摘要

  • 2023 年 3 月 2 日颁布的《2023 年通信监管与数字枢纽发展署（修正）法》第 11(1) 条要求运营商「不得无故延迟」向 ComReg 通报有重大影响的安全事件，法律本身没有规定任何小时数或天数。
  • 24 小时、72 小时与 30 个自然日这三道期限并不来自法律，而来自监管机构的决定文件 D08/24；它在该义务生效后 297 天才公布。
  • 沉默有两个价码：简易程序定罪最高 5 000 欧元，行政程序的天花板则是 500 万欧元与爱尔兰营业额 10% 中的较高者，且必须经 High Court 确认才生效。
  • 外部第三方每年唯一能核对的数字是一个总量：2024 年 15 起事件，2023 年 16 起；而记录的用户小时损失从 22 818 885 升至 32 574 831。

2023 年 6 月 9 日，任何在爱尔兰提供公共电子通信网络或公开可用电子通信服务的运营商，一旦发生有重大影响的安全事件，就必须向某个机构交代。这个机构不是 National Cyber Security Centre，而是通信监管委员会（Commission for Communications Regulation，ComReg）。该法颁布文本第 11(1) 条写得很清楚：向监管机构通报，「不得无故延迟」。第 11(4) 条补充了持续报告处置与修复进展的义务；第 12(1) 条还要求运营商把可采取的防护措施或救济手段、并在适当情形下把威胁本身告知可能受影响的用户。

这就是法律里包含的全部时间信息。「不得无故延迟」是一种表述，不是一只时钟。爱尔兰这条链的有趣之处正在这里：时钟来得更晚，而且不是立法者装的。随 ComReg 24/23 一同公布的 D08/24 决定文件，日期为 2024 年 4 月 2 日，规定了通报门槛、信息要求与阶段划分：尽快、且在最初 24 小时内提交初次报告；若尚未解决，在 72 小时内更新；通报解决状态；并在重大事件报告后 30 个自然日内提交包含根因分析的完整更新。同一份文件第 140 段把 24 小时窗口锚定在运营商「发现」问题之时，而不是事件发生之时。

从义务生效到这份文件公布，中间隔着 297 天。这是我对两个已公布日期所做的算术：一个是 2023 年第 299 号法定文书第 2 条指定的 2023 年 6 月 9 日（该文书于 2023 年 6 月 6 日制定），另一个是 ComReg 24/23 封面上的 2024 年 4 月 2 日。这恰好说明这条链的性格：先有义务，很久之后才有秒表。法律自身从颁布到生效也用了 99 天——2022 年第 86c 号法案最终印本记录了 2023 年 2 月 22 日两院通过——而生效文书记录了 2023 年 6 月 13 日的公告刊登。

沉默的价码也不是一个数字。第 11(8)(a) 条把未履行第 11 条通报义务定为犯罪，可经简易程序判处 A 类罚金。金额不在通信法里，而在 《2010 年罚金法》第 3 条：A 类罚金指不超过 5 000 欧元的罚金。这是简易程序的法定上限，不是固定费率，也不是任何案件中实际观察到的处罚。

另一个价码属于行政程序，量级完全不同。第 11(7) 条与第 60(1)(a) 条把第 11 条项下的义务接入第七部分；第 90(2) 条与第 91(1)(a)–(b) 条规定了整改指令与经济处罚；第 94(5)(a) 条把非自然人的上限设为 500 万欧元与爱尔兰营业额 10% 中的较高者，营业额取最后一次违规所在财政年度前一年度结束时的数字。第 92(1) 条要求行政制裁须依第 109 条经 High Court 确认方才生效，第 90(3) 条则禁止对已作为裁定违规处理的行为再行刑事追诉。第 63(3) 条允许在 ComReg 选择不走简易程序、或在移送后未进入刑事程序时改走行政程序。ComReg 的《裁决程序指引》25/03a完整描述了这条路径：经委员会同意由授权官员移送、包括停止或整改、经济处罚、退款与赔偿在内的制裁清单，以及在例外与涂黑处理后公布已确认的裁决；其第 8.2 段确认，未经 High Court 确认，任何制裁都不生效。

5 000 欧元与 500 万欧元之间相差 1 000 倍。这是两个法定上限之间的距离，不是任何一桩已观察到的处罚，但它恰好描述了这套设计：那条快而便宜的通道，用任何大型运营商都不会皱眉的金额来惩罚沉默；那条昂贵的通道，则要求立案、取得司法确认并把结果公开。

还有一个名字缺席了。在本文所读的颁布文本中，找不到 National Cyber Security Centre。第 5 条把 CSIRT 定义为部门内的事件响应单位，第 16(1)(a) 条允许 ComReg 与其协商、合作、交换信息并获取协助。除此之外，该文件没有给它指派一般职能。NCSC 自己的 CSIRT-IE 页面把该团队描述为 NCSC 内部机构，为全国范围的构成单位提供事件响应协助，主要服务政府机构与关键国家基础设施提供者，并列出了监测、预警、响应、风险分析以及参与 CSIRT 网络等职责。这是一段没有日期的组织描述，并未把 2023 年这部法律列为其职责的法源。

剩下的就是外部真正能核对的那个数字。第 11(9) 条要求向部长、欧盟委员会与 ENISA 提交关于所收通报及所采取行动的年度摘要。ComReg 的网络事件页面确认了这份摘要，指明 ComReg 24/23 与 D08/24 构成通报框架，并把运营商引向 Data.ComReg 的通报门户。数字则出现在年度报告里。2023 年报告 ComReg 24/53记录 2023 年通报 16 起，2022 年为 12 起，用户小时损失 22 818 885 小时。2024 年报告 ComReg 25/42R日期为 2025 年 7 月 1 日，记录 2024 年 15 起，2023 年为 16 起，用户小时损失 32 574 831 小时。

两个小时数相差 9 755 946，高出约 43%。这是我对发布方两组总数所做的算术，不宜再延伸：报告并未说明用户小时总数只取自向 ComReg 通报的事件，所以用小时数除以事件数会得出一个没有任何文件支撑的数字。材料能支撑的是方向：事件少了一起，损失的小时数却多了极多。

这套框架本身也没有静止。25/84 号咨询文件日期为 2025 年 12 月 5 日，根据「Éowyn 风暴」的经验，提议修改与天气相关的通报模板、通报频率与时限，以及事件重大性的地理评估方式。这些是提议：我没有确定其最终处置，而且该文件封面同时把版本标注为 FINAL，这并不能把一份咨询文件变成生效决定。

两个具体边界，限于我实际读到的材料。网络事件页面没有逐家展示运营商的申报内容或接收时间戳，而我也没有访问需要认证的提供方门户；门户链接并不证明所提交的内容对外公开。而在我审阅的那一组材料中——该法、D08/24、裁决指引以及两份年度报告——我没有确认到任何针对具名运营商、因第 11 条而发起的追诉、制裁或经 High Court 确认的裁决。

还有一处与法律文本相矛盾的表述，应当连同来源一起说明：ComReg 的裁决部门主管招聘页面描述行政经济制裁最高可达 1 000 万欧元或营业额的 10%。颁布文本写的是 500 万欧元。我没有确定这一差异的原因，也不把这处表述当作有效上限使用。

本文相对于同一名录条目上既有报道所增加的，是具体的一件事。此前两篇——2026 年 10 月 21 日一篇讲英国政府工作流中一条评论即可执行代码，2026 年 10 月 10 日一篇讲瑞士计划制定独立网络安全法——都没有检验爱尔兰这条链：义务本身、它的收件人、由监管机构制造的时钟、被劈成两半的价码，以及外部第三方真正读得到的那个总量。这就是本文检验的内容。

什么会改变这一判断，同样具体。一起依第 11 条提起的追诉、一份经确认并公布的裁决，或者一份按运营商与通报时点分列的年度报告，都会把这个总量变成一个可核验的问责记录。在这些出现之前，爱尔兰有工具、有价码、有计数器；在我读到的材料里，它缺的是让人知道谁迟到了的方法。

本文所写的对象见 National Cyber Security Centre 名录条目。