漏洞按规定报送，修补前不公开细节、不发利用工具、不交给境外

收益

这份规定管三类对象：境内的网络产品提供者、网络运营者，以及从事漏洞发现、收集、发布等活动的组织或者个人。任何组织或者个人，不得利用漏洞从事危害网络安全的活动，不得非法收集、出售、发布漏洞信息。向社会发布漏洞信息要守五条。第一，不得在产品提供者提供修补措施之前发布。第二，不得发布网络运营者在用的网络、信息系统及其设备存在漏洞的细节情况。第三，不得刻意夸大危害和风险，不得利用漏洞信息实施恶意炒作或者诈骗。第四，不得发布或者提供专门用于利用漏洞从事危害网络安全活动的程序和工具。第五，发布时应当同步发布修补或者防范措施。另外，。

未公开的漏洞信息，不得提供给产品提供者之外的境外组织或者个人。

规定鼓励把漏洞报给四个官方平台。一是工业和信息化部网络安全威胁和漏洞信息共享平台。二是国家网络与信息安全信息通报中心漏洞平台。三是国家计算机网络应急技术处理协调中心漏洞平台。四是中国信息安全测评中心漏洞库。违反规定收集、发布漏洞信息的，由工业和信息化部、公安部依据各自职责依法处理。构成网络安全法规定情形的，依该法处罚。向社会发布系统漏洞等网络安全信息，应当遵守国家有关规定。违反的，由有关主管部门责令改正、给予警告，可以处 1 万元以上 10 万元以下罚款。拒不改正或者情节严重的，处 10 万元以上 100 万元以下罚款。

还可以责令暂停相关业务、停业整顿、关闭网站或者应用程序。也可以吊销相关业务许可证或者吊销营业执照。对直接负责的主管人员和其他直接责任人员，处 1 万元以上 10 万元以下罚款（全国）