英国上议院议员近日公开询问，为何正在推进的网络安全法案没有将企业高管纳入个人责任范围。这一质询直指法案在问责机制上的核心设计。

上议院议员质疑高管免责的具体理由集中在法案缺乏对个人层面的直接约束。议员们指出，网络安全事件往往涉及企业决策失误，如果仅停留在企业层面，难以形成对具体责任人的震慑。Peers ask why UK cyber bill leaves execs off the personal liability hook成为议员关注的焦点，他们希望法案能明确高管在网络安全失职时的个人后果。

部长则表示，1700万英镑的企业罚款足以发挥问责作用。Ministers say £17M corporate fines provide sufficient accountability，这一立场认为高额罚款能直接影响企业财务状况，进而促使管理层重视网络安全投入。罚款金额被视为对企业整体责任的量化体现，通过经济压力实现间接约束。

此外，即将出台的董事会层面治理规则也被部长列为重要补充。forthcoming board-level governance rules provide sufficient accountability，这些规则预计将要求董事会定期审议网络安全风险、建立相应报告机制，并将相关责任纳入公司治理框架。部长认为，通过制度化安排，董事会将承担更多监督义务，从而填补个人责任缺失带来的空白。

法案为何避免对高管施加个人责任，部长在回应中暗示现有设计逻辑更注重企业整体合规而非个体惩罚。整体内容显示，政府倾向于通过企业罚款和治理规则形成组合拳，避免因个人责任条款可能带来的法律复杂性和执行难度。这一选择反映出政策制定者在平衡问责力度与实际可操作性之间的考量。

当前问责框架的充分性存在明显争议。议员一方认为，仅靠企业罚款和未来治理规则不足以形成足够威慑，个人责任缺失可能导致高管在决策时缺乏紧迫感。部长一方则坚持现有安排已能提供充分问责，强调罚款的直接经济影响和治理规则的长效规范作用。双方观点对比凸显了在网络安全立法中如何平衡企业责任与个人责任的分歧。

法案对企业合规实践的实际影响体现在罚款与治理规则的结合上。企业预计将面临更高额的潜在罚款压力，同时需按照即将推出的董事会治理要求调整内部流程。高管在决策时需更多考虑网络安全风险评估、资源分配以及报告义务，这些约束有望推动企业将网络安全提升至战略层面，而非单纯的技术问题。

议员的持续质询表明，这一话题仍将受到上议院关注。部长所强调的1700万英镑罚款和董事会治理规则能否真正弥补个人责任的缺失，仍需后续立法进程和实践检验。网络安全法案的最终形态，将直接影响英国企业面对日益复杂网络威胁时的责任承担方式。