摘要

  • 英国现行 NIS 规则要求部长指定并公布一份国家战略，监管机构必须在履职时参考该战略。《网络安全与韧性法案》将删除这两项规定，并允许部长指定新的优先事项声明。
  • 法案把监管履责年度报告写成义务，但首个十二个月周期从第一份声明公布之日才开始。文本没有规定首份声明的公布期限；另一个更全面的制度评估则按法案通过日起每五年一次计算。

年度义务从哪里起算

如果议会想知道英国网络安全监管机构如何落实共同目标，最直接的问题似乎是：第一份年度报告什么时候交？《网络安全与韧性（网络与信息系统）法案》草案第28条给出的答案带有一个前提。首个报告期是从第25条下指定的第一份声明公布之日起算的十二个月。每一报告期结束后，主管大臣必须向议会提交报告并按其认为合适的方式公布。

这份报告需要概述监管机构在上一期如何履行有关义务，以及下一期准备如何履行。这里的措辞是“以一般方式”报告监管合规和计划。因此，年度报告的责任确实写进了文本；但第一年什么时候开始，取决于另一项发布行为。

关键在第25条。它说国务大臣“可以”指定优先事项声明，前提是遵循第26条程序。法案没有给首份声明设定最迟发布日期。把第25条与第28条合起来读，结论是：第一份声明发布后，年度报告义务随之运行；在此之前，法律没有固定日期可用来确定第一个年度周期何时开启。这是对拟议条文的推论，不代表政府会延迟发布声明。

从“必须制定”到“可以指定”

差别要放回现行法律看。2018年《网络与信息系统条例》第2条要求王室大臣指定并公布一份 NIS 国家战略。第3(6)条还要求指定的主管机关和 Information Commission 在履行职责时参考该战略。HL Bill 49 的附表2将删除这两处规定。

新机制并非只为旧文件换个名称。第25条允许部长设定政府在网络与系统安全方面的优先事项，说明各监管机构和相关主体的职责，并规定监管机构应努力实现的目标。只要声明仍处于指定状态，第27条就要求监管机构参考声明并寻求实现相关目标。2月下议院委员会审议时，政府部长称新声明将取代现行国家战略；他也解释，三年内原则上不能改动声明，是为了给监管机构提供规划稳定性。

这一安排有清楚的政策理由。英国政府称，NIS 体系由十二个行业监管机构执行。能源、医疗、通信、供水和数字服务面对的威胁不同，保留监管机构的行业知识能够帮助它们按风险采取措施。另一方面，政府也说，分散执行有时会导致监管做法不一致。一份跨行业声明可以设定共同方向，同时避免把所有部门硬套进同一套细则。

但“必须”与“可以”并不等价。现行法规把国家战略作为持续性的法定要求；法案则让新的监管义务以部长是否指定一份声明为条件。文本没有要求部长公布启动日程，也没有为首份声明设定最后期限，未公布时也不要求解释。这意味着制度的第一步交由行政部门选择。

有审查程序，却没有启动期限

部长决定推进后，第26条规定的程序并不轻。部长必须就声明草案咨询监管机构，至少给予四十天回应。咨询期结束后，部长应考虑意见并将声明提交议会。之后还有一个四十日期间；如上下两院中任一院在该期间决议不予批准，声明便不能获得指定。

这套程序让监管机构有时间回应，也让议会有机会否决文本，却没有规定什么时候必须启动咨询。声明获指定后，三年内一般不得修订或撤回。如果举行了议会大选，或国务大臣认为政府政策或威胁性质发生重大变化，则可例外提前变更。设计者试图在长期规划的稳定性与应对变化之间取平衡；但这不等于规定第一份声明要在何时发布。

报告本身也不能被误读成全制度的绩效审计。第28条的任务，是概述监管机构如何履责及下一年度的安排。议会可以据此提出问题，也能比较不同机构的做法。不过该条没有要求部长独立核查攻击事件是否减少、公共服务是否更快恢复、整体韧性是否提高。合规过程与最终结果是两类证据。

五年评估回答另一类问题

第40条设有第二个时钟。国务大臣至少每五年向议会提交一次更全面的报告，起算点是法案通过之日。报告要评估相关 NIS 法律的运行情况、目标是否实现且仍然适当、能否用负担更轻的办法达到目标，以及政府在法案下行使权力的情况。

上议院宪法委员会认为，网络安全领域变化很快，而法案又赋予国务大臣重要权力，五年间隔过长，建议更频繁地报告。10月13日，Clement-Jones 勋爵提出修正案，拟把第40条中的“五年”改成“两年”。截至本文研究截止日，这仍是 Report 阶段的提案，并未成为法案文本。即使获通过，它也只会缩短全面评估的周期，并不会单独设定首份第25条声明的发布日期，也不会启动第28条的首个年度周期。

此前在下议院委员会讨论时，政府为五年周期辩护，理由是跨行业制度的完整评估需要时间；年度声明报告可以更频繁地查看监管活动。这两种监督并不互相替代：年度报告描述监管机构的活动，制度评估则考察法律效果、目标和替代方案。而且，在第一份声明发布前，年度报告连自己的首个起算点都没有。

截至2026年10月14日，法案仍在上议院审议。9月7日经大委员会审议修订的 HL Bill 49 是最新印制版本，Report 阶段排定于10月26日。它还不是法律。10月13日的修正案清单记录的是待审提案，并非议会已经作出的决定。未来是否生效，还取决于法案通过和相关条款的实施安排。

议会面临的选择，不只是要不要年度报告。更具体的问题是，第一年应否从行政部门未来选择的公布日开始，还是法律应要求一个可核验的启动时间。为首份声明规定期限，可以保留监管机构咨询和议会审查，同时让外界知道监督何时起步。也可以要求在声明尚未发布时先报告监管准备情况，但必须说清楚监管机构此时能提供什么信息。无论选哪条路，都能让“等待启动”变得可见。

从强制国家战略转为可选择声明，可能增加政策灵活性，也可能带来更一致的监管方向。与此同时，首个年度问责周期被放在一个没有固定日期的发布节点之后。声明一旦发布，报告就是法定义务；在那之前，议会和公众没有一个固定起点可以据以衡量等待时间。

来源