结论：公司被黑客攻击泄露4000条个人信息，员工是否负刑事责任需根据具体情况判断，不能一概而论。以下从不同角度进行分析：

1. 员工是否直接参与或知情：

   • 若员工直接参与黑客攻击或泄露行为：根据《中华人民共和国刑法》第二百八十六条之一的规定，违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，构成侵犯公民个人信息罪。若员工直接参与黑客攻击或泄露行为，且达到情节严重的标准（如数量、后果等），则员工需承担刑事责任。
   • 若员工不知情且未参与：若员工对黑客攻击及个人信息泄露行为完全不知情，且未以任何形式参与或协助，则员工通常不承担刑事责任。因为刑事责任要求行为人具有主观故意或过失，不知情且未参与则不符合这一条件。

2. 员工是否负有管理或监督职责：

   • 若员工负有管理或监督职责：如员工是公司的网络安全负责人或相关管理人员，且因疏忽大意或过于自信的过失导致个人信息泄露，虽可能不直接构成侵犯公民个人信息罪，但可能因违反《中华人民共和国网络安全法》等相关法律法规而承担行政责任或民事责任。在极端情况下，若因管理或监督严重失职导致严重后果，也可能涉及刑事责任（如玩忽职守罪，但需具体分析）。
   • 若员工不负有管理或监督职责：则员工通常不因管理或监督失职而承担刑事责任。

3. 公司是否已采取合理安全措施：

   • 若公司已采取合理安全措施：如公司已按照相关法律法规和行业标准采取了必要的安全措施，但因黑客技术高超或不可抗力等原因导致信息泄露，则员工（尤其是非直接参与或知情者）通常不承担刑事责任。
   • 若公司未采取合理安全措施：如公司未按照相关法律法规和行业标准采取必要的安全措施，导致信息泄露，则公司及其相关责任人员（包括可能负有管理或监督职责的员工）可能需承担相应的法律责任。但具体到员工是否承担刑事责任，仍需结合其是否直接参与或知情、是否负有管理或监督职责等因素综合判断。

法律建议：

• 对于公司而言，应立即采取措施停止泄露、通知受影响的个人、报告相关部门，并加强网络安全防护，防止类似事件再次发生。
• 对于员工而言，若对黑客攻击及个人信息泄露行为不知情且未参与，应保留相关证据（如工作记录、沟通记录等）以证明自己的清白；若负有管理或监督职责，则应积极配合公司及相关部门的调查，并采取措施减轻或消除不良影响。
• 若涉及刑事责任，建议及时咨询专业律师，以便根据具体情况制定合适的辩护策略。

可能法律后果：

• 若员工构成侵犯公民个人信息罪，可能面临有期徒刑、拘役或罚金等刑事处罚。
• 若员工因管理或监督失职而承担行政责任或民事责任，则可能面临罚款、赔偿等法律后果。

如有任何疑问或需要进一步的法律帮助，请直接向我咨询。