没有人能替您启动的时钟
8-K 表格第 1.05 项要求披露重大网络安全事件，内容涵盖事件的性质、范围和时间，以及其重大影响或合理可能的重大影响，包括对财务状况和经营成果的影响。披露须在注册人认定事件具有重大性后的四个工作日内提交。如果提交时尚无法获得相关信息，注册人须予以说明，并在信息可获得后的四个工作日内提交修订文件。
这种结构并不寻常。大多数监管时限从某个事件开始计算，而这一时限从一项判断开始：由公司本身就其自身事件作出的判断。这样的设计把重心放在认定流程而非提交本身，而认定流程正是审查人员、原告律师和董事会事后会追问的内容。
最初几年的披露情况说明了什么
自该规则生效以来的披露模式很能说明问题。在 2024 年 4 月之后因网络安全事件提交 8-K 表格的公司中，明显多数是依据第 8.01 项（一般性自愿披露项）提交的，而不是依据第 1.05 项。
这种分化并非规避。它反映的是一种真实的立场：一家公司尚未认定某事件具有重大性，但判断投资者应当知情，便会依据第 8.01 项提交。SEC 自己的指引恰恰鼓励这种区分，以便第 1.05 项保留其作为重大性信号的意义。
但这确实意味着，披露决定如今是在时间压力下作出的两阶段判断，每个阶段都附带证券法上的后果，而且是在事件响应仍在进行时作出的。这样的决定很难做好，如果没有在过程中随时记录，事后要还原则极其困难。
认定记录应包含哪些内容
- 组织最初知悉事件的时间，并与事件升级的时间以及作出认定的时间明确区分
- 作出认定时已知的信息，与之后才了解的信息区分开来：认定是根据当时可获得的信息来评判的
- 谁参与了认定、以何种身份参与，因为规则将重大性判断交给注册人，而非安全团队
- 所采用的推理过程，包括定量的影响估算和所考虑的定性因素
- 为何认定或不认定该事件具有重大性，否定性认定的记录应与肯定性认定同样审慎
- 之后发生了哪些变化，以及这些变化是否触发了修订义务
为什么当时就记录比记录得详尽更重要
一份在一周后撰写的认定备忘录，无论写得多么仔细，都有一个再仔细也无法弥补的问题：它是在知道后续发展的情况下写成的。
如果事件最终证明影响轻微，备忘录会不自觉地反映这一点。如果事件最终证明十分严重，备忘录同样会反映出来。两者都不是不诚实，但任何结合结果阅读备忘录的人都能看出来。认定记录的价值几乎完全来自于它是在当时作出的，在任何人知道事态会如何发展之前。
这就是为什么记录需要一个可验证的日期，而不是一个自称的日期。一份声称写于 3 月 14 日的文件，如果所在系统允许设定日期，其证明力远不如同一份带有可独立验证时间戳的文件。在证券领域，管理层知道什么、何时知道，往往就是整个争议所在，因此这一差异具有实实在在的分量。
与欧洲义务的重叠
在美国上市且在欧洲有业务的公司，同时面对两套事件制度。具体机制有所不同：NIS2 的 24 小时早期预警比第 1.05 项更快、门槛更低，DORA 还为金融实体增加了其自身的重大事件报告要求。但底层的证据要求几乎相同：一份站得住脚、带有日期的记录，说明当时知道什么、何时知道，以及作出了什么决定。
建立一个统一的事件证据流程来支撑多项监管报告，比并行运行多个流程要便宜得多，而且能消除一项具体风险：您在 72 小时内告知欧洲监管机构的内容，与一周后告知市场的内容不一致。整合模式详见为受双重监管的实体建立统一的证据层，美国规则的具体细节见SEC 网络安全披露规则：2026 年美国公司须知。
- 在事件发生之前而不是在事件期间，确定认定流程及参与人员
- 将知悉、升级和认定记录为三个各自带有时间戳的独立事件
- 以与提交披露同样严谨的方式记录否定性认定
- 对认定记录进行锚定，使其日期不依赖于您自己的系统
- 在发布任何一方的披露之前，先协调美国与欧洲的披露口径
如果您希望事件认定记录的日期可由第三方验证，可以在几分钟内锚定第一份记录，或在 ROOTKey 平台页面了解该模型的工作方式。