合规资讯

9月11日，国家互联网信息办公室发布《数据出境安全管理政策法规问答（2026年9月）》，就近期收到的代表性咨询问题作出答复。问答明确个人信息出境认证的适用门槛、认证后规模增长需转报安全评估的衔接规则，以及可申请认证的三家已备案专业机构与联系方式，并强调不得通过数量拆分规避安全评估。

记者9月11日从国家数据局获悉，我国正式推行数据产权登记制度，登记机构将为各类形态数据出具“身份证明”，明确数据持有权、数据使用权、数据经营权等权利归属，支撑数据流通交易、数据资产入表、融资担保与作价入股。同日国家数据产权登记服务系统启动试运行，北京国际大数据交易所等率先成为登记机构。

2026年9月10日，匈牙利竞争管理局（Gazdasági Versenyhivatal，GVH）宣布对平台欧洲运营主体TikTok Technology Limited（注册于爱尔兰）启动后续调查，案号VJ/31/2026，核查其是否切实履行了2023年作出的有关沟通、数据与儿童保护方面的承诺。 GVH曾在2023年就该平台的相关商业行为接受其承诺并结案，本次调查属于承诺履行情况的事后核查程序...

2026年9月10日，西班牙生态转型与人口挑战部（MITECO）结束就《关于数据中心适用的能源与环境可持续性、韧性及数字主权要求的皇家法令》草案开展的公开征求意见。该征求意见于2026年8月27日启动。 草案针对数据中心设置三类要求：能源与环境可持续性要求、韧性要求，以及数字主权要求，其中数字主权要求直接体现为数据本地化义务，即要求数据中心在数据存储与处理上满足特定的境内留存条件。政策领域归类为...

自2026年9月11日起，欧盟《关于含数字要素产品横向网络安全要求的条例》即《网络韧性法》（Regulation (EU) 2024/2847，CRA）中有关制造商报告义务的规定正式适用。该条例于2024年10月23日通过，同时修订了(EU) No 168/2013、(EU) No 2019/1020两项条例及第(EU) 2020/1828号指令，是欧盟为含数字要素的软硬件产品建立统一强制性网络安...

9月8日，倡导组织Campaign for Accountability旗下技术透明度项目（TTP）发布调查，称Meta今年未能在其广告审核中检出332条含儿童性虐待材料的广告，其中大量为推广AI“一键脱衣”应用的广告。这些广告在下架前触达欧盟逾2.9万人、英国逾6800人，约80%投放于美国。

安全研究人员披露名为BigBear 2.0的钓鱼即服务平台，基于Evilginx2式中間人框架，在受害者完成MFA挑战后截获已认证会话Cookie，已在258家组织窃取逾5000组Microsoft 365凭据。该服务使用覆盖69个国家的地理匹配住宅代理，并通过自定义JavaScript禁用FIDO2/WebAuthn以将目标推向更弱的认证方式。

9月6日，N-able确认其N-central远程监控与管理（RMM）平台存在CVSS 10.0的预认证远程代码执行零日漏洞CVE-2026-86218，且已在野遭利用，紧急发布2026.3 HF4补丁。这是该平台五周内的第四枚应急补丁。美国CISA已将该漏洞连同两个Windows零日列入已知被利用漏洞目录。

9月8日，芝加哥电子病历与诊所管理软件商Veradigm向美国证券交易委员会提交8-K文件，确认攻击者利用从第三方供应商环境获取的凭据访问其API并下载患者个人数据，部分含社保号。公司称未涉及临床或医疗数据，亦未影响更广泛网络环境。勒索组织The Gentlemen此前声称掌握350万条患者记录。

9月8日，英国文化大臣Lisa Nandy向下议院确认，苹果与谷歌未能在政府6月设定的三个月期限内落实儿童裸照检测与阻断措施，自愿机制“已走到尽头”，两家公司将面临有约束力的立法。此前两日，技术透明度项目调查显示Meta今年未检出332条含AI生成儿童性虐待材料的广告。