關(guān)鍵信息基礎設施的運營(yíng)者采購，關(guān)鍵信息基礎設施的運營(yíng)者采購網(wǎng)絡(luò )產(chǎn)品和服務(wù)？

網(wǎng)絡(luò )安全審查辦法

基于《中華人民共和國國家安全法》、《中華人民共和國網(wǎng)絡(luò )安全法》、《中華人民共和國數據安全法》、《關(guān)鍵信息基礎設施安全保護條例》，為了確保關(guān)鍵信息基礎設施供應鏈安全，維護國家安全和網(wǎng)絡(luò )數據安全，特制定了本規定。

基礎設施運營(yíng)者在采購網(wǎng)絡(luò )產(chǎn)品和服務(wù)時(shí)，網(wǎng)絡(luò )平臺運營(yíng)者在進(jìn)行數據處理活動(dòng)時(shí)，如果涉及影響國家安全的，必須按照相關(guān)規定進(jìn)行網(wǎng)絡(luò )安全審查。

基礎設施運營(yíng)者和網(wǎng)絡(luò )平臺運營(yíng)者都屬于當事人，根據前述規定。

第三條網(wǎng)絡(luò )安全審查要求在防范網(wǎng)絡(luò )安全風(fēng)險和促進(jìn)先進(jìn)技術(shù)應用的基礎上進(jìn)行，同時(shí)結合過(guò)程公正透明和知識產(chǎn)權保護。審查包括事前審查和持續監管，并結合企業(yè)自律承諾和社會(huì )監督，主要從產(chǎn)品和服務(wù)安全性、數據處理活動(dòng)的安全性以及可能帶來(lái)的國家安全風(fēng)險等方面展開(kāi)。

在中央網(wǎng)絡(luò )安全和信息化委員會(huì )領(lǐng)導下，國家互聯(lián)網(wǎng)信息辦公室會(huì )同相關(guān)部門(mén)建立國家網(wǎng)絡(luò )安全審查工作機制。

國家互聯(lián)網(wǎng)信息辦公室下設網(wǎng)絡(luò )安全審查辦公室，主要職責是負責制定網(wǎng)絡(luò )安全審查相關(guān)制度規范，并組織實(shí)施網(wǎng)絡(luò )安全審查工作。

運營(yíng)者在采購網(wǎng)絡(luò )產(chǎn)品和服務(wù)時(shí)，必須考慮到可能對國家安全造成的風(fēng)險。如果產(chǎn)品和服務(wù)可能會(huì )對國家安全產(chǎn)生影響，運營(yíng)者應向網(wǎng)絡(luò )安全審查辦公室申報網(wǎng)絡(luò )安全審查。

基礎設施安全保護工作部門(mén)可以制定本行業(yè)或本領(lǐng)域的預防指南，以確保關(guān)鍵信息基礎設施的安全。

在申報網(wǎng)絡(luò )安全審查的采購活動(dòng)中，關(guān)鍵信息基礎設施運營(yíng)者應當要求產(chǎn)品和服務(wù)提供者在采購文件、協(xié)議等中配合網(wǎng)絡(luò )安全審查，并承諾不利用提供的產(chǎn)品和服務(wù)來(lái)非法獲取用戶(hù)數據、非法控制和操縱用戶(hù)設備，以及無(wú)正當理由不中斷產(chǎn)品供應或者必要的技術(shù)支持服務(wù)等。

網(wǎng)絡(luò )平臺運營(yíng)者如果想在國外上市并且掌握著(zhù)超過(guò)100萬(wàn)用戶(hù)的個(gè)人信息，必須先向網(wǎng)絡(luò )安全審查辦公室申報網(wǎng)絡(luò )安全審查。

當事人申報網(wǎng)絡(luò )安全審查時(shí)，需要準備以下材料：

（一）申報書(shū)；

關(guān)于影響或可能影響國家安全的分析報告對于國家的重大決策和安全戰略制定具有重要意義。此類(lèi)報告通常會(huì )對各種內外部因素進(jìn)行分析，包括政治、經(jīng)濟、軍事、社會(huì )和技術(shù)等方面的影響因素，以及可能帶來(lái)的安全風(fēng)險和挑戰。這些報告的撰寫(xiě)需要嚴謹的分析和研究，以便提供決策者全面的信息，幫助他們做出明智的決策，保障國家的安全和利益。

采購文件、協(xié)議、擬簽訂的合同或者準備提交的首次公開(kāi)募股（IPO）申請文件等。

（四）網(wǎng)絡(luò )安全審查工作所需其他材料。

網(wǎng)絡(luò )安全審查工作除了必要的文件和數據之外，還需要以下其他材料：

1. 網(wǎng)絡(luò )拓撲圖：展示網(wǎng)絡(luò )架構、設備和連接方式的圖表，有助于審查人員了解網(wǎng)絡(luò )結構和潛在的安全風(fēng)險。

2. 安全策略和流程文件：包括網(wǎng)絡(luò )安全策略、訪(fǎng)問(wèn)控制策略、應急響應計劃等文件，用于評估網(wǎng)絡(luò )安全措施的有效性。

3. 安全設備日志：如防火墻、入侵檢測系統等設備產(chǎn)生的日志文件，用于檢查網(wǎng)絡(luò )活動(dòng)和可能的安全威脅。

4. 應用程序和軟件信息：包括網(wǎng)絡(luò )上使用的所有應用程序和軟件的名稱(chēng)、版本號和廠(chǎng)商信息，有助于審查潛在的漏洞和安全隱患。

5. 審計報告和安全漏洞修復記錄：記錄網(wǎng)絡(luò )審計結果和先前發(fā)現的安全漏洞，以及已經(jīng)采取的修復措施和改進(jìn)計劃。

這些材料將有助于網(wǎng)絡(luò )安全審查人員全面了解網(wǎng)絡(luò )環(huán)境和可能存在的安全風(fēng)險，從而提出有效的安全建議和改進(jìn)建議。

網(wǎng)絡(luò )安全審查辦公室應在收到符合本辦法第八條規定的審查申報材料后的10個(gè)工作日內，確定是否需要進(jìn)行審查，并以書(shū)面形式通知相關(guān)當事人。

第十條網(wǎng)絡(luò )安全審查重點(diǎn)評估相關(guān)對象或者情形的以下國家安全風(fēng)險因素：政治穩定、社會(huì )公共安全、經(jīng)濟安全、軍事安全以及國家重要信息基礎設施的安全。

使用產(chǎn)品和服務(wù)后，關(guān)鍵信息基礎設施面臨被非法控制、遭受干擾或破壞的風(fēng)險。

關(guān)鍵信息基礎設施業(yè)務(wù)連續性面臨的風(fēng)險之一是產(chǎn)品和服務(wù)供應中斷。產(chǎn)品和服務(wù)供應中斷可能會(huì )對關(guān)鍵信息基礎設施業(yè)務(wù)的運轉造成危害，影響業(yè)務(wù)的連續性和穩定性。

（三）在考慮產(chǎn)品和服務(wù)時(shí)，需要關(guān)注安全性、開(kāi)放性、透明性和來(lái)源的多樣性，以及供應渠道的可靠性和可能因政治、外交、貿易等因素導致供應中斷的風(fēng)險。

（四）產(chǎn)品和服務(wù)提供者需遵守中國的法律、行政法規和部門(mén)規章。

核心數據、重要數據或大量個(gè)人信息被盜取、泄露、損壞或非法利用，以及非法出境的風(fēng)險是非常嚴重的。

在上市過(guò)程中，存在外國政府可能影響、控制或惡意利用關(guān)鍵信息基礎設施、核心數據、重要數據或大量個(gè)人信息的風(fēng)險，同時(shí)也面臨網(wǎng)絡(luò )信息安全方面的風(fēng)險。

網(wǎng)絡(luò )安全和數據安全可能面臨多種潛在危害，其中包括惡意軟件和病毒，網(wǎng)絡(luò )攻擊，社交工程和釣魚(yú)攻擊等。這些因素都可能對關(guān)鍵信息基礎設施的安全構成嚴重威脅，從而導致數據丟失、泄露和服務(wù)中斷等問(wèn)題。

網(wǎng)絡(luò )安全審查辦公室認為需要進(jìn)行網(wǎng)絡(luò )安全審查時(shí)，應當在書(shū)面通知之日起的30個(gè)工作日內完成初步審查，包括形成審查結論建議并將其發(fā)送給網(wǎng)絡(luò )安全審查工作機制成員單位和相關(guān)部門(mén)征求意見(jiàn)。如果情況比較復雜，審查過(guò)程可以延長(cháng)15個(gè)工作日。

網(wǎng)絡(luò )安全審查工作機制規定，成員單位和相關(guān)部門(mén)應在收到審查結論建議后的15個(gè)工作日內，以書(shū)面形式提出回復意見(jiàn)。

如果網(wǎng)絡(luò )安全審查工作機制的成員單位和相關(guān)部門(mén)意見(jiàn)一致，網(wǎng)絡(luò )安全審查辦公室將以書(shū)面形式通知當事人審查結論。如果意見(jiàn)不一致，將按照特別審查程序處理，并通知當事人。

在進(jìn)行特別審查程序時(shí)，網(wǎng)絡(luò )安全審查辦公室需要聽(tīng)取相關(guān)單位和部門(mén)的意見(jiàn)，并進(jìn)行深入分析和評估。隨后，他們會(huì )再次形成審查結論建議，并征求網(wǎng)絡(luò )安全審查工作機制成員單位和相關(guān)部門(mén)的意見(jiàn)。最后，經(jīng)過(guò)中央網(wǎng)絡(luò )安全和信息化委員會(huì )批準后，他們會(huì )形成審查結論并書(shū)面通知當事人。

特別審查程序通常需要在90個(gè)工作日內完成，但對于復雜情況可能會(huì )延長(cháng)。

在網(wǎng)絡(luò )安全審查辦公室要求提供補充材料時(shí)，相關(guān)當事人、產(chǎn)品和服務(wù)提供者有責任配合提供。需要注意的是，提交補充材料的時(shí)間不會(huì )計入審查的時(shí)間。

網(wǎng)絡(luò )安全審查機制要求成員單位對可能影響國家安全的網(wǎng)絡(luò )產(chǎn)品、服務(wù)和數據處理活動(dòng)進(jìn)行審查，并需經(jīng)中央網(wǎng)絡(luò )安全和信息化委員會(huì )批準后，按照規定進(jìn)行審查。

為了降低風(fēng)險，在審查期間，當事人應根據網(wǎng)絡(luò )安全審查要求采取預防和風(fēng)險減輕的措施。

參與網(wǎng)絡(luò )安全審查的相關(guān)機構和人員應當嚴格保護知識產(chǎn)權，對在審查工作中了解到的商業(yè)秘密、個(gè)人信息，以及其他未公開(kāi)信息承擔保密義務(wù)。未經(jīng)信息提供方同意，不得向無(wú)關(guān)方披露或者將這些信息用于審查以外的目的。

若當事人或網(wǎng)絡(luò )產(chǎn)品和服務(wù)提供者認為審查人員缺乏客觀(guān)公正，或未能遵守審查過(guò)程中的保密義務(wù)，可向網(wǎng)絡(luò )安全審查辦公室或相關(guān)部門(mén)舉報。

當事人有責任督促產(chǎn)品和服務(wù)提供者履行其在網(wǎng)絡(luò )安全審查中所作的承諾，以確保網(wǎng)絡(luò )安全得到有效維護。

網(wǎng)絡(luò )安全審查辦公室加強事前、事中和事后監督，其中包括接受舉報等形式的舉措。

根據《中華人民共和國網(wǎng)絡(luò )安全法》和《中華人民共和國數據安全法》的規定，對違反本辦法的當事人進(jìn)行處理。

本規定中所指的網(wǎng)絡(luò )產(chǎn)品和服務(wù)主要包括核心網(wǎng)絡(luò )設備、重要通信產(chǎn)品、高性能計算機和服務(wù)器、大容量存儲設備、大型數據庫和應用軟件、網(wǎng)絡(luò )安全設備、云計算服務(wù)，以及對關(guān)鍵信息基礎設施安全、網(wǎng)絡(luò )安全和數據安全具有重要影響的其他網(wǎng)絡(luò )產(chǎn)品和服務(wù)。

涉及國家秘密信息的相關(guān)事項，應當依照國家有關(guān)保密規定執行。

應當同時(shí)符合國家對數據安全審查、外商投資安全審查的規定。

本辦法自2022年2月15日起開(kāi)始實(shí)施，2020年4月13日公布的《網(wǎng)絡(luò )安全審查辦法》（國家互聯(lián)網(wǎng)信息辦公室、國家發(fā)展和改革委員會(huì )、工業(yè)和信息化部、公安部、國家安全部、財政部、商務(wù)部、中國人民銀行、國家市場(chǎng)監督管理總局、國家廣播電視總局、國家保密局、國家密碼管理局令第6號）同時(shí)被廢止。