报告时钟：香港、新加坡和美国的网络安全事件报告要求，以及它们对 IT 服务合同意味着什么

核心发现： 香港的关键基础设施法例自 2026 年 1 月 1 日起实施，被指定的营运者须在 12 小时内报告严重的电脑系统安全事件，其他事件为 48 小时。新加坡的时限更短：关键信息基础设施所有者 2 小时，受 MAS 监管的金融机构 1 小时。在美国，银行有 36 小时，上市公司在认定事件重大后有四个工作日，而联邦关键基础设施报告规则（CIRCIA）截至 2026 年 10 月 31 日仍未生效。所有这些时钟都从受监管企业"知悉"事件时开始计算；而对于把 IT 外包出去的公司，"知悉"通常发生在服务商的监控系统里。因此，受监管的客户需要在自己的合同中约定服务商向客户通报的时间，并且要短于它所适用的最短监管时限。

当监管机构写下"在知悉后 12 小时内"，这 12 小时属于受监管的公司。但大多数 30 至 300 人的公司并不自己监控系统。第一条告警由 IT 服务商的监控发出，第一个判断"这是不是事件"的是服务商的工程师，什么时候拿起电话也由服务商决定。如果服务商的合同允许它花上一天才通知客户，客户的 12 小时、2 小时甚至 1 小时，可能在公司里有人知道计时已经开始之前就用完了。

本报告把香港网络安全事件报告要求与新加坡和美国的要求并排对比——这两个市场往往是香港企业的母公司、客户或另一组监管机构所在地。然后回答这种对比引出的实际问题：服务商对客户的通知条款要怎么写，客户对监管机构的报告义务才可能按时完成？

全文有三点限制。本文不构成法律意见；报告义务取决于你的牌照、行业和事件的具体情况，应由你的律师确认适用哪些规定。各项监管立场以 2026 年 10 月 31 日为准。中国内地的事件报告规定不在本文讨论范围内。

每个时钟都从"知悉"开始，而"知悉"通常发生在服务商那里

把本报告涉及的各项制度放在一起读，会反复看到同一个表述：报告时限从受监管实体知悉事件、发现事件，或认定事件达到某个门槛时开始计算。没有一项是从公司董事总经理碰巧听说的时候开始算的。

对有内部安全团队的公司来说，这个区别只是理论上的：看到告警的人本来就是受监管实体的员工。但对把 IT 外包出去的公司来说就不是这样。一个典型外包环境里的顺序是：

• 终端检测工具、邮件过滤或防火墙在服务商监看的控制台里发出告警。
• 服务商的工程师进行分诊，往往是在客户的办公时间以外。
• 服务商判断这是安全事件而不是故障，在内部升级。
• 服务商通知客户的指定联系人。
• 客户判断事件是否达到监管门槛，并作出报告。

监管机构一般不会接受"供应商没有告诉我们"作为迟报的理由，有些还明确说过。例如，香港证券及期货事务监察委员会（证监会）就表示过，公司不应因为要先完成内部调查而延迟应作的报告。实际结果是：从第一条告警到客户指定联系人之间的每一个小时，都是从客户的监管时限里扣掉的。

这就是本报告讨论的缺口。它不是任何人的安全漏洞，而是两份合同之间的缺口：一份是客户与监管机构之间的，一份是客户与 IT 服务商之间的。

香港：一部新法例、两个金融监管机构和一个自愿通报制度

香港是三个市场中制度最新、层次最多的。一家公司可能受法定时钟约束，可能受监管机构"立即"的要求约束，也可能完全没有强制时钟，取决于它是什么机构、持有什么数据。

《保护关键基础设施（电脑系统）条例》（第 653 章）

第 653 章于 2025 年 3 月 19 日获立法会通过，政府于 2025 年 6 月刊宪公布生效日期，条例自 2026 年 1 月 1 日起实施。条例对被指定为关键基础设施营运者的机构施加法定义务，由保安局下设的关键基础设施（电脑系统安全）专员办事处执行，部分行业由相关行业监管机构负责。

条例及专员发出的《实务守则》所述的报告义务为：

• 严重的电脑系统安全事件——已经、正在或相当可能干扰关键基础设施核心功能——须在知悉后 12 小时内报告。
• 关键电脑系统中的其他安全事件，须在知悉后 48 小时内报告。
• 须在知悉后 14 日内提交书面报告。

条例适用于被指定的营运者，而不是所有公司。大多数 30 至 300 人的公司永远不会被指定。它们是从另一侧接触这部条例的：作为营运者的 IT 供应商，或者作为同时服务营运者的 IT 服务商的客户。营运者须管理其依赖第三方的电脑系统的安全，实际上就意味着它们会把自己的 12 小时时钟写进供应商合同。一家客户中有被指定营运者的香港 IT 服务公司，应预期会被问到自己多快能报告。

金管局："立即"，没有小时数

受香港金融管理局监管的认可机构，其事件报告要求来自金管局的指引，而不是一部写明小时数的法例。金管局 2010 年关于事故应变及管理的通函指出，认可机构在知悉重大事故后应立即通知金管局，不应等到事故得到纠正才报告；金管局其后的通讯，包括 2024 年的一份新闻稿，也提醒银行应尽快报告可能对业务、客户或声誉造成重大影响的事故。

没有小时数本身就是发现。"立即"比本报告中任何一个固定时限都短，完全没有给第二天早上才通知银行的服务商留下余地。关于香港银行业网络安全框架对外包 IT 的更广泛期望，可参阅我们关于 香港机构合并采购 MSP、MSSP 与 C-RAF 支持 的报告。

证监会：持牌法团须"立即"报告

证监会《操守准则》第 12.5 段要求持牌人或注册人在发生重大违规、违反或不合规情况，或其系统出现重大故障时，立即向证监会报告。证监会于 2017 年发出通函，提醒持牌法团应立即报告重大网络安全事件，包括勒索软件攻击。

证监会自己的数据说明了这一要求为何重要。其于 2025 年 2 月 6 日发表的《2023/24 年度持牌法团网络保安专题检视报告》记录，2021 至 2024 年间持牌法团共报告了 8 宗重大网络安全事件，包括扰乱交易和后台系统的勒索软件攻击、客户账户遭未经授权访问，以及第三方 IT 供应商遭入侵。同一份报告把生命周期结束的软件和第三方 IT 服务管理列为其提出预期标准的范畴之一。

PDPO：暂无强制性资料外泄通报

《个人资料（私隐）条例》（第 486 章）没有法定的资料外泄通报义务。向个人资料私隐专员公署（私隐公署）通报属自愿性质，依据是私隐公署的《资料外泄事故的处理及通报指引》（2023 年 6 月版）。但通报仍然很常见：根据私隐公署公布的数字，2024 年共收到 203 宗资料外泄事故通报，高于 2023 年的 157 宗；2025 年为 246 宗。

强制通报制度自 2020 年起已在讨论。当年政府向立法会政制事务委员会提交的文件提出设立该制度，并以"五个工作日"作为向私隐公署通报的期限示例。截至 2026 年 10 月 31 日，我们未发现有落实该建议的修订条例草案提交立法会，它仍然只是建议。一旦立法，几乎每一家持有个人资料的香港公司都会多一个时钟。

新加坡：三个市场中最短的时钟

新加坡同时有关键基础设施法例、设有 1 小时规则的金融监管机构，以及强制性的个人资料制度。它的时钟是三个市场中最短的。

《2018 年网络安全法》：关键信息基础设施所有者 2 小时

根据《2018 年网络安全法》及《2018 年网络安全（关键信息基础设施）条例》，关键信息基础设施（CII）所有者须在知悉规定的网络安全事件后 2 小时内通知新加坡网络安全局（CSA），并在 14 日内提交补充资料。

《2024 年网络安全（修订）法》于 2024 年 5 月 7 日获国会通过，CSA 宣布其主要条文自 2025 年 10 月 31 日起生效。CSA 表示，修订扩大了报告范围，涵盖怀疑由高级持续性威胁（APT）引起的事件，以及通过 CII 所有者控制下、与 CII 不相连的系统干扰基本服务的事件，并把第三方拥有的 CII 纳入监管。方向很清楚：更多系统、更多事件类型、更多机构被纳入 2 小时的时限。

MAS 科技风险管理通知：1 小时

受新加坡金融管理局（MAS）监管的金融机构，须遵守 MAS 按牌照类别分别发出的《科技风险管理通知》。通知要求机构在发现相关事件后尽快、且不迟于 1 小时通知 MAS，并在发现后 14 日内提交根本原因和影响分析报告。

1 小时是本报告中最短的固定时限，几乎没有给以小时计算的服务商升级步骤留下空间。对于把监控外包出去的新加坡受监管机构，服务商必须在响应的最初几分钟就参与进来，而不是事后才向它汇报。外包方面更全面的要求，可参阅我们的 MAS TRM 外包 IT 清单。

PDPA：认定须通报后 3 个日历日

根据《2012 年个人资料保护法》（第 26A 至 26E 条）及《2021 年个人资料保护（资料外泄通报）条例》，机构在评估资料外泄事件属须通报后，须于 3 个日历日内通知个人资料保护委员会（PDPC）。若事件可能对受影响个人造成重大伤害，或影响 500 人或以上，即属须通报。机构也须尽快对怀疑的外泄事件进行评估。与香港不同，新加坡的私隐时钟是强制性的，几乎适用于每一家持有个人资料的机构。

美国：规定分散，但有一项条款值得照搬

美国没有统一的事件报告法律。一家公司可能同时面对证券披露时钟、银行业时钟、消费金融时钟、尚未生效的关键基础设施时钟，以及五十个州的资料外泄法，取决于它是什么机构。

SEC 表格 8-K 第 1.05 项：认定重大后四个工作日

美国证券交易委员会（SEC）关于网络安全风险管理及事件披露的规则（第 33-11216 号公告，2023 年 7 月 26 日通过）要求上市公司在认定网络安全事件属重大后四个工作日内，以表格 8-K 第 1.05 项披露。重大性认定本身须在发现事件后不无理拖延地作出。2024 年 5 月，SEC 职员澄清第 1.05 项适用于公司已认定为重大的事件，其他事件可以通过其他项目自愿披露。

银行规则：36 小时，以及服务商的义务

美国货币监理署（OCC）、联邦储备局和联邦存款保险公司（FDIC）联合发布的《计算机安全事件通知规则》于 2022 年 4 月 1 日生效，2022 年 5 月 1 日起须遵守。银行机构在认定发生须通知事件后，须尽快、且不迟于 36 小时通知其主要联邦监管机构。

这项规则的后半部分，是本报告中最有用的一项条文。它直接对银行服务商施加义务：服务商一旦认定发生了计算机安全事件，且该事件已经或相当可能使所涵盖的服务出现四小时或以上的重大中断或降级，就须尽快通知每一家受影响的银行客户。换句话说，监管机构已经替服务商写好了对客户的通知条款。它没有让银行自己去谈判，而是直接约束服务商，用的是"尽快"，而不是"一天内"。

FTC 保障规则：非银行金融机构 30 日

美国联邦贸易委员会（FTC）修订了《保障规则》，要求按揭经纪、安排融资的汽车经销商、报税服务商等非银行金融机构，在发现涉及 500 名或以上消费者未加密资料的须通知事件后，尽快、且不迟于 30 日通知 FTC。修订自 2024 年 5 月 13 日起生效。

CIRCIA：72 小时，但尚未生效

《2022 年关键基础设施网络事件报告法》（CIRCIA）将要求受涵盖实体在 72 小时内向网络安全和基础设施安全局（CISA）报告受涵盖的网络事件，并在 24 小时内报告赎金支付。这些义务要到 CISA 的最终规则生效后才开始。截至 2026 年 10 月 31 日，最终规则尚未公布；CISA 的 CIRCIA 页面说明，在最终规则生效日之前，机构无须根据 CIRCIA 提交报告。行业媒体报道，CISA 在 2025 年 10 月的法定期限过后，于 2026 年 10 月 1 日把最终规则送交白宫管理和预算办公室审查。在联邦公报正式公布之前，看到的任何时间表都只应视为预测。

各州资料外泄法

美国 50 个州都有各自的资料外泄通知法，触发条件和期限各不相同，由全国州议会联合会（NCSL）汇编索引。我们不在这里把它们归纳成一个数字，因为根本没有一个统一的数字。

各时钟并排对比

下面把每项规定压缩成一行：约束谁、什么时候开始计时、第一个期限、后续报告。按时限由短到长排列。

• MAS 科技风险管理通知（新加坡）： 约束受 MAS 监管的金融机构；发现相关事件时开始计时；不迟于 1 小时通知 MAS；14 日内提交根本原因和影响报告。
• 《2018 年网络安全法》（新加坡）： 约束 CII 所有者（2025 年 10 月 31 日起范围扩大）；知悉时开始计时；2 小时内通知 CSA；14 日内提交补充资料。
• 金管局指引（香港）： 约束认可机构；知悉重大事故时开始计时；立即通知；没有固定小时数。
• 证监会《操守准则》（香港）： 约束持牌人和注册人；发生重大违规或重大系统故障（包括重大网络安全事件）时开始计时；立即报告；没有固定小时数。
• 第 653 章（香港）： 约束被指定的关键基础设施营运者；知悉时开始计时；严重事件 12 小时，其他事件 48 小时；14 日内提交书面报告。
• 美国银行规则： 约束银行机构；认定须通知事件时开始计时；36 小时内通知监管机构。银行服务商在发生达四小时或以上的符合条件的中断后，须尽快通知受影响的银行客户。
• SEC 第 1.05 项（美国）： 约束上市公司；作出重大性认定时开始计时；四个工作日内提交。
• PDPA（新加坡）： 约束持有个人资料的机构；评估为须通报时开始计时；3 个日历日内通知 PDPC。
• FTC 保障规则（美国）： 约束非银行金融机构；发现影响 500 名或以上消费者的须通知事件时开始计时；30 日内通知。
• CIRCIA（美国）： 将约束受涵盖的关键基础设施实体；受涵盖事件 72 小时、赎金支付 24 小时；截至 2026 年 10 月 31 日尚未生效。
• PDPO（香港）： 截至 2026 年 10 月 31 日没有强制通报；依私隐公署指引自愿通报。

有两点很突出。第一，其中五个时钟以小时计算或要求"立即"，而这五个都适用于本报告所针对的受监管行业：银行、持牌证券公司、其他金融机构和关键基础设施。第二，没有写明小时数的制度——金管局和证监会——并不因此更宽松。"立即"比任何数字都紧。

时钟对 IT 服务合同意味着什么

如果受监管企业的时钟以小时计算，而它的"知悉"通常始于服务商，那么服务商合同就是企业报告能力的一部分。为非受监管客户写的通知条款，例如"不无故拖延"或以一天为单位的期限，作为默认条款是合理的。但对于受上述前五个时钟约束的客户，单靠它并不够。

真正起作用的是以下五项条款。这是我们预期受监管客户的律师会去找的条款，也是服务受监管客户的服务商应准备好接受的条款。

• 明确的检测义务。 合同写明服务商监控什么（终端、邮件、身份、防火墙、云端日志）、在什么时段监控、由什么工具发出告警。通知条款的速度，取决于背后的监控。
• 短于客户最短监管时限的服务商对客户通知时间。 如果客户适用的最短时钟是 1 小时，服务商通知客户指定联系人的时间就需要以分钟计算；如果是 12 小时，几个小时或许可行。这个数字应写进合同，而不是停留在假设里。
• 非办公时间也有效的指定升级路径。 凌晨两点发到共用邮箱的通知，不会启动任何人的响应。合同写明联系谁、怎样联系、按什么顺序，以及对方不接听时怎么办。
• 证据保全和一份事实性的初步报告。 服务商保全日志和受影响系统的证据，并以客户可直接用于其监管报告的形式，提供一份简短的事实摘要。是否报告、报告内容由客户决定和签署。
• 配合后续报告。 第 653 章、MAS 通知和新加坡 CII 条例都要求在 14 日内提交书面跟进报告。服务商的根本原因分析必须及时提供，才能用于这份报告。

美国银行规则是第二项条款最清晰的范本。它没有给服务商一个小时数，而是要求"尽快"，并明确定义触发条件。一家已经为美国银行客户接受这一标准的服务商，已经证明这项条款可以写出来，也可以执行。

成本

以分钟计算的合同通知时间，只有在凌晨两点有人值守时才有意义。因此报告时钟既是法律问题，也是产品问题：7×24 小时检测、安全运营职能和升级值班表都是有成本的服务，而成本不会因为条款写了"立即"就消失。事件发生时要付出多少代价，可参阅我们的 网络安全事件成本上升：对 IT 服务商和其客户意味着什么；本报告讨论的是法律时钟，而不是账单。

香港的具体情况：三类买家，三个不同的时钟

由于香港是本报告的重点，有必要说明同一种服务商关系可以带有三个不同的时钟。

• 持牌资产管理公司（证监会第 4/9 类）： 根据《操守准则》，它的时钟是"立即"。服务商需要在怀疑发生事件时就通知它，而不是等到确认之后，因为证监会表示过报告不应等待内部调查完成。
• 为银行提供服务的金融科技公司： 它不是认可机构，但它的银行客户是，银行的"立即"会出现在这家公司的供应商合同里。它的服务商的通知时间，就成了银行报告链条的第一环。
• 被指定关键基础设施营运者的 IT 或设施供应商： 它本身没有被指定，但营运者在第 653 章下的 12 小时时钟会写进它的合同。它自己的 IT 服务商，则在同一条链条上再往后一步。

在这三种情况下，公司本身的规模都无关紧要。决定时钟的，是公司受谁监管，或为谁供货。

Brocent 自身的立场

Brocent 销售的正是时钟所要求的检测和升级服务，读者在阅读本节时应考虑这一点。

对于受监管客户，Brocent 会在每位客户的订单表格（Order Form）中，与客户另行约定事件报告和升级时间，独立于标准服务条款。订单表格会根据该客户实际适用的监管时钟设定服务商对客户的通知时间，写明升级联系人和时段，并说明客户会收到哪些证据和初步报告。一家负有"立即"报告义务的持牌法团，与一家不受监管的贸易公司，所需的条款不同，得到的条款也不同。

我们公布的 服务水平 列出了按优先级划分的首次响应、上门和解决目标，以及 8×5 办公时间支持与 7×24 小时支持的区别；以分钟计算的通知条款，只有在背后有 7×24 小时支持时才有意义。持续检测通过我们的 安全运营中心服务 和 SIEM 提供，按客户范围单独报价；关于 SOC 和 SIEM 的常见问题 说明了它们与管理型IT外包服务方案的关系。香港客户可在我们的 香港 IT 支持页面 了解方案内容，或 获取香港报价；新加坡客户可从 新加坡 IT 支持页面 开始。

我们不做的是：代客户向监管机构提交报告、就证券法目的判断事件是否重大，或就适用哪项制度提供法律意见。这些决定属于客户及其律师。

本报告不作的声明

• 本文不构成法律意见，也不说明任何特定公司适用哪项制度。
• 本文不声称对各项制度的概述是完整的；每项规定都有在真实事件中至关重要的定义、门槛和豁免。
• 本文不比较中国内地的事件报告规定，这不在讨论范围内。
• 本文不把 CIRCIA 的时间表作为事实陈述；截至 2026 年 10 月 31 日该规则尚未生效。
• 本文不把 PDPO 修订作为法律陈述；截至 2026 年 10 月 31 日它仍是建议。
• 本文不提供任何关于平均检测时间或事件成本的统计数字；这些内容属于上文链接的事件成本报告。

常见问题

香港的网络安全事件报告要求是什么？

取决于公司是什么机构。第 653 章下被指定的关键基础设施营运者，严重事件须在 12 小时内、其他事件须在 48 小时内报告，并在 14 日内提交书面报告。金管局认可机构在知悉重大事故后应立即通知金管局。证监会持牌法团须立即报告重大违规和重大系统故障，包括重大网络安全事件。根据 PDPO，截至 2026 年 10 月 31 日，向私隐专员通报资料外泄属自愿性质。

《保护关键基础设施（电脑系统）条例》适用于我的公司吗？

只有当你的公司被指定为关键基础设施营运者时才适用。大多数 30 至 300 人的公司不会被指定。但如果你为被指定营运者提供 IT 或其他服务，仍可能感受到它的影响，因为营运者须管理依赖第三方的系统的安全，它们的 12 小时时钟会出现在供应商合同中。

新加坡最短的事件报告期限是多久？

对受 MAS 监管的金融机构，MAS《科技风险管理通知》要求在发现相关事件后尽快、且不迟于 1 小时通知。对《2018 年网络安全法》下的 CII 所有者，是知悉后 2 小时。

CIRCIA 的 72 小时报告规则已经生效了吗？

截至 2026 年 10 月 31 日尚未生效。CIRCIA 的 72 小时（受涵盖事件）和 24 小时（赎金支付）义务，要到 CISA 的最终规则生效后才开始，CISA 也说明在此之前无须提交报告。

对受监管客户，IT 服务商的事件通知条款应该怎么写？

至少包括：服务商监控什么、在什么时段；短于客户最短适用监管时限的服务商对客户通知时间；非办公时间也有效的指定升级路径；证据保全和事实性的初步报告；以及及时配合后续报告。美国银行规则对服务商施加的义务，是一个有用的范本。

Brocent 会代我们向监管机构报告吗？

不会。是否达到报告门槛由受监管公司自己判断，并由其自行提交报告。对受监管客户，Brocent 的角色在订单表格中按客户约定：检测、在约定时间内升级通知你的指定联系人、保全证据，并提供你报告所需的事实。

香港会引入强制性资料外泄通报吗？

自 2020 年起已有建议，但截至 2026 年 10 月 31 日，我们未发现有落实该建议的修订条例草案提交立法会。向私隐公署通报仍依其 2023 年 6 月的指引自愿进行。可留意立法会的条例草案清单。

资料来源

各项立场以 2026 年 10 月 31 日为准。香港：《保护关键基础设施（电脑系统）条例》（第 653 章）及香港特区政府 2025 年 6 月 27 日关于条例生效的新闻公报；关键基础设施（电脑系统安全）专员办事处《实务守则》1.0 版；金管局 2010 年事故应变及管理程序通函及 2024 年新闻稿；证监会《操守准则》第 12.5 段、2017 年致持牌法团通函及《2023/24 年度持牌法团网络保安专题检视报告》（2025 年 2 月 6 日）；私隐公署《资料外泄事故的处理及通报指引》（2023 年 6 月）及私隐公署关于 2024 年和 2025 年通报数字的声明；政制及内地事务局 2020 年提交立法会政制事务委员会的文件。新加坡：《2018 年网络安全法》及《2018 年网络安全（关键信息基础设施）条例》；CSA 关于《2024 年网络安全（修订）法》生效的新闻稿；MAS《科技风险管理通知》；《2012 年个人资料保护法》及《2021 年个人资料保护（资料外泄通报）条例》。美国：SEC 第 33-11216 号公告（2023 年）及 SEC 职员声明（2024 年 5 月）；OCC、联邦储备局和 FDIC《计算机安全事件通知规则》（2021 年通过，2022 年生效）；FTC 保障规则修订（2024 年 5 月 13 日生效）；《2022 年关键基础设施网络事件报告法》及 CISA 的 CIRCIA 页面；NCSL 各州资料外泄通知法索引。