的首次響應、上門和解決目標，以及 8×5 辦公時間支援與 7×24 小時支援的區別；以分鐘計算的通知條款，只有在背後有 7×24 小時支援時才有意義。持續檢測通過我們的 安全運營中心服務 和 SIEM 提供，按客戶範圍單獨報價；關於 SOC 和 SIEM 的常見問題 說明了它們與管理型IT外判服務方案的關係。香港客戶可在我們的 香港 IT 支援頁面 瞭解方案內容，或 獲取香港報價；新加坡客戶可從 新加坡 IT 支援頁面 開始。

我們不做的是：代客戶向監管機構提交報告、就證券法目的判斷事件是否重大，或就適用哪項制度提供法律意見。這些決定屬於客戶及其律師。

本報告不作的聲明

• 本文不構成法律意見，也不說明任何特定公司適用哪項制度。
• 本文不聲稱對各項制度的概述是完整的；每項規定都有在真實事件中至關重要的定義、門檻和豁免。
• 本文不比較中國內地的事件報告規定，這不在討論範圍內。
• 本文不把 CIRCIA 的時間表作為事實陳述；截至 2026 年 10 月 31 日該規則尚未生效。
• 本文不把 PDPO 修訂作為法律陳述；截至 2026 年 10 月 31 日它仍是建議。
• 本文不提供任何關於平均檢測時間或事件成本的統計數字；這些內容屬於上文鏈接的事件成本報告。

常見問題

香港的網絡安全事件報告要求是什麼？

取決於公司是什麼機構。第 653 章下被指定的關鍵基礎設施營運者，嚴重事件須在 12 小時內、其他事件須在 48 小時內報告，並在 14 日內提交書面報告。金管局認可機構在知悉重大事故後應立即通知金管局。證監會持牌法團須立即報告重大違規和重大系統故障，包括重大網絡安全事件。根據 PDPO，截至 2026 年 10 月 31 日，向私隱專員通報資料外泄屬自願性質。

《保護關鍵基礎設施（電腦系統）條例》適用於我的公司嗎？

只有當你的公司被指定為關鍵基礎設施營運者時才適用。大多數 30 至 300 人的公司不會被指定。但如果你為被指定營運者提供 IT 或其他服務，仍可能感受到它的影響，因為營運者須管理依賴第三方的系統的安全，它們的 12 小時時鐘會出現在供應商合約中。

新加坡最短的事件報告期限是多久？

對受 MAS 監管的金融機構，MAS《科技風險管理通知》要求在發現相關事件後儘快、且不遲於 1 小時通知。對《2018 年網絡安全法》下的 CII 所有者，是知悉後 2 小時。

CIRCIA 的 72 小時報告規則已經生效了嗎？

截至 2026 年 10 月 31 日尚未生效。CIRCIA 的 72 小時（受涵蓋事件）和 24 小時（贖金支付）義務，要到 CISA 的最終規則生效後才開始，CISA 也說明在此之前無須提交報告。

對受監管客戶，IT 服務商的事件通知條款應該怎麼寫？

至少包括：服務商監控什麼、在什麼時段；短於客戶最短適用監管時限的服務商對客戶通知時間；非辦公時間也有效的指定升級路徑；證據保全和事實性的初步報告；以及及時配合後續報告。美國銀行規則對服務商施加的義務，是一個有用的範本。

Brocent 會代我們向監管機構報告嗎？

不會。是否達到報告門檻由受監管公司自己判斷，並由其自行提交報告。對受監管客戶，Brocent 的角色在訂單表格中按客戶約定：檢測、在約定時間內升級通知你的指定聯繫人、保全證據，並提供你報告所需的事實。

香港會引入強制性資料外泄通報嗎？

自 2020 年起已有建議，但截至 2026 年 10 月 31 日，我們未發現有落實該建議的修訂條例草案提交立法會。向私隱公署通報仍依其 2023 年 6 月的指引自願進行。可留意立法會的條例草案清單。

資料來源

各項立場以 2026 年 10 月 31 日為準。香港：《保護關鍵基礎設施（電腦系統）條例》（第 653 章）及香港特區政府 2025 年 6 月 27 日關於條例生效的新聞公報；關鍵基礎設施（電腦系統安全）專員辦事處《實務守則》1.0 版；金管局 2010 年事故應變及管理程序通函及 2024 年新聞稿；證監會《操守準則》第 12.5 段、2017 年致持牌法團通函及《2023/24 年度持牌法團網絡保安專題檢視報告》（2025 年 2 月 6 日）；私隱公署《資料外泄事故的處理及通報指引》（2023 年 6 月）及私隱公署關於 2024 年和 2025 年通報數字的聲明；政制及內地事務局 2020 年提交立法會政制事務委員會的文件。新加坡：《2018 年網絡安全法》及《2018 年網絡安全（關鍵資訊基礎設施）條例》；CSA 關於《2024 年網絡安全（修訂）法》生效的新聞稿；MAS《科技風險管理通知》；《2012 年個人資料保護法》及《2021 年個人資料保護（資料外泄通報）條例》。美國：SEC 第 33-11216 號公告（2023 年）及 SEC 職員聲明（2024 年 5 月）；OCC、聯邦儲備局和 FDIC《電腦安全事件通知規則》（2021 年通過，2022 年生效）；FTC 保障規則修訂（2024 年 5 月 13 日生效）；《2022 年關鍵基礎設施網絡事件報告法》及 CISA 的 CIRCIA 頁面；NCSL 各州資料外泄通知法索引。