关键信息基础设施遭遇网络攻击后是否需要上报，通常取决于事件的性质、影响范围与后果程度。对达到重大网络安全事件标准，或者已经形成重大网络安全威胁的情形，《关键信息基础设施安全保护条例》为运营者设定了向保护工作部门、公安机关报告的义务；其内涵主要涉及适用对象、触发条件、报告去向以及不履行义务的法律后果等方面。
一、关键信息基础设施与运营者指什么？
从范围来看，关键信息基础设施通常指公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务、国防科技工业等重要行业和领域中，一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的重要网络设施、信息系统等。这一界定出自《关键信息基础设施安全保护条例》，该条例由国务院公布，自2021年9月1日起施行。
具体到某一设施或系统是否纳入保护范围，需要依据保护工作部门结合本行业、本领域实际制定的认定规则，履行认定程序后确定，认定结果由保护工作部门通知运营者。运营者一般指这些设施、系统的所有者与管理者，其义务并不止于技术防护，还包括设置专门安全管理机构、开展安全监测与风险评估、制定应急预案并组织演练等。
二、报告义务的规范依据有哪些？
网络攻击的报告义务并非只由一部规范承载。不同层级的规范分别从网络安全事件、数据安全事件、关键信息基础设施保护等角度提出要求，形成彼此衔接的义务群。
| 规范文件 | 发布主体 | 与报告义务相关的内容 |
|---|---|---|
| 《中华人民共和国网络安全法》 | 全国人民代表大会常务委员会 | 发生危害网络安全的事件时，网络运营者应启动应急预案、采取补救措施，并按规定向有关主管部门报告 |
| 《中华人民共和国数据安全法》 | 全国人民代表大会常务委员会 | 发生数据安全事件时，应立即处置，按规定告知用户并向有关主管部门报告 |
| 《关键信息基础设施安全保护条例》 | 国务院 | 发生重大网络安全事件或者发现重大网络安全威胁时，运营者应向保护工作部门、公安机关报告 |
| 《国家网络安全事件应急预案》 | 中央网信办 | 对网络安全事件的分级、报告与应急响应作出安排 |
其中，条例第十八条针对关键信息基础设施运营者提出的报告义务，属于专门化、加严的安排：触发条件被设定为“重大网络安全事件”与“重大网络安全威胁”两类情形，报告对象明确为保护工作部门与公安机关。前者对应行业主管监管渠道，后者对应公共安全渠道，双线报告有助于技术处置与秩序维护同步展开。
三、哪些情形会触发上报义务？
就条文表述而言，已经发生的重大网络安全事件与尚未造成实际破坏的重大网络安全威胁，均可能触发报告义务。这一并列结构说明，报告义务的起算点并不局限于损失出现之后，当攻击迹象、漏洞利用或入侵行为足以形成重大威胁时，报告义务即可能产生。
事件是否达到“重大”，通常参照《国家网络安全事件应急预案》的分级思路以及行业主管部门的具体规定，综合系统停运时间、影响地域与用户规模、数据泄露范围、业务中断程度、对公共利益的影响等因素判断。不同行业在分级标准上存在差异，同类攻击在不同系统上造成的后果也可能相去甚远。
报告内容一般需要覆盖以下要素：
- 事件发生的时间、地点与涉及的系统范围；
- 事件类型与初步判断的影响程度；
- 已采取的处置措施及其效果；
- 事态可能的发展方向与需要协同支持的事项；
- 报告单位、联系人与联系方式。
此外，行业监管规定、企业安全管理制度以及采购与合作协议，可能设定比条例更早或更细的报告要求。事件在处置过程中升级的，报告义务也随之变化，初次报告之后仍有必要续报进展。
四、强制报告为什么被写入法规？
单个运营者的观测范围相对有限，攻击者却可能借助供应链关系、横向渗透或漏洞复用，把影响扩散到同行业乃至跨行业的系统。统一报告使分散的局部信息得以汇聚，监管部门据此形成态势判断，并向潜在受影响主体发出预警；处置力量也能在更短时间内完成协同，避免同类攻击重复得手。
从法律责任来看，条例在法律责任部分对未按规定报告的情形设定了责令改正、警告、罚款等后果，对直接负责的主管人员亦有相应处罚安排。迟报、漏报、瞒报所影响的并不只是单一主体的合规状态，还可能延误公共层面的风险控制，造成损失扩大。
总结
关键信息基础设施遭遇网络攻击后的报告义务，建立在事件定级与威胁判断之上：达到重大事件标准或形成重大威胁的，运营者应当向保护工作部门与公安机关报告；未达到该门槛的，其他规范、行业要求与内部制度仍可能提出报告安排。报告义务的履行，依赖事件识别与定级、内部信息汇总、对外报告渠道三个环节的顺畅衔接，也依赖运营者对自身系统重要性与影响后果的持续把握。总体来看，这一制度把单个运营者的安全事件纳入公共风险治理的视野，其实际效果取决于报告的真实性、及时性与后续处置的协同程度。
常见问题（FAQ）
未达到“重大”程度的事件是否一律不用报告？
不宜作单一判断。条例设定的门槛针对重大网络安全事件与重大网络安全威胁，而网络安全法、数据安全法以及行业监管规定可能对一般事件提出通报要求，部分行业还设有更短的报告时限。事件在演变中升级的，报告义务随之产生，初次判断为一般的事件仍需保持跟踪。
上报是否等于承认自身存在责任？
报告属于法定义务与应急处置的组成部分，与事件原因的最终认定、责任划分并不等同。及时报告能够为处置争取时间，也有助于固定日志、流量与处置记录等材料；相反，迟报或瞒报往往使原因查清与损失控制都变得更为困难。
攻击已被阻断、未造成数据泄露，是否仍可能触发报告？
是否触发取决于影响范围与后果程度。若攻击造成关键业务中断、核心功能失效，或者虽被阻断但已显现出针对关键信息基础设施的重大威胁，仍可能达到报告条件。处置完成后对攻击路径、暴露面与潜在风险的评估，同样需要纳入是否报告、如何续报的判断。