《網(wǎng)絡(luò)安全審查辦法》解讀
作者：吳衛(wèi)明、朱凱凡 2019-05-31隨著互聯(lián)網(wǎng)經(jīng)濟(jì)的普及，網(wǎng)絡(luò)空間安全及治理問題日益突出。作為網(wǎng)絡(luò)經(jīng)濟(jì)的基礎(chǔ)，關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者對(duì)于網(wǎng)絡(luò)產(chǎn)品及服務(wù)的采購(gòu)，成為網(wǎng)絡(luò)空間安全的重要內(nèi)容。隨著網(wǎng)絡(luò)安全意識(shí)的興起，各主要經(jīng)濟(jì)體對(duì)于其網(wǎng)絡(luò)產(chǎn)品及服務(wù)的采購(gòu)均有一定的規(guī)制。我國(guó)作為互聯(lián)網(wǎng)經(jīng)濟(jì)規(guī)模最為龐大的經(jīng)濟(jì)體之一，也對(duì)網(wǎng)絡(luò)安全進(jìn)行了相應(yīng)的立法規(guī)范。同時(shí)，我國(guó)《網(wǎng)絡(luò)安全法》也對(duì)關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者采購(gòu)網(wǎng)絡(luò)產(chǎn)品和服務(wù)進(jìn)行了規(guī)范。
我國(guó)《網(wǎng)絡(luò)安全法》第三十五條規(guī)定：對(duì)于關(guān)鍵信息基礎(chǔ)設(shè)施的運(yùn)營(yíng)者采購(gòu)網(wǎng)絡(luò)產(chǎn)品和服務(wù)，可能影響國(guó)家安全的，應(yīng)當(dāng)通過國(guó)家網(wǎng)信部門會(huì)同國(guó)務(wù)院有關(guān)部門組織的國(guó)家安全審查。但《網(wǎng)絡(luò)安全法》的上述規(guī)定僅為原則性規(guī)定，缺乏操作性。 2019年5月21日，國(guó)家互聯(lián)網(wǎng)信息辦公室會(huì)同國(guó)家發(fā)展和改革委員會(huì)、工業(yè)和信息化部、公安部、國(guó)家安全部、商務(wù)部、財(cái)政部、中國(guó)人民銀行、國(guó)家市場(chǎng)監(jiān)督管理總局、國(guó)家廣播電視總局、國(guó)家保密局、國(guó)家密碼管理局聯(lián)合起草了《網(wǎng)絡(luò)安全審查辦法（征求意見稿）》（以下簡(jiǎn)稱“《辦法》”）。國(guó)家互聯(lián)網(wǎng)信息辦公室于5月24日發(fā)布并開始征求意見。 《辦法》第二條規(guī)定：關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者（以下簡(jiǎn)稱運(yùn)營(yíng)者）采購(gòu)網(wǎng)絡(luò)產(chǎn)品和服務(wù)，影響或可能影響國(guó)家安全的，應(yīng)當(dāng)按照本辦法進(jìn)行網(wǎng)絡(luò)安全審查。法律、行政法規(guī)另有規(guī)定的，依照其規(guī)定。可以看出，本辦法審查的對(duì)象為關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者對(duì)網(wǎng)絡(luò)產(chǎn)品和服務(wù)的采購(gòu)行為。 《辦法》第十八條規(guī)定：本辦法中關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者是指經(jīng)關(guān)鍵信息基礎(chǔ)設(shè)施保護(hù)工作部門認(rèn)定的運(yùn)營(yíng)者。由此可以看出，采購(gòu)行為的主體是由特定部門所認(rèn)定的。根據(jù)《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例（征求意見稿）》第四條規(guī)定：國(guó)家網(wǎng)信部門負(fù)責(zé)統(tǒng)籌協(xié)調(diào)關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)工作和相關(guān)監(jiān)督管理工作。國(guó)務(wù)院公安、國(guó)家安全、國(guó)家保密行政管理、國(guó)家密碼管理等部門在各自職責(zé)范圍內(nèi)負(fù)責(zé)相關(guān)網(wǎng)絡(luò)安全保護(hù)和監(jiān)督管理工作。并且此次辦法的發(fā)布通知中明確寫出了聯(lián)名起草單位，有帶頭的國(guó)家網(wǎng)信辦，還有國(guó)家發(fā)展和改革委員會(huì)、工業(yè)和信息化部、公安部、國(guó)家安全部、商務(wù)部、財(cái)政部、中國(guó)人民銀行、國(guó)家市場(chǎng)監(jiān)督管理總局、國(guó)家廣播電視總局、國(guó)家保密局、國(guó)家密碼管理局。所以可以初步判斷工作部門可能由上述部門組成。并且辦法第四條確定了中央網(wǎng)絡(luò)安全和信息化委員會(huì)統(tǒng)一領(lǐng)導(dǎo)的地位。 此前，在《網(wǎng)絡(luò)產(chǎn)品和服務(wù)安全審查辦法（試行）》（以下簡(jiǎn)稱“《試行辦法》”）第二條和第十條規(guī)定了需要通過安全審查的范圍，關(guān)系國(guó)家安全的網(wǎng)絡(luò)和信息系統(tǒng)采購(gòu)的重要網(wǎng)絡(luò)產(chǎn)品和服務(wù)應(yīng)當(dāng)經(jīng)過網(wǎng)絡(luò)安全審查，公共通信和信息服務(wù)、能源、交通、水利、金融、公共服務(wù)、電子政務(wù)等重要行業(yè)和領(lǐng)域，以及其他關(guān)鍵信息基礎(chǔ)設(shè)施的運(yùn)營(yíng)者采購(gòu)網(wǎng)絡(luò)產(chǎn)品和服務(wù)，可能影響國(guó)家安全的應(yīng)當(dāng)通過網(wǎng)絡(luò)安全審查。在試行辦法中規(guī)定了兩種情況。 《辦法》第六條規(guī)定了四種應(yīng)當(dāng)審查的情況，（一）關(guān)鍵信息基礎(chǔ)設(shè)施整體停止運(yùn)轉(zhuǎn)或主要功能不能正常運(yùn)行；（二）大量個(gè)人信息和重要數(shù)據(jù)泄露、丟失、毀損或出境；（三）關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)行維護(hù)、技術(shù)支持、升級(jí)更新?lián)Q代面臨供應(yīng)鏈安全威脅；（四）其他嚴(yán)重危害關(guān)鍵信息基礎(chǔ)設(shè)施安全的風(fēng)險(xiǎn)隱患。其中新加的第二點(diǎn)重點(diǎn)關(guān)注了個(gè)人信息和重要數(shù)據(jù)的保護(hù)，可見對(duì)于試行辦法而言，辦法更加重視對(duì)個(gè)人隱私的保護(hù)。并且辦法的規(guī)定更偏向?qū)崉?wù)層片，操作性有所提升。 《試行辦法》第四條規(guī)定了在審查中應(yīng)當(dāng)重點(diǎn)注意的問題，（一）產(chǎn)品和服務(wù)自身的安全風(fēng)險(xiǎn)，以及被非法控制、干擾和中斷運(yùn)行的風(fēng)險(xiǎn)；（二）產(chǎn)品及關(guān)鍵部件生產(chǎn)、測(cè)試、交付、技術(shù)支持過程中的供應(yīng)鏈安全風(fēng)險(xiǎn)；（三）產(chǎn)品和服務(wù)提供者利用提供產(chǎn)品和服務(wù)的便利條件非法收集、存儲(chǔ)、處理、使用用戶相關(guān)信息的風(fēng)險(xiǎn)；（四）產(chǎn)品和服務(wù)提供者利用用戶對(duì)產(chǎn)品和服務(wù)的依賴，損害網(wǎng)絡(luò)安全和用戶利益的風(fēng)險(xiǎn)；（五）其他可能危害國(guó)家安全的風(fēng)險(xiǎn)。 《辦法》第十條規(guī)定了在審查中應(yīng)當(dāng)重點(diǎn)注意的問題，（一）對(duì)關(guān)鍵信息基礎(chǔ)設(shè)施持續(xù)安全穩(wěn)定運(yùn)行的影響，包括關(guān)鍵信息基礎(chǔ)設(shè)施被控制、被干擾和業(yè)務(wù)連續(xù)性被損害的可能性；（二）導(dǎo)致大量個(gè)人信息和重要數(shù)據(jù)泄露、丟失、毀損、出境等的可能性；（三）產(chǎn)品和服務(wù)的可控性、透明性以及供應(yīng)鏈安全，包括因?yàn)檎巍⑼饨弧①Q(mào)易等非技術(shù)因素導(dǎo)致產(chǎn)品和服務(wù)供應(yīng)中斷的可能性；（四）對(duì)國(guó)防軍工、關(guān)鍵信息基礎(chǔ)設(shè)施相關(guān)技術(shù)和產(chǎn)業(yè)的影響；（五）產(chǎn)品和服務(wù)提供者遵守國(guó)家法律與行政法規(guī)情況，以及承諾承擔(dān)的責(zé)任和義務(wù)；（六）產(chǎn)品和服務(wù)提供者受外國(guó)政府資助、控制等情況；（七）其他可能危害關(guān)鍵信息基礎(chǔ)設(shè)施安全和國(guó)家安全的因素。 《辦法》中增加了對(duì)個(gè)人信息和重要數(shù)據(jù)的考量，這與上文提及的擴(kuò)大安全審查的范圍有著相同的思想。同時(shí)將非技術(shù)因素納入重點(diǎn)考量范圍之內(nèi)，因?yàn)樵囆修k法重點(diǎn)審查的對(duì)象多為技術(shù)因素，而在辦法中加入非技術(shù)因素的考量也是因?yàn)槟壳暗膰?guó)際形勢(shì)。同樣因?yàn)閲?guó)際形勢(shì)所加入的重點(diǎn)審查范圍還有國(guó)防軍工以及受外國(guó)政府資助、控制的情況，可以說辦法中規(guī)定的重點(diǎn)審查對(duì)象范圍較試行辦法擴(kuò)大了很多。當(dāng)然辦法第三條規(guī)定了：網(wǎng)絡(luò)安全審查堅(jiān)持防范網(wǎng)絡(luò)安全風(fēng)險(xiǎn)與促進(jìn)先進(jìn)技術(shù)應(yīng)用、增強(qiáng)公正透明與保護(hù)知識(shí)產(chǎn)權(quán)相統(tǒng)一。這表明了即使增加了非技術(shù)因素的考量，我國(guó)仍然堅(jiān)持公平公正的基本立場(chǎng)。 《辦法》第七條規(guī)定了對(duì)采購(gòu)合同的要求，對(duì)于申報(bào)網(wǎng)絡(luò)安全審查的采購(gòu)活動(dòng)，運(yùn)營(yíng)者應(yīng)通過采購(gòu)文件、合同或其他有約束力的手段要求產(chǎn)品和服務(wù)提供者配合網(wǎng)絡(luò)安全審查，并與產(chǎn)品和服務(wù)提供者約定網(wǎng)絡(luò)安全審查通過后合同方可生效。同時(shí)，辦法第八條規(guī)定將采購(gòu)合同、協(xié)議直接納入申報(bào)材料要求，運(yùn)營(yíng)者申報(bào)網(wǎng)絡(luò)安全審查時(shí)，應(yīng)當(dāng)提交以下材料：（一）申報(bào)書；（二）本辦法第六條中的安全風(fēng)險(xiǎn)報(bào)告；（三）采購(gòu)合同、協(xié)議等；（四）網(wǎng)絡(luò)安全審查辦公室要求的其他材料。 《辦法》增加了對(duì)運(yùn)營(yíng)者與產(chǎn)品和服務(wù)提供者之間采購(gòu)合同生效的條件。辦法第七條規(guī)定：“對(duì)于申報(bào)網(wǎng)絡(luò)安全審查的采購(gòu)活動(dòng)，運(yùn)營(yíng)者應(yīng)通過采購(gòu)文件、合同或其他有約束力的手段要求產(chǎn)品和服務(wù)提供者配合網(wǎng)絡(luò)安全審查，并與產(chǎn)品和服務(wù)提供者約定網(wǎng)絡(luò)安全審查通過后合同方可生效。”這樣的規(guī)定不僅與網(wǎng)絡(luò)安全審查流程中的評(píng)估環(huán)節(jié)相契合，使評(píng)估過程更順暢，更是直接借助對(duì)合同效力的要求約束了關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者與產(chǎn)品和服務(wù)提供者的采購(gòu)活動(dòng)和相關(guān)行為，由此全面提升了安全可控水平。 《辦法》第八條至第十四條提出了對(duì)網(wǎng)絡(luò)安全審查細(xì)節(jié)的規(guī)定，具體流程如下圖： 綜上，《網(wǎng)絡(luò)安全審查辦法》對(duì)于關(guān)鍵信息基礎(chǔ)設(shè)施的運(yùn)營(yíng)者采購(gòu)網(wǎng)絡(luò)產(chǎn)品和服務(wù)的審查對(duì)象、流程、審查范圍、審查重點(diǎn)及采購(gòu)合同的要求進(jìn)行了規(guī)制。在我國(guó)外部網(wǎng)絡(luò)安全形勢(shì)不斷嚴(yán)峻的背景下，出臺(tái)《網(wǎng)絡(luò)安全審查辦法》具有積極的意義。一、審查對(duì)象
二、安全審查的范圍
三、安全審查的重點(diǎn)
四、對(duì)于采購(gòu)合同的要求
五、網(wǎng)絡(luò)安全審查流程圖
