漏洞按規定報送，修補前不公開細節、不發利用工具、不交給境外

成本

不花錢。把漏洞報給產品提供者，或者報給官方平臺。廠商修好之前，不發細節，也不發驗證程式碼

收益

這份規定管三類物件：境內的網路產品提供者、網路運營者，以及從事漏洞發現、收集、釋出等活動的組織或者個人。任何組織或者個人，不得利用漏洞從事危害網路安全的活動，不得非法收集、出售、釋出漏洞資訊。向社會發布漏洞資訊要守五條。第一，不得在產品提供者提供修補措施之前釋出。第二，不得釋出網路運營者在用的網路、資訊系統及其裝置存在漏洞的細節情況。第三，不得刻意誇大危害和風險，不得利用漏洞資訊實施惡意炒作或者詐騙。第四，不得釋出或者提供專門用於利用漏洞從事危害網路安全活動的程式和工具。第五，釋出時應當同步釋出修補或者防範措施。另外，未公開的漏洞資訊，不得提供給產品提供者之外的境外組織或者個人。規定鼓勵把漏洞報給四個官方平臺。一是工業和資訊化部網路安全威脅和漏洞資訊共享平臺。二是國家網路與資訊安全資訊通報中心漏洞平臺。三是國家計算機網路應急技術處理協調中心漏洞平臺。四是中國資訊安全測評中心漏洞庫。違反規定收集、釋出漏洞資訊的，由工業和資訊化部、公安部依據各自職責依法處理。構成網路安全法規定情形的，依該法處罰。向社會發布系統漏洞等網路安全資訊，應當遵守國家有關規定。違反的，由有關主管部門責令改正、給予警告，可以處 1 萬元以上 10 萬元以下罰款。拒不改正或者情節嚴重的，處 10 萬元以上 100 萬元以下罰款。還可以責令暫停相關業務、停業整頓、關閉網站或者應用程式。也可以吊銷相關業務許可證或者吊銷營業執照。對直接負責的主管人員和其他直接責任人員，處 1 萬元以上 10 萬元以下罰款（全國）

備註

規定把個人明確寫進了管的物件裡，「我只是個業餘愛好者」不在例外裡。往境外的漏洞賞金平臺提交國內系統的洞，正落在「未公開的漏洞不得提供給境外」這一條上。有沒有資格去測，見第 11 節第 9 條（沒有書面授權不測別人的系統），和拿到漏洞後怎麼處置要分開看。合法發現的漏洞，也可能因為釋出方式違規被罰；未經授權測出來的漏洞，測和釋出兩頭都有問題。報送渠道里，工信部平臺和國家網際網路應急中心（CNCERT）用得最多。規定沒有專門區分「已經通知廠商、廠商卻不修」這種情況，實際做法是把協商和報告的過程留下記錄，同時報給官方平臺。

證據等級

A : 有具體數字，來自薈萃分析、大型佇列或隨機試驗；法律政策類指引到了法條或官方原文.

來源

1. 工业和信息化部、国家互联网信息办公室、公安部 (2021). 网络产品安全漏洞管理规定（工信部联网安〔2021〕66 号，第二、四、九、十、十四条，2021 年 9 月 1 日施行）. https://www.gov.cn/gongbao/content/2021/content_5641351.htm
2. 全国人大常委会 (2025). 网络安全法（2025 年修正，2026 年 1 月 1 日施行，第二十八、六十五条；2016 年文本为第二十六、六十二条，规定第十四条援引的是 2016 年文本的条号）. https://www.cac.gov.cn/2025-12/29/c_1768735112911946.htm

原書第 11 節第 10 條. 這一節講法律規定，只作一般參考，不構成法律意見；自己的案子請諮詢律師或當地法律援助機構。 內容可能過時，不少政策各地執行不一樣，真去辦事、看病、打官司時以當地部門、醫生和律師的說法為準。 免責宣告