企业系统因设备故障长时间中断，但暂未发现个人信息泄露，负责人是否可以只等运维商修好，不作网络安全事件报告？国家网络安全事件报告管理办法关注系统、数据和业务受到的危害，并不以已经查明泄露客户资料为唯一条件。先判断事件类别和级别，才能确定接收部门与时限。
不是只有黑客窃取资料才可能构成事件
办法自二〇二五年十一月一日起施行。第十二条将人为原因、软硬件缺陷或故障、不可抗力等造成的系统和数据损害、业务中断等危害或者负面影响纳入定义。不能只因为故障发生在自家机房，或者没有找到攻击者，就直接排除适用。
不过，普通设备短暂故障也不能不加判断全部宣称达到较大事件。应记录系统性质、服务范围、中断起止、主要功能、影响人数和直接损失，按附件分级指南对应。技术人员的已恢复结论只反映当前状态，不能抹去已经发生的中断及影响。
先按系统和业务影响核级别
附件对较大事件列出重要网络和信息系统损失、较严重公共影响等条件，并列通常可判别的情况。例如关键信息基础设施整体中断十分钟以上或者主要功能中断三十分钟以上，是其中一类指标；普通公司不能未经认定便把自身全部系统都当成关键信息基础设施。
分级还涉及公共服务影响、直接经济损失等，符合更高级别时不能只挑较低的一项。企业应保存判断依据和当时可知事实，必要时向相应主管部门核实。信息不完整不等于可以一直不分级，也不宜将尚未核定的估计人数或损失写成确定事实。
较大以上事件按主体分路径报告
第四条规定，关键信息基础设施运营者向保护工作部门和公安机关报告，最迟不超过一小时；中央和国家机关各部门及其直属单位向本部门网信工作机构报告，最迟不超过两小时；其他网络运营者向属地省级网信部门报告，最迟不超过四小时。起点是发现或者获知发生事件。
这些路径不能按自己方便任选。行业另有规定的还需按要求同时报告，涉嫌犯罪应及时向公安机关报案。个人信息通知、向客户说明故障和向主管部门报告并非同一事项；发了一则服务暂停公告，不等于已经完成法定报告。
原因未查清可以先报必要信息再补充
第七条要求报告单位及设施、事件发现发生时间、类型级别、影响及已经采取的措施等。无法及时查清原因、影响或趋势时，可以先按规定报告单位及时间、事件类型级别等必要内容，其他内容补报；有新重大进展或者调查出现新重要情况，要及时续报。
因此，不应为等一份完整根因报告而错过初报。初报需明确哪些已经核实、哪些仍在调查，保存发送、接收及更新记录，避免先宣称零影响后又无说明地改变数据。报告所需资料通过受控渠道提交，不将含账号、密钥或个人信息的完整日志公开散发。
外包分工和处置总结接续落实
第五条要求在运维、监测、安全服务合同中约定服务商发现事件及时报告运营者并协助依法报告，不能只写修复交付而没有通知和证据协助。第八条要求处置结束后三十日内按原渠道报送总结，说明原因、措施、危害及整改等，不是恢复业务后便删掉记录。
巴南企业可形成系统及影响分级表、首次获知与初报续报时间线、外包联络与总结资料目录。及时报告并合理处置可依法影响责任评价，但不是承诺任何事件均免罚。律师与技术人员应分别核法律路径和技术事实，不把咨询意见当作安全技术鉴定或结果担保。