作者：李荔 张越奇 尹玮洁
#网络安全#
《网络安全审查办法》[1]将网络安全审查的适用主体界定为两类：“关键信息基础设施企业（CIIO）”和“网络平台运营者”。关键信息基础设施企业已经由《关键信息基础设施安全保护条例》做出明确的识别和认定[2]，而“网络平台运营者”尚且缺乏明确定义。根据我们在公开渠道的检索，“网络平台运营者”目前存在以下相近定义：《中华人民共和国网络安全法》确立的“网络运营者”概念，《网络数据安全管理条例（征求意见稿）》和《互联网平台落实主体责任指南（征求意见稿）》确立的“互联网平台运营者/经营者”概念，以及《中华人民共和国电子商务法》确立的“电子商务平台经营者”概念。具体如下：
①《中华人民共和国网络安全法》第76条
②《网络数据安全管理条例（征求意见稿）》第73条
③《互联网平台落实主体责任指南（征求意见稿）》附则
④《中华人民共和国电子商务法》第9条
除了CIIO作为明确的适用主体外，目前来看“网络平台运营者”并非一个具有普遍通识的法律概念。从对“平台”的朴素理解，其功能必须具备撮合和连接的特性。因此，行业内谨慎认为“网络平台运营者”应该是针对此类具备多方交易功能、提供综合服务的平台运营者，并非单纯的通过网络仅提供自身服务的运营者，或仅提供平台搭建等技术服务的运营者。[3]
《网络安全审查办法》规定：“关键信息基础设施运营者采购网络产品和服务的，应当预判该产品和服务投入使用后可能带来的国家安全风险。影响或者可能影响国家安全的，应当向网络安全审查办公室申报网络安全审查。”“对于申报网络安全审查的采购活动，关键信息基础设施运营者应当通过采购文件、协议等要求产品和服务提供者配合网络安全审查，包括承诺不利用提供产品和服务的便利条件非法获取用户数据、非法控制和操纵用户设备，无正当理由不中断产品供应或者必要的技术支持服务等。”“掌握超过100万用户个人信息的网络平台运营者赴国外上市，必须向网络安全审查办公室申报网络安全审查。”
根据不同的适用主体及适用情形，上述条款可简单区分如下：
类别 | 适用主体 | 适用情形 |
强制申报 | 关键信息基础设施企业 | 采购网络产品和服务，并预判影响或者可能影响国家安全 |
强制申报 | 网络运营者 | 掌握超过100万用户个人信息的网络运营者赴国外上市 |
自发申报 | 网络运营者 | 经分析认为自身活动影响或者可能影响国家安全的[4] |
虽然“预判义务”在《网络安全审查办法》中被确立为关键信息基础设施企业的特定义务，但其也并非排斥其他当事人（网络运营者）对自身数据处理活动进行预先分析，概因《网络安全审查办法》第三条已明确指出其审查范围囊括了“产品和服务以及数据处理活动”。再结合《网络安全审查办法》第八条的规定可以合理推测，一旦当事人在数据处理活动中“经分析认为自身活动影响或者可能影响国家安全的”，均应申报网络安全审查。
这一规定的实质亦与《网络数据安全管理条例（征求意见稿）》确立的网络安全审查制度相衔接。《网络数据安全管理条例（征求意见稿）》第十三条规定[5]“处理一百万人以上个人信息的数据处理者赴国外上市的”，或“数据处理者赴香港上市，影响或者可能影响国家安全的”，应当申报网络安全审查。由此可见，《网络数据安全管理条例（征求意见稿）》确立的网络安全审查原则同样区别了“赴国外上市”和“赴香港上市” 情形，我们理解，赴国外上市企业只要处理个人信息过百万，则必须申报网络安全审查；赴港上市企业若自行分析认为影响或者可能影响国家安全的，也应申报网络安全审查。
同时，为具体落实赴国外上市企业的网络安全审查工作，《网络安全审查办法》答记者问中专门公布了接受审查资料的窗口单位，即网络安全审查办公室设在国家互联网信息办公室（“网信办”），具体工作委托中国网络安全审查技术与认证中心承担。中国网络安全审查技术与认证中心在网络安全审查办公室的指导下，承担接收申报材料、对申报材料进行形式审查等任务；中国网络安全审查技术与认证中心设立网络安全审查咨询窗口。
根据《网络安全审查办法》，在关键信息基础设施运营者、网络平台运营者向网络安全审查办公室提交材料[6]申报网络安全审查后，需经过四步审查流程，即：确定是否需要审查、初步审查、复审及批准。
网络安全审查的一般流程和时限要求如下：
（1）确定是否需要审查（10个工作日）：网络安全审查办公室自收到符合规定的审查申报材料起10个工作日内确定是否需要审查并书面通知当事人。
（2）初步审查（30+15个工作日）：网络安全审查办公室认为需要开展网络安全审查的，应当自向当事人发出书面通知之日起30个工作日内完成初步审查，包括形成审查结论建议和将审查结论建议发送网络安全审查工作机制成员单位、相关部门征求意见；情况复杂的，可以延长15个工作日。
（3）机制单位回复意见（15个工作日）：网络安全审查工作机制成员单位和相关部门应当自收到审查结论建议之日起15个工作日内书面回复意见；意见不一致的，则进入特别审查程序；如意见一致的，经研判不影响国家安全的，则通知企业，程序完结。
（4）特别审查程序（90个工作日）：特别审查程序一般应当在90个工作日内完成，情况复杂的可以延长。
为方便理解，我们总结具体流程图示如下：
基于以上流程，若企业确定需要进行网络安全审查，一般情况下可在提交网络安全审查申报材料之日起3个月左右完成；若进入特别审查程序，则可能额外增加90个工作日以完成全部审查工作。需要特别注意的是，该等审查时限不包含企业按照网络安全审查办公室要求补充材料的时间。
近期已发生第一宗境内企业境外上市因违反网络安全审查相关规定而被予以行政处罚的案例，罚款金额逾80亿元。由此可见，网络安全审查今后将是境内企业赴境外上市需要履行的重要程序。
需注意的是，中国证监会于2021年12月24日发布的《国务院关于境内企业境外发行证券和上市的管理规定（草案征求意见稿）》以及《境内企业境外发行证券和上市备案管理办法（征求意见稿）》规定，在适用网络安全审查的情形下，发行人应当在向境外提交首次公开发行上市申请文件后3个工作日内，向中国证监会提交网络安全审查部门出具的相关评估审查意见。但是，上述征求意见迄今尚未生效，目前拟上市企业的通行做法仍是在递交境外上市申请文件前完成网络安全审查程序。
《网络安全法》规定，国家实行网络安全等级保护制度，网络运营者应当按照网络安全等级保护制度的要求，履行安全保护义务。《信息系统安全等级保护定级指南》（2007年6月27日颁布及生效）将信息系统的安全保护等级分为五级[7]。
1、定级范围
根据《关于开展全国重要信息系统安全等级保护定级工作的通知》（2007年7月16日颁布及生效），定级范围包括：“（一）电信、广电行业的公用通信网、广播电视传输网等基础信息网络，经营性公众互联网信息服务单位、互联网接入服务单位、数据中心等单位的重要信息系统；（二）铁路、银行、海关、税务、民航、电力、证券、保险、外交、科技、发展改革、国防科技、公安、人事劳动和社会保障、财政、审计、商务、水利、国土资源、能源、交通、文化、教育、统计、工商行政管理、邮政等行业、部门的生产、调度、管理、办公等重要信息系统；（三）市（地）级以上党政机关的重要网站和办公信息系统；（四）涉及国家秘密的信息系统。”
2、确定信息系统安全保护等级的一般流程如下[8]：
（1）侵害国家安全的事项包括以下方面：
影响国家政权稳固和国防实力；影响国家统一、民族团结和社会安定；影响国家对外活动中的政治、经济利益；影响国家重要的安全保卫工作；影响国家经济竞争力和科技实力；其他影响国家安全的事项。
（2）侵害社会秩序的事项包括以下方面：
影响国家机关社会管理和公共服务的工作秩序；影响各种类型的经济活动秩序；影响各行业的科研、生产秩序； 影响公众在法律约束和道德规范下的正常生活秩序等； 其他影响社会秩序的事项。
（3）影响公共利益的事项包括以下方面：
影响社会成员使用公共设施；影响社会成员获取公开信息资源；影响社会成员接受公共服务等方面； 其他影响公共利益的事项。
（4）影响公民、法人和其他组织的合法权益是指由法律确认的并受法律保护的公民、法人和其他组织所享有的一定的社会权利和利益。
3、信息系统安全等级保护备案办理流程
根据《信息安全等级保护备案实施细则》，定级流程为：确定定级对象→初步确定等级→专家评审→主管部门审核→公安机关备案审查→最终确定的等级。
企业应当在信息系统安全保护等级确定后30日内，到公安机关公共信息网络安全监察部门办理备案手续。办理备案手续时，应当首先到公安机关指定的网址下载并填写备案表，准备好备案文件，然后到指定的地点备案。
办理信息系统安全等级保护备案时应当提交《信息系统安全等级保护备案表》及其电子文档。第二级以上信息系统备案时需提交《备案表》中的表一、二、三；第三级以上信息系统还应当在系统整改、测评完成后30日内提交《备案表》中的表四及其有关材料。经相关部门审核，对符合等级保护要求的，公安机关公共信息网络安全监察部门应当自收到备案材料之日起的10个工作日内，将加盖本级公安机关印章（或等级保护专用章）的《备案表》一份反馈备案单位，一份存档；对不符合等级保护要求的，公安机关公共信息网络安全监察部门应当在10个工作日内通知备案单位进行整改，并出具《信息系统安全等级保护备案审核结果通知》。
须提请留意，不同级别的信息系统需要的备案材料有所差异。《网络安全法》第五十九条[9]规定，网络运营者未办理信息系统安全等级保护备案，将由相关主管部门责令改正，给予警告、处一万元以上十万元以下罚款等行政处罚。
[注]
[1] 2022年2月15日正式生效。
[2] 《关键信息基础设施安全保护条例》第二条：本条例所称关键信息基础设施，是指公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务、国防科技工业等重要行业和领域的，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的重要网络设施、信息系统等。
[3] 参考周杨、史蕾撰,《赴港上市无需审查？<网络安全审查办法>尚无定论》,https://mp.weixin.qq.com/s/0jeCmjgexp9nYywLkoCJbA。
[4] 《网络安全审查办法》第八条：当事人申报网络安全审查，应当提交以下材料：（一）申报书；（二）关于影响或者可能影响国家安全的分析报告；（三）采购文件、协议、拟签订的合同或者拟提交的首次公开募股（IPO）等上市申请文件；（四）网络安全审查工作需要的其他材料。
[5] 《网络数据安全管理条例（征求意见稿）》第十三条：
数据处理者开展以下活动，应当按照国家有关规定，申报网络安全审查：
（一）汇聚掌握大量关系国家安全、经济发展、公共利益的数据资源的互联网平台运营者实施合并、重组、分立，影响或者可能影响国家安全的；
（二）处理一百万人以上个人信息的数据处理者赴国外上市的；
（三）数据处理者赴香港上市，影响或者可能影响国家安全的；
（四）其他影响或者可能影响国家安全的数据处理活动。
大型互联网平台运营者在境外设立总部或者运营中心、研发中心，应当向国家网信部门和主管部门报告。
[6] 根据《网络安全审查办法》第八条 当事人申报网络安全审查，应当提交以下材料：
（一）申报书；
（二）关于影响或者可能影响国家安全的分析报告；
（三）采购文件、协议、拟签订的合同或者拟提交的首次公开募股（IPO）等上市申请文件；
（四）网络安全审查工作需要的其他材料。
[7] 第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。
第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。
第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。
第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。
第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。
[8] 依据表2 ，得到业务信息安全保护等级；依据表3，得到系统服务安全保护等级。客体是指：(1)公民、法人和其他组织的合法权益；(2)社会秩序、公共利益；(3)国家安全。
[9] 《中华人民共和国网络安全法》第五十九条：网络运营者不履行本法第二十一条、第二十五条规定的网络安全保护义务的，由有关主管部门责令改正，给予警告；拒不改正或者导致危害网络安全等后果的，处一万元以上十万元以下罚款，对直接负责的主管人员处五千元以上五万元以下罚款。关键信息基础设施的运营者不履行本法第三十三条、第三十四条、第三十六条、第三十八条规定的网络安全保护义务的，由有关主管部门责令改正，给予警告；拒不改正或者导致危害网络安全等后果的，处十万元以上一百万元以下罚款，对直接负责的主管人员处一万元以上十万元以下罚款。
《中华人民共和国网络安全法》第二十一条：国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改：
（一）制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任；
（二）采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施；
（三）采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月；
（四）采取数据分类、重要数据备份和加密等措施；
（五）法律、行政法规规定的其他义务。
特别声明：
以上所刊登的文章仅代表作者本人观点，不代表北京市中伦律师事务所或其律师出具的任何形式之法律意见或建议。
如需转载或引用该等文章的任何内容，请私信沟通授权事宜，并于转载时在文章开头处注明来源于公众号“中伦视界”及作者姓名。未经本所书面授权，不得转载或使用该等文章中的任何内容，含图片、影像等视听资料。如您有意就相关议题进一步交流或探讨，欢迎与本所联系。
点击“下方链接”，可查阅该专业文章官微版。
网络安全审查的具体操作和对境内企业赴港上市之适用与分析（上）
本页标题：企业上市必须确保国家的网络安全（网络安全审查的上市公司）
留言通道
发送成功之后，我们会尽快回复您！
Online Consulting
