Summary

  • 截至2026年6月，美国政府问责局在九个关键基础设施领域识别出37家联邦机构制定的117项现行网络安全相关规则。其中80项涉及三类主动上报义务，48项要求上报网络事件。
  • 审计指出事件定义、触发门槛、截止时间、报告内容和提交路径可能重叠或冲突。80这个数字统计规则类别，并没有证明一家企业要为同一次事件交80份重复报告。
  • 国家网络总监办公室负责牵头协调。到2026年7月审计结束时，新的国家网络战略尚无公开实施计划来分派机构职责和后续步骤。

入侵者只需找到一个入口，运营者得核对多本规则

网络安全事件刚被发现时，很多关键事实仍在变化。安全人员要确认告警是不是入侵、哪些系统受影响、服务能否继续、是否该隔离设备。监管机构希望及早得到信息，以便保护其他服务和公众。两种时钟本来就紧张；不同机构再各自设定事件定义、启动条件和提交格式，值班团队便要在技术调查尚未结束时做多套法律判断。

美国政府问责局2026年7月的报告把问题数了出来。审计人员在九个关键基础设施领域找到117项已生效的联邦网络安全相关规则，涉及37家机构。其中80项要求私营主体主动提交至少一种信息：网络事件、网络安全计划或其他技术资料、已完成的审计和评估。48项涉及事件，52项涉及计划或技术资料，25项涉及审计评估；一项规则可以落在几个类别里。80项规则合计至少有125个按类别计算的报告要求。

48项事件上报规则来自27家机构。审计院记录的差异包括什么情况算事件、严重到什么程度必须报、何时开始计时、要写哪些事实、送往哪个入口。对真实的值班人员而言，差异会落在同一张尚未填满的事故时间线上。发现异常的一刻，技术团队可能只能确认告警；法律团队却必须判断两个不同门槛是否已经越过。收件人越多，版本之间越需要校对。

这份36页原始审计文件划出的边界很重要。问责局按三类信息筛选可能的重复或冲突，没有逐一证明80项规则都让同一家企业重复填报，也没有计算一次真实事故因此损失多少响应时间。要把风险变成可核查的结论，还需要选定一个受监管运营者、一类事件，列出适用的每项规则、起算时点、收件机构和可接受的共同资料。那张对照表会揭示哪些请求确有不同公共目的，哪些只是相同事实换一套表格。

金融业的十五道门

金融业展示了这种交叉。按企业业务和监管身份不同，一家机构可能受到现行15项网络事件上报规则中的若干项约束。银行、证券、商品交易、消费者保护机构各有职责；一家兼做几种业务的运营者必须弄清对应关系。随后还可能遇到跨行业的新规则。审计时，依据《关键基础设施网络事件报告法》拟定的CIRCIA规则仍是提案，不能算进117项现行规则，也不能写成已经建好的统一上报通道。

CISA在提案讨论中考虑过“实质相似报告”例外：一份报告在条件满足时可同时履行两个制度的要求。真正有用的版本必须回答企业最实际的问题：谁有资格使用，哪些字段足够，哪个机构负责转送，企业凭什么确认两只钟都已停下。没有这些细节，一张共同表格也可能只替换了首页，后面仍要逐家投递。

报告负担还延伸到事故之外。为多家联邦机构提供服务的承包商，可能反复交相近的安全计划或审计证明。某些运输业主体按业务范围，最多可能面对七项要求安全计划的联邦规则。各机构在自己的收件箱里看到一个文件，企业却负责维护版本、证明更新时间和逐一回应差异。制度协调成本被放在了看不见的私人工作台上。

名义上的指挥棒，未公布的谱

国会把联邦网络安全规则协调任务交给国家网络总监办公室，简称ONCD。网络事件报告委员会的工作促成国土安全部2023年的八项建议，包括统一事件定义、上报期限和触发标准。联邦监管机构还建过跨机构论坛。2026年3月的新国家网络战略把减少无效负担和协调监管列为目标。这些步骤都留下了机构名称；运营者仍需要一套能照着执行的对应关系。

问责局按日期检查到的进展更刺眼。跨机构论坛自2024年末起没有活动。到2026年5月，国土安全部尚未报告那八项建议的处理状态。问责局在2025年9月和2026年6月向ONCD索取信息，截至后一个月份仍未收到答复。到2026年7月，新战略的实施计划也未公开。谁牵头改哪条规则、谁处理不同机构的时限冲突、共同提交由谁承认，都缺少可供外部核对的交付安排。

下一份有用的公共文件应该像航线图一样具体：每项规则适用哪些主体，何种事实触发，何时开始计时，必须提交哪些字段，由谁接收，哪些材料可以合法复用，回执由谁出具。政府还应指明维护这张图的机构和更新周期。然后找一个跨两个行业的运营者做演练，分别记录技术处置和上报流转。各机构能不能收到所需事实，运营者能不能继续专注于阻断攻击，答案会写在时间戳里。

公共安全需要及时报告。公共安全也需要让运营者在警报响起前，就知道报告该走哪条路。华盛顿有权要求信息，也有责任把自己的收件系统讲明白。

来源：美国政府问责局报告页面；问责局原始审计报告。