CISA延长网络事件报告规则制定期限

2025年9月10日，Kim Peretti和Scott Hilsen撰文指出，美国网络安全和基础设施安全局已延长其发布关键基础设施实体强制事件报告最终规则的截止期限。原定于2025年10月的截止日期被推迟六个月至2026年5月。

法规背景

根据2022年通过的《关键基础设施网络事件报告法》，关键基础设施实体必须向CISA报告网络安全事件和赎金支付情况。法规要求CISA通过适用规则明确报告义务细节，但规定了具体报告时限：实体在合理认为发生"重大网络事件"后72小时内，或支付赎金后24小时内必须提交报告。

规则制定进程

• 2022年9月：CISA发布信息请求，并举办系列利益相关方听证会
• 2024年3月27日：CISA宣布拟议规则，并于次周发布规则制定通知
• 公开征询期：就拟议规则开展书面意见征集

延期影响

面对大量公众意见，CISA决定将规则最终化期限延长六个月。这一延期既为CISA整合反馈意见、优化事件报告要求提供了必要时间，也使关键基础设施实体获得更长的合规准备期。根据联邦法律，规则在《联邦公报》发布后至少30天才正式生效。

临时建议

在最终规则发布前，CISA鼓励相关实体通过report@cisa.gov或电话(888) 282-0870分享异常网络活动和/或网络事件信息。