網上投稿
《網絡安全審查辦法》已經于2021年11月16日經國家互聯網信息辦公室2021年第20次室務會議審議通過，并經國家發展和改革委員會、工業和信息化部、公安部、國家安全部、財政部、商務部、中國人民銀行、國家市場監督管理總局、國家廣播電視總局、中國證券監督管理委員會、國家保密局、國家密碼管理局同意，予以公布并自2022年2月15日起施行。關于該辦法的主要內容以及對企業的影響等等，筆者將通過本文略作探討。
一、關于審查主體的范圍
《網絡安全審查辦法》生效后，關鍵信息基礎設施運營者和網絡平臺運營者是審查主體，為便于本文敘述，下文統稱為“審查主體”。《關鍵信息基礎設施安全保護條例》第二條規定，關鍵信息基礎設施，是指公共通信和信息服務、能源、交通、水利、金融、公共服務、電子政務、國防科技工業等重要行業和領域的，以及其他一旦遭到破壞、喪失功能或者數據泄露，可能嚴重危害國家安全、國計民生、公共利益的重要網絡設施、信息系統等。《網絡安全法》第七十六條規定，網絡運營者是指網絡的所有者、管理者和網絡服務提供者。
審查主體一般是涉及金融、交通等關鍵信息基礎設施的運營者，如網站經營管理者，或者通過移動APP提供服務的運營者，也包括因業務特征掌握大量個人信息或者數據的科技、醫療健康領域經營者等等。審查主體所運營的基礎設施一旦遭到攻擊，將嚴重危害國家安全、個人信息安全，因此被納入《網絡安全審查辦法》審查對象范圍。
二、需要網絡安全審查的主要情形
《網絡安全審查辦法》第二條對網絡安全審查的情形進行了比較宏觀的規定，審查主體發生特定行為可能影響國家安全的，一律應當進行網絡安全審查，如關鍵信息基礎設施運營者采購網絡產品和服務，或網絡平臺運營者開展數據處理活動等等。同時該辦法明確，掌握超過100萬用戶個人信息的網絡平臺運營者赴國外上市，必須向網絡安全審查辦公室申報網絡安全審查，待《網絡安全審查辦法》今年2月正式生效后，因“滴滴赴美上市”風波直接引發的監管金靴將正式落地。
三、審查主體對審查申報與否的預判義務
審查主體采購網絡產品和服務的，應當預判該產品和服務投入使用后可能帶來的國家安全風險。影響或者可能影響國家安全的，應當向網絡安全審查辦公室申報網絡安全審查。相關行業和領域的主管部門、監督管理部門可以制定本行業、本領域預判指南，《網絡安全審查辦法》第五條 關鍵信息基礎設施運營者采購網絡產品和服務的，應當預判該產品和服務投入使用后可能帶來的國家安全風險。影響或者可能影響國家安全的，應當向網絡安全審查辦公室申報網絡安全審查。關鍵信息基礎設施安全保護工作部門可以制定本行業、本領域預判指南。《關鍵信息基礎設施安全保護條例》第八條規定 重要行業和領域的主管部門、監督管理部門是負責關鍵信息基礎設施安全保護工作的部門（以下簡稱“保護工作部門”）
四、審查工作的主管機關及審查申報相關要求
根據《網絡安全審查辦法》規定，國家互聯網信息辦公室下設網絡安全審查辦公室負責制定網絡安全審查相關制度規范，組織網絡安全審查。同時，在中央網絡安全和信息化委員會領導下，國家互聯網信息辦公室會同中華人民共和國國家發展和改革委員會、中華人民共和國工業和信息化部、中華人民共和國公安部、中華人民共和國國家安全部、中華人民共和國財政部、中華人民共和國商務部、中國人民銀行、國家市場監督管理總局、國家廣播電視總局、中國證券監督管理委員會、國家保密局、國家密碼管理局建立國家網絡安全審查工作機制。
審查主體申報網絡安全審查，應當提交申報書、關于影響或者可能影響國家安全的分析報告、采購文件、協議、擬簽訂的合同或者擬提交的首次公開募股（IPO）等上市申請文件以及網絡安全審查工作需要的其他材料。網絡安全審查辦公室應當自收到審查申報材料起10個工作日內確定是否需要審查并書面通知當事人。
五、審查與否的重點評估標準
《網絡安全審查辦法》對網絡安全審查重點評估相關對象或者情形的國家安全風險因素進行了較為詳細的列舉，包括：產品和服務使用后帶來的關鍵信息基礎設施被非法控制、遭受干擾或者破壞的風險；產品和服務供應中斷對關鍵信息基礎設施業務連續性的危害；核心數據、重要數據或者大量個人信息被竊取、泄露、毀損以及非法利用、非法出境的風險；上市存在關鍵信息基礎設施、核心數據、重要數據或者大量個人信息被外國政府影響、控制、惡意利用的風險，以及網絡信息安全風險等可能危害關鍵信息基礎設施安全、網絡安全和數據安全的因素。
六、關于審查程序的相關規定
《網絡安全審查辦法》分別對審查一般程序和特別程序進行規定，具體如下：
（一）一般程序
網絡安全審查辦公室認為需要開展網絡安全審查的，應當自向當事人發出書面通知之日起30個工作日內完成初步審查，情況復雜的可以延長15個工作日。 網絡安全審查工作機制成員單位和相關部門應當自收到審查結論建議之日起15個工作日內書面回復意見。網絡安全審查工作機制[1]成員單位、相關部門意見一致的，網絡安全審查辦公室以書面形式將審查結論通知當事人；意見不一致的，按照特別審查程序處理，并通知當事人。
（二）特別程序
按照特別審查程序處理的，網絡安全審查辦公室應當聽取相關單位和部門意見，進行深入分析評估，再次形成審查結論建議，并征求網絡安全審查工作機制成員單位和相關部門意見，按程序報中央網絡安全和信息化委員會批準后，形成審查結論并書面通知當事人。
網絡安全審查工作機制成員單位認為影響或者可能影響國家安全的網絡產品和服務以及數據處理活動，由網絡安全審查辦公室按程序報中央網絡安全和信息化委員會批準后，依照該辦法的規定進行審查。
綜上所述，網絡安全關乎國家安全和公民權益，國家監管勢在必行。相關領域或者行業的企業應當如何準備呢？筆者認為，一方面，企業應結合本文提及的重點內容做好內部網絡安全合規審查工作，結合已發布實施的《國家安全法》《網絡安全法》、《關鍵信息基礎設施安全保護條例》以及國家標準文件，及時開展企業專項合規整治工作和人員培訓；另一方面，應及時與所屬領域的監管部門充分溝通，從監管層面獲悉合規整治的重點方向，為《網絡安全審查辦法》于今年2月正式生效做足功課。
滬公網安備 31010402007129號
