Day-160-网络安全审查办法解读

# Day 174: 网络安全审查办法解读

> 合规与治理系列第 8 天 | 预计阅读时间：40 分钟 | 难度：★★★★☆

---

## 清单 目录

1. [网络安全审查办法概述](#网络安全审查办法概述)
2. [审查范围](#审查范围)
3. [审查流程](#审查流程)
4. [审查要素](#审查要素)
5. [数据处理活动审查](#数据处理活动审查)
6. [网络平台运营者审查](#网络平台运营者审查)
7. [采购活动审查](#采购活动审查)
8. 审查决定与监督](#审查决定与监督)
9. [法律责任](#法律责任)
10. [合规实施指南](#合规实施指南)
11. [总结与思考](#总结与思考)
12. [参考资料](#参考资料)

---

## 网络安全审查办法概述

### 立法背景

《网络安全审查办法》于 2020 年 4 月 13 日由国家互联网信息办公室等 12 部门联合发布，2020 年 6 月 1 日起实施。2021 年 12 月进行修订，2022 年 2 月 15 日起施行新版。该办法是落实《网络安全法》《数据安全法》的重要配套法规。

**立法目的**：

```
1. 确保关键信息基础设施供应链安全
   ✓ 防范供应链风险
   ✓ 保障关键信息基础设施
   ✓ 维护国家安全

2. 防范数据处理活动风险
   ✓ 核心数据、重要数据
   ✓ 影响或可能影响国家安全
   ✓ 规范数据处理活动

3. 维护国家安全
   ✓ 网络安全
   ✓ 数据安全
   ✓ 供应链安全
```

**监管机构**：

```
网络安全审查委员会：

┌─────────────────────────────────────────────────────┐
│           网络安全审查委员会组成                    │
├─────────────────────────────────────────────────────┤
│                                                     │
│  主任单位：                                         │
│  └── 国家互联网信息办公室（网信办）                │
│                                                     │
│  成员单位：                                         │
│  ├── 国家发展和改革委员会                          │
│  ├── 工业和信息化部                                │
│  ├── 公安部                                        │
│  ├── 国家安全部                                    │
│  ├── 财政部                                        │
│  ├── 商务部                                        │
│  ├── 中国人民银行                                  │
│  ├── 国家市场监督管理总局                          │
│  ├── 国家广播电视总局                              │
│  ├── 中国证券监督管理委员会                        │
│  ├── 国家保密局                                    │
│  └── 国家密码管理局                                │
│                                                     │
│  办公室：                                           │
│  └── 设在国家互联网信息办公室                      │
│      负责日常工作                                  │
│                                                     │
└─────────────────────────────────────────────────────┘
```

---

## 审查范围

### 审查对象

```
网络安全审查适用于：

1. 关键信息基础设施运营者（CIIO）
   ✓ 采购网络产品和服务
   ✓ 可能影响国家安全
   ✓ 应当申报审查

2. 网络平台运营者
   ✓ 开展数据处理活动
   ✓ 影响或可能影响国家安全
   ✓ 应当申报审查

3. 其他情形
   ✓ 法律规定应当审查
   ✓ 监管部门认为需要审查
   ✓ 主动申报审查
```

### 采购活动审查

```
CIIO 采购审查范围：

1. 网络产品
   ✓ 核心网络设备
   ✓ 重要通信设备
   ✓ 高性能计算机
   ✓ 服务器
   ✓ 存储设备
   ✓ 网络安全设备

2. 服务
   ✓ 云计算服务
   ✓ 大数据服务
   ✓ 数据处理服务
   ✓ 运维服务
   ✓ 安全服务

3. 判断标准
   ✓ 产品/服务重要性
   ✓ 采购规模
   ✓ 数据敏感度
   ✓ 供应链风险
   ✓ 替代性
```

### 数据处理活动审查

```
数据处理活动审查范围：

1. 数据类型
   ✓ 核心数据
   ✓ 重要数据
   ✓ 大量个人信息

2. 处理活动
   ✓ 数据收集
   ✓ 数据存储
   ✓ 数据使用
   ✓ 数据加工
   ✓ 数据传输
   ✓ 数据提供
   ✓ 数据公开

3. 影响评估
   ✓ 国家安全影响
   ✓ 公共利益影响
   ✓ 个人权益影响
```

### 上市审查

```
网络平台运营者上市审查：

触发条件：
✓ 掌握超过 100 万用户个人信息的网络平台运营者
✓ 赴国外上市
✓ 应当申报网络安全审查

审查重点：
✓ 核心数据、重要数据或大量个人信息
✓ 被国外政府影响、控制、恶意利用的风险
✓ 上市带来的数据安全影响

注意：
- 2021 年修订新增条款
- 针对赴国外上市
- 防止数据安全风险
```

---

## 审查流程

### 申报流程

```
网络安全审查申报流程：

┌─────────────────────────────────────────────────────┐
│              网络安全审查流程                        │
├─────────────────────────────────────────────────────┤
│                                                     │
│  阶段一：申报准备                                   │
│  ├── 判断是否需要申报                             │
│  ├── 准备申报材料                                 │
│  └── 提交申报                                     │
│                                                     │
│  阶段二：初步审查                                   │
│  ├── 材料审查（10 个工作日）                      │
│  ├── 决定是否受理                                 │
│  └── 不受理说明理由                               │
│                                                     │
│  阶段三：审查评估                                   │
│  ├── 一般审查（30 个工作日）                      │
│  ├── 特别审查（45 个工作日 +）                    │
│  └── 形成审查结论                                 │
│                                                     │
│  阶段四：审查决定                                   │
│  ├── 通过审查                                     │
│  ├── 附条件通过                                   │
│  └── 不通过                                       │
│                                                     │
│  阶段五：监督执行                                   │
│  ├── 执行审查决定                                 │
│  ├── 接受监督检查                                 │
│  └── 重大变化报告                                 │
│                                                     │
└─────────────────────────────────────────────────────┘

总时限：
- 一般情况：40 个工作日
- 特别审查：85 个工作日 +
```

### 申报材料

```
申报材料清单：

1. 基本材料
   ✓ 申报书
   ✓ 营业执照
   ✓ 法定代表人身份证明
   ✓ 授权委托书

2. 项目材料
   ✓ 采购项目说明
   ✓ 合同草案
   ✓ 技术规格
   ✓ 服务方案

3. 安全材料
   ✓ 安全风险评估报告
   ✓ 安全保护措施
   ✓ 应急响应预案
   ✓ 供应链安全说明

4. 数据材料（如适用）
   ✓ 数据类型和规模
   ✓ 数据处理流程
   ✓ 数据保护措施
   ✓ 数据出境情况

5. 其他材料
   ✓ 监管部门要求的其他材料
   ✓ 补充说明材料
```

---

## 审查要素

### 风险评估因素

```
审查重点评估以下风险因素：

1. 产品和服务使用后
   可能导致的关键信息基础设施
   被非法控制、干扰或破坏的风险

2. 产品和服务提供者
   因政治、外交、贸易等因素
   导致供应中断的风险

3. 产品和服务提供者
   非法收集、存储、处理和利用
   用户信息的风险

4. 产品和服务提供者
   利用提供服务之便
   非法获取、篡改、泄露数据的风险

5. 产品和服务
   存在的安全缺陷、漏洞等风险

6. 核心数据、重要数据或大量个人信息
   被窃取、泄露、毁损以及
   非法利用或出境的风险

7. 国外上市
   带来的核心数据、重要数据或大量个人信息
   被国外政府影响、控制、恶意利用的风险

8. 其他可能危害
   关键信息基础设施安全和国家数据安全的因素
```

### 安全评估

```
安全评估内容：

1. 供应安全评估
   ✓ 供应商资质
   ✓ 供应能力
   ✓ 供应连续性
   ✓ 替代方案

2. 技术安全评估
   ✓ 产品安全性
   ✓ 技术先进性
   ✓ 漏洞情况
   ✓ 安全认证

3. 数据安全评估
   ✓ 数据收集范围
   ✓ 数据存储安全
   ✓ 数据传输安全
   ✓ 数据使用合规

4. 供应链安全评估
   ✓ 供应链透明度
   ✓ 上游供应商
   ✓ 依赖程度
   ✓ 替代可能性

5. 国家安全评估
   ✓ 国家安全影响
   ✓ 公共利益影响
   ✓ 社会影响
   ✓ 国际影响
```

---

## 数据处理活动审查

### 申报条件

```
数据处理活动申报条件：

1. 数据类型
   ✓ 核心数据
   ✓ 重要数据
   ✓ 大量个人信息（100 万以上）

2. 影响情形
   ✓ 影响国家安全
   ✓ 可能影响国家安全
   ✓ 监管部门认为需要审查

3. 具体场景
   ✓ 数据出境
   ✓ 数据交易
   ✓ 数据共享
   ✓ 数据公开
   ✓ 企业合并分立
   ✓ 上市融资
```

### 数据风险评估

```
数据风险评估内容：

1. 数据基本情况
   ✓ 数据类型
   ✓ 数据规模
   ✓ 数据敏感度
   ✓ 数据来源

2. 处理活动情况
   ✓ 处理目的
   ✓ 处理方式
   ✓ 处理范围
   ✓ 处理期限

3. 安全保护措施
   ✓ 技术措施
   ✓ 管理措施
   ✓ 人员管理
   ✓ 应急响应

4. 风险影响评估
   ✓ 国家安全影响
   ✓ 公共利益影响
   ✓ 个人权益影响
   ✓ 国际影响

5. 合规情况
   ✓ 法律法规遵守
   ✓ 标准规范遵守
   ✓ 合同约定
   ✓ 监管要求
```

---

## 网络平台运营者审查

### 平台定义

```
网络平台运营者定义：

网络平台：
通过互联网提供信息发布、即时通讯、
网络支付、网络交易、网络音视频、
网络直播、社交网络、搜索引擎、
应用程序商店等服务的平台。

网络平台运营者：
通过网络平台提供服务的
法人或非法人组织。

典型平台：
✓ 社交平台（微信、微博）
✓ 电商平台（淘宝、京东）
✓ 支付平台（支付宝、微信支付）
✓ 内容平台（抖音、快手）
✓ 出行平台（滴滴）
✓ 本地生活平台（美团）
```

### 审查要求

```
平台运营者审查要求：

1. 上市审查
   ✓ 掌握 100 万以上用户个人信息
   ✓ 赴国外上市
   ✓ 应当申报审查

2. 数据出境审查
   ✓ 向境外提供数据
   ✓ 达到规定规模
   ✓ 应当申报审查

3. 并购审查
   ✓ 涉及大量数据
   ✓ 可能影响国家安全
   ✓ 应当申报审查

4. 其他审查
   ✓ 监管部门认为需要
   ✓ 主动申报
```

---

## 采购活动审查

### CIIO 采购审查

```
CIIO 采购审查要点：

1. 采购前评估
   ✓ 需求分析
   ✓ 市场调研
   ✓ 风险评估
   ✓ 申报判断

2. 供应商选择
   ✓ 资质审查
   ✓ 安全评估
   ✓ 背景调查
   ✓ 信誉评估

3. 合同管理
   ✓ 安全条款
   ✓ 保密条款
   ✓ 审计条款
   ✓ 违约责任

4. 采购后管理
   ✓ 交付验收
   ✓ 安全测试
   ✓ 持续监控
   ✓ 应急准备
```

### 云计算服务审查

```
云计算服务特别规定：

1. 审查范围
   ✓ 公有云服务
   ✓ 私有云服务
   ✓ 混合云服务
   ✓ 云存储服务

2. 审查重点
   ✓ 数据主权
   ✓ 数据隔离
   ✓ 数据可移植性
   ✓ 服务连续性

3. 安全要求
   ✓ 数据境内存储
   ✓ 加密保护
   ✓ 访问控制
   ✓ 审计日志

4. 特殊考虑
   ✓ 政府云服务
   ✓ 关键行业云服务
   ✓ 敏感数据云服务
```

---

## 审查决定与监督

### 审查决定

```
审查决定类型：

1. 通过审查
   ✓ 无国家安全风险
   ✓ 可以采购或使用
   ✓ 无附加条件

2. 附条件通过
   ✓ 风险可控
   ✓ 需满足特定条件
   ✓ 持续监督

3. 不通过
   ✓ 存在国家安全风险
   ✓ 不得采购或使用
   ✓ 已采购的停止使用

决定效力：
✓ 审查决定为最终决定
✓ 不得提起行政复议或诉讼
✓ 应当执行审查决定
```

### 监督检查

```
监督检查机制：

1. 日常监督
   ✓ 执行审查决定情况
   ✓ 条件履行情况
   ✓ 安全措施有效性

2. 定期检查
   ✓ 年度检查
   ✓ 专项检查
   ✓ 抽查

3. 报告制度
   ✓ 定期报告
   ✓ 重大事项报告
   ✓ 变化报告

4. 违规处理
   ✓ 责令整改
   ✓ 暂停采购
   ✓ 终止合同
   ✓ 行政处罚
```

---

## 法律责任

### 违规处罚

```
违反网络安全审查办法的法律责任：

1. CIIO 违规采购
   ✓ 责令停止采购
   ✓ 限期整改
   ✓ 罚款
   ✓ 对责任人处分

2. 未申报审查
   ✓ 责令申报
   ✓ 暂停相关业务
   ✓ 罚款
   ✓ 对责任人处分

3. 提供虚假材料
   ✓ 不予受理
   ✓ 撤销审查决定
   ✓ 罚款
   ✓ 记入信用记录

4. 不执行审查决定
   ✓ 责令执行
   ✓ 罚款
   ✓ 暂停业务
   ✓ 吊销许可

处罚依据：
- 《网络安全法》
- 《数据安全法》
- 《个人信息保护法》
- 其他相关法律法规
```

### 信用管理

```
信用记录管理：

1. 记录内容
   ✓ 违规事实
   ✓ 处罚决定
   ✓ 整改情况
   ✓ 信用修复

2. 信用影响
   ✓ 影响后续审查
   ✓ 影响政府采购
   ✓ 影响市场准入
   ✓ 影响融资上市

3. 信用修复
   ✓ 完成整改
   ✓ 消除影响
   ✓ 申请修复
   ✓ 信用恢复
```

---

## 合规实施指南

### 合规流程

```
网络安全审查合规流程：

阶段一：识别评估
├── 识别是否适用
├── 评估审查风险
├── 确定申报需求
└── 制定合规计划

阶段二：申报准备
├── 准备申报材料
├── 安全风险评估
├── 内部审批
└── 提交申报

阶段三：审查配合
├── 补充材料
├── 接受问询
├── 配合调查
└── 落实要求

阶段四：决定执行
├── 执行审查决定
├── 履行附加条件
├── 持续报告
└── 接受监督

阶段五：持续合规
├── 定期自查
├── 变化报告
├── 年度评估
└── 持续改进
```

### 最佳实践

```
合规最佳实践：

1. 早期介入
   ✓ 项目规划阶段考虑
   ✓ 提前评估审查需求
   ✓ 预留审查时间

2. 专业支持
   ✓ 聘请专业顾问
   ✓ 法律顾问支持
   ✓ 技术专家支持

3. 充分准备
   ✓ 完整申报材料
   ✓ 充分风险评估
   ✓ 完善安全措施

4. 主动沟通
   ✓ 与监管部门沟通
   ✓ 及时报告情况
   ✓ 积极回应关切

5. 持续合规
   ✓ 建立合规机制
   ✓ 定期自查自纠
   ✓ 持续改进提升
```

---

## 总结与思考

### 关键要点

**网络安全审查核心**：
- 维护国家安全
- 供应链安全
- 数据安全
- 持续合规

**实施建议**：
- 早期评估
- 专业支持
- 充分准备
- 主动合规

### 个人思考

> ▎我给你指了路，走不走是你的事。机会给了，抓不抓得住看你。

网络安全审查不是障碍，而是保障。它保障了关键信息基础设施的安全，保障了国家数据的安全，保障了数字经济的健康发展。

合规不是负担，而是责任。作为关键信息基础设施运营者、作为网络平台运营者，我们有责任维护国家安全，有责任保护用户数据，有责任促进清朗网络空间。

记住：安全是前提，合规是底线。在数字化时代，没有安全就没有发展，没有合规就没有未来。

---

## 参考资料

### 法律法规

1. 《网络安全审查办法》（2022 年）
2. 《中华人民共和国网络安全法》
3. 《中华人民共和国数据安全法》
4. 《关键信息基础设施安全保护条例》

### 监管机构

1. 国家互联网信息办公室 - http://www.cac.gov.cn/
2. 网络安全审查办公室
3. 各行业主管部门

### 实施资源

1. 网络安全审查申报指南
2. 相关行业实施细则
3. 专业服务机构

---

*Day 174 完成 | 网络安全审查办法解读 | 字数：约 14,000*