OSB 的要求写得很直接：受托人发现任何网络安全入侵或未遂入侵，要立即报告 OSB。报告须提供足够的事件细节，并说明已经采取的应对行动。
源2
OSB 在2026年1月22日发布的网络安全工作更新中，把这项立即报告义务列为现行要求，并同时列出一批鼓励受托人采用的基础安全措施。源2
OSB 的通知只说「立即」，没有给出具体小时数。报告格式也尚未公布；OSB 表示将建立网络安全事件报告流程，以确保发生泄露或未遂泄露时及时沟通、协调行动。源2
可能再叠加一层：隐私法的通报义务
网络事件常常同时是隐私泄露，也就是个人信息丢失、被未经授权访问、使用或披露。受 PIPEDA 管辖的机构，在这种情况下要按《个人信息保护和电子文件法》履行报告、通知和记录义务。源3 具体适用 PIPEDA 还是省级隐私法，要看事务所自身情况，应向受托人事务所或隐私法律专业人士确认。
按隐私专员办公室（OPC）对 PIPEDA 的说明，受其管辖的机构要做三件事：
- 向隐私专员报告存在「重大损害现实风险」的泄露
- 通知受影响的个人
- 为所有泄露事件留存记录，不论风险高低
「重大损害」的范围很宽，包括身份盗用、财务损失、对信用记录的负面影响、名誉受损等。判断时看两点：信息的敏感程度，以及被滥用的可能性。OPC 明确把财务信息列为通常被视为敏感的类别。源3 提案和破产材料里的收入、债务、账户信息正属于这一类。
下面这张表把两层规则串起来：
| 情形 | 需要做什么 |
|---|---|
| 发现网络攻击或未遂攻击 | 立即通知 OSB，提供事件细节并说明已采取的应对 源2 |
| 同时涉及个人信息丢失，或被未经授权访问、使用、披露 | 按 PIPEDA 或适用的其他隐私法，评估是否存在重大损害的现实风险 源3 |
| 存在重大损害现实风险 | 向隐私专员报告、尽快直接通知受影响个人，并通知可降低风险的机构 源3 |
| 不存在重大损害现实风险 | 仍须留存泄露记录，保存两年 源3 |
这张表里，向 OSB 报告的门槛最低，只要是入侵或未遂入侵就要报。PIPEDA 层面的对外报告只针对存在重大损害现实风险的泄露。
你的资料出事时，能收到什么
如果泄露被认定存在重大损害现实风险，机构要尽快直接通知受影响的人，方式可以是当面、电话、邮件、信件等合理渠道。只有在直接通知会造成进一步伤害、会给机构带来过度困难，或没有联系方式时，才允许改用公开公告。源3 通知里必须包含六项内容：
- 泄露情形的说明
- 发生的日期或时间段
- 涉及的个人信息种类
- 机构已采取的降低风险的措施
- 你自己可以采取的措施
- 可以咨询的联系方式
向 OPC 提交的报告也有清单：泄露详情及已知原因、发生时间、涉及的个人信息、受影响人数、降低风险的措施、通知受影响个人的安排，以及联系人。源4
记录义务适用于每一起泄露，必须保存两年。源3 即使受托人判断风险不高、没有通知你，也要留有记录；OPC 说明记录里可以简要写明为何判断不存在重大损害的现实风险。源3
机构故意违反这些报告、通知和记录要求属于违法行为，可能被罚款。OPC 本身不起诉、不罚款，但可将涉嫌违法的信息转交加拿大总检察长，由公诉部门处理。源3
仍在拟议和待核验的部分
拟议中
- OSB 计划修订其指令（directives），写入最低网络安全措施和正式的事件报告要求；2026年1月的通知称 OSB 原定在2026年春季就指令修订征求意见；该页面最近一次更新是2026年9月1日，征求意见是否已启动、进展如何，请到 OSB 网站查看。源2
- 在指令修订之前，OSB 只是「鼓励」受托人立即采用一批基础措施，其中包括多重身份验证（MFA）、加密备份、加密邮件传送敏感信息、全员安全培训、制定事件应对计划，以及避免把敏感个人信息输入生成式 AI 等第三方工具。源2
待核验
- 具体某家受托人事务所适用 PIPEDA 还是省级隐私法。
- OSB 最终的上报时限、格式和最低安全标准，都要等指令修订稿出来才有定论。
现在可以做的事
如果你正在办理、或打算办理提案或破产，下面几项不用等新规出台：
- 直接问你的受托人：资料怎么传输、存放，是否使用加密邮件，是否把客户资料输入过 AI 工具
- 尽量通过受托人事务所的官方电话、官方邮箱联系，对来路不明的「催交材料」「核对账户」信息保持警惕
- 如果收到泄露通知，对照上面六项内容检查是否齐全，并按通知里的建议改密码、留意账户异常
- 对通知里的链接和来电先用事务所已知的联系方式核实，再按指示操作
- 对隐私问题或投诉，可以联系隐私专员办公室，其官方页面表明受理对机构的投诉源3
- 之后关注 OSB 指令修订的征求意见稿，那份文件才会写明最低安全标准和正式上报要求
拓展阅读
破产受托人被令返还47万余元，CCAA监管规则拟调整：同版块的站内帖，同样围绕 破产受托人，往深里读接这一篇。
联邦：59% 加拿大人去年遇到过网络事件…：还是 网络事件，同版块的另一篇站内帖。
国内信用记录通常不会直接进入加拿大征信报告…：同版块的站内帖，同样围绕 信用记录，往深里读接这一篇。
网络安全险2026：数据泄露、勒索软件攻击，保险能赔什么？：福利与保障的保险帖，另一条线上和 网络安全 挨着的一篇。
网络安全险2026年最新指南：Northbridge+GoSecur…：福利与保障的保险帖，与本文相邻的一条线。
参考资料
- Office of the Superintendent of Bankruptcy, Update on the OSB’s Cybersecurity Initiative（2026年1月22日）：Update on the OSB’s Cybersecurity Initiative
- Office of the Privacy Commissioner of Canada, What you need to know about mandatory reporting of breaches of security safeguards：What you need to know about mandatory reporting of breaches of security safeguards - Office of the Privacy Commissioner of Canada
- Office of the Privacy Commissioner of Canada, Report a privacy breach at your business：Report a privacy breach at your business - Office of the Privacy Commissioner of Canada