关键信息基础设施安全保护条例

国务院令第745号，2021年9月1日起施行。

这部条例不是另起一套与等保平行的体系，而是在网络安全等级保护基础上，对被认定为关键信息基础设施的运营者提出更高强度、更明确责任和更强监管联动的重点保护要求。

法规概览 · 安全要求与实施 · 法规原文

法规概览

项目	内容
适用对象	被保护工作部门认定并通知的关键信息基础设施运营者
核心基础	网络安全等级保护制度
核心主线	认定与边界 → 三同步 → 专门机构 → 持续监测与年度评估 → 供应链 → 事件处置与报告
关键特点	主要负责人责任、专门安全管理机构、关键岗位背景审查、年度检测评估、关键采购和供应链控制

可以把关基保护压缩成一句话：先把“哪些系统是关基、边界在哪里”搞清楚，再让组织、建设、监测、供应链、评估和事件响应围绕这张清单持续运行。

下文按 “法规要求 → 落实与验收” 展开：每项要求同时说明实施动作与可验证的验收标准。关基认定以保护工作部门通知为准，企业不能仅凭内部判断自行宣布或取消关基身份。

安全要求与实施

核心主题	达成状态
关基范围与边界	哪些系统属于关基、关键资产和依赖关系清楚
组织责任	主要负责人、专门安全机构和关键岗位真正履职
三同步	新建改扩建时安全和业务一起规划、建设、验收
持续监测与评估	关键系统持续可见，年度检测评估真实发现问题
供应链与采购	关键产品、服务、外包和云依赖风险受控
应急与报告	重大事件和威胁能够快速处置、恢复和报告

明确认定结果、边界和关键依赖

法规要求｜第8—11条。 保护工作部门负责组织认定关键信息基础设施并通知运营者；关基发生较大变化、可能影响认定结果时，应及时报告。

落实与验收。

• 维护正式关基认定结果和内部关基清单，记录对应保护工作部门及联系人。
• 对每个关基明确业务范围、网络边界、关键资产、关键数据、外部依赖和上下游关系。
• 架构、业务、组织、合并分立、关键供应链等重大变化进入关基影响判断流程。
• 认定变化、范围变化和保护责任变化形成正式记录并同步到资产、应急和评估体系。

验收标准。

• 随机抽一项认定关基，能否现场拿出认定通知、边界图、关键资产和关键依赖？
• 从实际生产资产反查关基清单，是否存在关键系统已迁移或新增但清单未更新？
• 最近一次重大架构或业务变化是否触发过关基影响判断？
• 关基边界与等保定级对象、CMDB和监测范围是否一致？

落实安全与关基“三同步”

法规要求｜第12条。 安全保护措施应当与关键信息基础设施同步规划、同步建设、同步使用。

落实与验收。

• 在立项阶段明确安全目标、预算、等保/关基要求、关键控制和验收标准。
• 架构评审、研发、采购、上线和变更流程内置关基安全门禁。
• 新建、改建、扩建项目在正式投产前完成安全验证，未达到关键基线不得以“后补整改”替代。
• 安全能力建设和业务容量、架构演进同步规划，避免上线后再临时拼接监控和防护。

验收标准。

• 随机抽一个近一年关基改造项目，安全预算和需求是在立项时出现还是上线前才补？
• 从需求、架构、采购、测试、上线记录能否看到安全要求连续存在？
• 找一个曾经带风险上线的项目，为什么门禁没有阻断？
• 新系统投产当天，日志、监测、告警、备份和应急是否已经可用？

压实主要负责人和专门安全管理机构责任

法规要求｜第13—16条。 运营者主要负责人对关基安全保护负总责，应设置专门安全管理机构并保障其履职，相关负责人和关键岗位人员按要求开展安全背景审查。

落实与验收。

• 明确主要负责人对关基重大风险、年度计划、重大投入和重大事件的决策责任。
• 设置真实运行的专门安全管理机构，保障人员、经费和参与重大信息化决策的权利。
• 明确安全机构、业务、技术、运维、采购和供应商的责任矩阵。
• 对专门安全机构负责人和关键岗位按要求开展背景审查并保留记录。

验收标准。

• 最近一次重大关基风险是否进入主要负责人决策，留下了什么具体决策？
• 专门安全管理机构是否能阻断高风险上线，还是只有咨询权？
• 机构人员、预算和职责是否与实际关基规模匹配？
• 随机抽一个关键岗位，背景审查是否在上岗前完成，岗位变化后是否需要复核？

建立持续监测和风险发现能力

法规要求｜第15条等。 运营者应建立网络安全监测预警、风险管理和技术防护机制，持续提升关基保护能力。

落实与验收。

• 关基关键主机、网络、身份、应用、数据和外部暴露面进入持续监测。
• SIEM、NDR/EDR、漏洞、威胁情报、配置基线和业务异常形成统一风险发现链路。
• 监测范围与关基资产清单动态联动，新增资产不能长期处于监控盲区。
• 重大风险进入统一事件和整改流程，有Owner、时限、复测和管理层升级机制。

验收标准。

• 从关基资产清单随机抽资产，是否都有日志、终端/主机或网络监测覆盖？
• 从监测平台反查过去30天新增资产，是否全部进入关基清单和监控？
• 随机抽一条高危告警，最终处置结论基于什么证据？
• 长期未关闭的风险为什么没有升级？

每年至少开展一次检测和风险评估

法规要求｜第17条。 运营者应自行或者委托网络安全服务机构，对关基每年至少进行一次网络安全检测和风险评估，并按要求报送情况。

落实与验收。

• 每年覆盖资产、架构、配置、漏洞、账号权限、边界、供应链、应急和关键业务连续性等核心风险。
• 检测评估不仅审制度，还要结合技术检测、配置核验、真实数据和抽样验证。
• 问题形成整改任务，明确责任人、期限、风险接受条件和复测结果。
• 重大变化、重大事件或高风险暴露时触发专项评估，不等下一年度周期。

验收标准。

• 最近一次年度评估实际发现了哪些技术或管理问题？
• 如果连续多年问题数量极少，评估是否真正深入到配置和真实运行？
• 随机抽一个评估问题，能否从发现一直追到整改和复测证据？
• 年度评估是否覆盖当年新增的重要系统和重大架构变化？

管理关键产品、服务和供应链风险

法规要求｜第19、20条等。 运营者采购网络产品和服务，应按要求关注安全可信和供应链风险；可能影响国家安全的，依法申报网络安全审查；与提供者签订安全保密协议等。

落实与验收。

• 建立关基关键产品、服务、云、外包、软件供应链和高权限供应商清单。
• 采购前开展安全尽调和风险评估，合同明确安全、保密、漏洞、事件通知、人员、远程访问和退出要求。
• 对可能触发网络安全审查的采购建立前置判断和法务合规升级机制。
• 供应商高权限访问实施专用账号、最小权限、时间窗口、审批、监控和回收。
• 合作终止时验证账号、凭证、数据、副本和远程通道全部退出。

验收标准。

• 从VPN、PAM、云IAM和运维通道反查供应商，是否有未进入供应商清单的第三方？
• 随机抽一项关键采购，安全评估是否在合同签订前影响了方案？
• 供应商工程师离场后，账号和长期凭证是否仍有效？
• 谁负责判断某项采购是否可能触发网络安全审查，判断依据是否留痕？

建立专项应急、演练和恢复能力

法规要求｜第15、18、25条等。 运营者应制定关基网络安全事件应急预案，定期演练，重大事件和重大威胁按规定报告并采取处置措施。

落实与验收。

• 关基专项预案覆盖攻击、勒索、系统中断、数据泄露、供应链事件、关键依赖故障等场景。
• 明确指挥、技术处置、业务降级、取证、恢复、对外沟通和监管报告职责。
• 演练必须覆盖真实依赖和失败条件，如主负责人不可达、主链路中断、备用系统不可用。
• 关键业务定义恢复目标和恢复路径，并通过演练验证，而不是只写RTO/RPO数字。

验收标准。

• 最近一次演练是否真的切换或验证关键系统，而不只是桌面讨论？
• 给出“主机房不可用+关键供应商不可达”的场景，现场能否找到备用决策和恢复路径？
• 预案联系人中随机拨测一名，是否仍有效？
• 演练暴露的问题是否改变了系统、流程或资源配置？

及时报告重大事件、重大威胁和重要变化

法规要求｜第11、18条等。 关基发生较大变化可能影响认定结果的，应及时报告；发生重大网络安全事件或者发现重大网络安全威胁时，应按规定报告。

落实与验收。

• 建立事件、威胁和重大变化三类报告触发条件，明确保护工作部门、公安机关等报告对象和联系人。
• 与企业统一事件响应机制联动，避免关基事件只在技术团队内部关闭。
• 预置报告模板、决策路径、备用渠道和最小初报信息。
• 同一事件触发网络安全、数据安全、个人信息和行业监管义务时并行跟踪。

验收标准。

• 随机抽一件关基高危事件，是否进入过报告适用性判断？
• 给出“重大威胁已确认但尚未形成实际损失”的场景，团队是否知道是否需要报告？
• 主监管联系人不可达时，备用联系人和渠道是否可用？
• 重大架构变更是否存在“技术团队认为只是内部改造，因此未评估关基认定影响”的情况？

管住关基测试和外部探测活动

法规要求｜第31条。 未经授权不得对关基实施漏洞探测、渗透性测试等可能影响其安全的活动。

落实与验收。

• 红队、渗透测试、漏洞扫描、供应商测试和演练必须有明确授权、范围、时间窗口和应急联系人。
• 测试方案评估对生产稳定性、数据和关键依赖的影响，必要时设置限速、白名单和停止条件。
• 外部未授权扫描、探测和攻击行为进入监测、阻断和事件响应。

验收标准。

• 随机抽一次红队或渗透测试，能否拿出明确授权和生产风险控制措施？
• 第三方安全服务商是否可能凭长期账号自行扩大测试范围？
• 测试触发生产告警后，SOC能否区分已授权活动和真实攻击？
• 未授权探测出现时是否有明确升级和阻断流程？

法规原文

以下保留法规原文用于具体条款核对和争议确认。

查看法规原文

关键信息基础设施安全保护条例

国务院令第745号，2021年9月1日起施行。本页先给出关基运营者可执行的安全要求，法规原文作为 Reference 保留在后半部分。

30 秒理解

这部条例不是另起一套与等保平行的体系，而是在网络安全等级保护基础上，对被认定为关键信息基础设施的系统实行更高强度、更明确责任、更强监管联动的重点保护。

核心可以压缩成七件事：

1. 安全保护与关基同步规划、同步建设、同步使用。
2. 主要负责人负总责，并设置专门安全管理机构。
3. 对专门安全管理机构负责人和关键岗位人员开展安全背景审查。
4. 建立持续监测、检测、风险评估、应急预案和演练能力。
5. 每年至少一次网络安全检测和风险评估，并完成整改闭环。
6. 管住关键产品、服务、外包和供应链风险，必要时履行网络安全审查。
7. 重大事件、重大威胁及时报告，所有关键动作可审计、可追溯。

先判断自己是不是关基运营者

关基不是企业自行声明，而是由保护工作部门依据认定规则组织认定并通知运营者。企业内部至少应维护：

• 已认定关基清单；
• 对应保护工作部门及联系人；
• 关基业务范围、网络边界、关键资产和依赖关系；
• 重大架构、业务、数据和供应链变化的重新认定触发机制。

安全要求实施矩阵

安全要求	要做什么	建议实施方式	做到什么程度	条款
三同步	安全不能等系统上线后再补	将安全需求纳入立项、架构、研发和上线门禁	新建、改建、扩建项目均有安全需求、预算、建设和验收记录；不达标不得上线	第12条
主要负责人负责	安全责任进入经营管理层	明确主要负责人、重大风险汇报和决策机制	年度计划、重大风险、重大事件有管理层决策和留痕	第13条
专门安全管理机构	关基保护由专门组织承担	设置专门机构，保障人员、经费和参与权	机构真实存在、职责明确、人员和经费匹配；重大网络安全与信息化决策有其参与	第14—16条
背景审查	高权限关键岗位实施更严格人员可信控制	上岗前背景审查、关键身份变化后复审	安全机构负责人和关键岗位人员均有审查记录	第14条
制度与计划	建立关基专门保护制度和年度计划	制度体系、年度任务、责任矩阵、考核机制	覆盖技术、人员、数据、供应链、事件和服务管理，并有执行记录	第13、15条
持续监测	持续发现攻击、异常和重大威胁	SOC/SIEM、NDR/EDR、日志集中、威胁情报、基线监控	关键系统和关键链路持续可见，重大风险能进入统一事件流程	第15条
检测与风险评估	定期证明关基风险真实受控	自行或委托专业机构开展检测评估	每年至少一次；问题有Owner、期限、整改和关闭证据，并按要求报送	第17条
应急预案与演练	重大事件发生时能快速处置和恢复	关基专项应急预案，覆盖攻击、故障、数据泄露、供应链事件	定期演练，能验证通信、决策、切换、取证、恢复和监管报告链路	第15、18、25条
事件和威胁报告	重大事件/重大威胁及时上报	预置报告对象、联系人、模板和升级机制	能在内部第一时间识别并向保护工作部门、公安机关按规定报告	第18条
安全可信采购	优先采购安全可信产品和服务	采购准入、安全评估、供应商尽调、合同控制	关键产品/服务有安全评估；可能影响国家安全时触发网络安全审查判断	第19条
供应商安全	明确提供者安全与保密责任	安全保密协议、访问控制、持续监督、退出管理	合同明确技术支持、安全保密义务和责任，并有履约监督证据	第20条
重大变化管理	关基变化可能影响认定时及时报告	重大变更流程增加关基影响判断	架构、业务、合并分立等变化可触发报告和重新认定判断	第11、21条
检查配合	能接受监管检查和检测	建立监管检查响应机制和证据库	资产、制度、日志、评估、整改等材料可快速提供	第26—28条
渗透测试授权	防止未经授权测试影响关基	红队/渗透测试必须走书面授权和窗口管理	所有测试均有明确授权、范围、时间和应急联系人；外部无授权测试严格禁止	第31条

做到什么程度才算基本落地

不能以“已经做过等保”作为完成标准。至少应看到：

关基范围清楚
  ↓
责任人与专门机构明确
  ↓
安全建设纳入系统全生命周期
  ↓
持续监测和年度检测评估真实运行
  ↓
风险问题有整改闭环
  ↓
供应链和关键采购受控
  ↓
重大事件可迅速处置并报告
  ↓
所有关键动作都有证据

CISO 自查

• 是否有正式的关基认定结果和内部关基清单？
• 每个关基的边界、关键资产、依赖关系是否清晰？
• 新建、改建、扩建关基项目是否真正执行“三同步”？
• 主要负责人是否实际参与重大安全风险和事件决策？
• 是否设置专门安全管理机构并保障人员、经费和决策参与权？
• 安全机构负责人和关键岗位人员是否完成背景审查？
• 最近一次年度检测和风险评估是否完成，发现问题是否全部闭环？
• 是否有专门的关基应急预案并定期演练？
• 关键采购、云服务、外包和供应商是否经过安全评估和合同约束？
• 是否已经明确哪些采购可能触发网络安全审查？
• 重大事件和重大威胁发生后，是否清楚向谁报告？
• 红队、渗透测试和漏洞探测是否全部具有明确授权？

---

Reference · 法规原文

以下保留法规原文，用于具体条款核对和争议确认。日常实施优先参考上方实施要求。

第一章 总 则

• 第一条 为了保障关键信息基础设施安全，维护网络安全，根据《中华人民共和国网络安全法》，制定本条例。

• 第二条 本条例所称关键信息基础设施，是指公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务、国防科技工业等重要行业和领域的，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的重要网络设施、信息系统等。

• 第三条 在国家网信部门统筹协调下，国务院公安部门负责指导监督关键信息基础设施安全保护工作。国务院电信主管部门和其他有关部门依照本条例和有关法律、行政法规的规定，在各自职责范围内负责关键信息基础设施安全保护和监督管理工作。

• 省级人民政府有关部门依据各自职责对关键信息基础设施实施安全保护和监督管理。

• 第四条 关键信息基础设施安全保护坚持综合协调、分工负责、依法保护，强化和落实关键信息基础设施运营者（以下简称运营者）主体责任，充分发挥政府及社会各方面的作用，共同保护关键信息基础设施安全。

• 第五条 国家对关键信息基础设施实行重点保护，采取措施，监测、防御、处置来源于中华人民共和国境内外的网络安全风险和威胁，保护关键信息基础设施免受攻击、侵入、干扰和破坏，依法惩治危害关键信息基础设施安全的违法犯罪活动。

• 任何个人和组织不得实施非法侵入、干扰、破坏关键信息基础设施的活动，不得危害关键信息基础设施安全。

• 第六条 运营者依照本条例和有关法律、行政法规的规定以及国家标准的强制性要求，在网络安全等级保护的基础上，采取技术保护措施和其他必要措施，应对网络安全事件，防范网络攻击和违法犯罪活动，保障关键信息基础设施安全稳定运行，维护数据的完整性、保密性和可用性。

• 第七条 对在关键信息基础设施安全保护工作中取得显著成绩或者作出突出贡献的单位和个人，按照国家有关规定给予表彰。

第二章 关键信息基础设施认定

• 第八条 本条例第二条涉及的重要行业和领域的主管部门、监督管理部门是负责关键信息基础设施安全保护工作的部门（以下简称保护工作部门）。

• 第九条 保护工作部门结合本行业、本领域实际，制定关键信息基础设施认定规则，并报国务院公安部门备案。

• 制定认定规则应当主要考虑下列因素：

• （一）网络设施、信息系统等对于本行业、本领域关键核心业务的重要程度；

• （二）网络设施、信息系统等一旦遭到破坏、丧失功能或者数据泄露可能带来的危害程度；

• （三）对其他行业和领域的关联性影响。

• 第十条 保护工作部门根据认定规则负责组织认定本行业、本领域的关键信息基础设施，及时将认定结果通知运营者，并通报国务院公安部门。

• 第十一条 关键信息基础设施发生较大变化，可能影响其认定结果的，运营者应当及时将相关情况报告保护工作部门。保护工作部门自收到报告之日起3个月内完成重新认定，将认定结果通知运营者，并通报国务院公安部门。

第三章 运营者责任义务

• 第十二条 安全保护措施应当与关键信息基础设施同步规划、同步建设、同步使用。

• 第十三条 运营者应当建立健全网络安全保护制度和责任制，保障人力、财力、物力投入。运营者的主要负责人对关键信息基础设施安全保护负总责，领导关键信息基础设施安全保护和重大网络安全事件处置工作，组织研究解决重大网络安全问题。

• 第十四条 运营者应当设置专门安全管理机构，并对专门安全管理机构负责人和关键岗位人员进行安全背景审查。审查时，公安机关、国家安全机关应当予以协助。

• 第十五条 专门安全管理机构具体负责本单位的关键信息基础设施安全保护工作，履行下列职责：

• （一）建立健全网络安全管理、评价考核制度，拟订关键信息基础设施安全保护计划；

• （二）组织推动网络安全防护能力建设，开展网络安全监测、检测和风险评估；

• （三）按照国家及行业网络安全事件应急预案，制定本单位应急预案，定期开展应急演练，处置网络安全事件；

• （四）认定网络安全关键岗位，组织开展网络安全工作考核，提出奖励和惩处建议；

• （五）组织网络安全教育、培训；

• （六）履行个人信息和数据安全保护责任，建立健全个人信息和数据安全保护制度；

• （七）对关键信息基础设施设计、建设、运行、维护等服务实施安全管理；

• （八）按照规定报告网络安全事件和重要事项。

• 第十六条 运营者应当保障专门安全管理机构的运行经费、配备相应的人员，开展与网络安全和信息化有关的决策应当有专门安全管理机构人员参与。

• 第十七条 运营者应当自行或者委托网络安全服务机构对关键信息基础设施每年至少进行一次网络安全检测和风险评估，对发现的安全问题及时整改，并按照保护工作部门要求报送情况。

• 第十八条 关键信息基础设施发生重大网络安全事件或者发现重大网络安全威胁时，运营者应当按照有关规定向保护工作部门、公安机关报告。

• 发生关键信息基础设施整体中断运行或者主要功能故障、国家基础信息以及其他重要数据泄露、较大规模个人信息泄露、造成较大经济损失、违法信息较大范围传播等特别重大网络安全事件或者发现特别重大网络安全威胁时，保护工作部门应当在收到报告后，及时向国家网信部门、国务院公安部门报告。

• 第十九条 运营者应当优先采购安全可信的网络产品和服务；采购网络产品和服务可能影响国家安全的，应当按照国家网络安全规定通过安全审查。

• 第二十条 运营者采购网络产品和服务，应当按照国家有关规定与网络产品和服务提供者签订安全保密协议，明确提供者的技术支持和安全保密义务与责任，并对义务与责任履行情况进行监督。

• 第二十一条 运营者发生合并、分立、解散等情况，应当及时报告保护工作部门，并按照保护工作部门的要求对关键信息基础设施进行处置，确保安全。

第四章 保障和促进

• 第二十二条 保护工作部门应当制定本行业、本领域关键信息基础设施安全规划，明确保护目标、基本要求、工作任务、具体措施。

• 第二十三条 国家网信部门统筹协调有关部门建立网络安全信息共享机制，及时汇总、研判、共享、发布网络安全威胁、漏洞、事件等信息，促进有关部门、保护工作部门、运营者以及网络安全服务机构等之间的网络安全信息共享。

• 第二十四条 保护工作部门应当建立健全本行业、本领域的关键信息基础设施网络安全监测预警制度，及时掌握本行业、本领域关键信息基础设施运行状况、安全态势，预警通报网络安全威胁和隐患，指导做好安全防范工作。

• 第二十五条 保护工作部门应当按照国家网络安全事件应急预案的要求，建立健全本行业、本领域的网络安全事件应急预案，定期组织应急演练；指导运营者做好网络安全事件应对处置，并根据需要组织提供技术支持与协助。

• 第二十六条 保护工作部门应当定期组织开展本行业、本领域关键信息基础设施网络安全检查检测，指导监督运营者及时整改安全隐患、完善安全措施。

• 第二十七条 国家网信部门统筹协调国务院公安部门、保护工作部门对关键信息基础设施进行网络安全检查检测，提出改进措施。

• 有关部门在开展关键信息基础设施网络安全检查时，应当加强协同配合、信息沟通，避免不必要的检查和交叉重复检查。检查工作不得收取费用，不得要求被检查单位购买指定品牌或者指定生产、销售单位的产品和服务。

• 第二十八条 运营者对保护工作部门开展的关键信息基础设施网络安全检查检测工作，以及公安、国家安全、保密行政管理、密码管理等有关部门依法开展的关键信息基础设施网络安全检查工作应当予以配合。

• 第二十九条 在关键信息基础设施安全保护工作中，国家网信部门和国务院电信主管部门、国务院公安部门等应当根据保护工作部门的需要，及时提供技术支持和协助。

• 第三十条 网信部门、公安机关、保护工作部门等有关部门，网络安全服务机构及其工作人员对于在关键信息基础设施安全保护工作中获取的信息，只能用于维护网络安全，并严格按照有关法律、行政法规的要求确保信息安全，不得泄露、出售或者非法向他人提供。

• 第三十一条 未经国家网信部门、国务院公安部门批准或者保护工作部门、运营者授权，任何个人和组织不得对关键信息基础设施实施漏洞探测、渗透性测试等可能影响或者危害关键信息基础设施安全的活动。对基础电信网络实施漏洞探测、渗透性测试等活动，应当事先向国务院电信主管部门报告。

• 第三十二条 国家采取措施，优先保障能源、电信等关键信息基础设施安全运行。

• 能源、电信行业应当采取措施，为其他行业和领域的关键信息基础设施安全运行提供重点保障。

• 第三十三条 公安机关、国家安全机关依据各自职责依法加强关键信息基础设施安全保卫，防范打击针对和利用关键信息基础设施实施的违法犯罪活动。

• 第三十四条 国家制定和完善关键信息基础设施安全标准，指导、规范关键信息基础设施安全保护工作。

• 第三十五条 国家采取措施，鼓励网络安全专门人才从事关键信息基础设施安全保护工作；将运营者安全管理人员、安全技术人员培训纳入国家继续教育体系。

• 第三十六条 国家支持关键信息基础设施安全防护技术创新和产业发展，组织力量实施关键信息基础设施安全技术攻关。

• 第三十七条 国家加强网络安全服务机构建设和管理，制定管理要求并加强监督指导，不断提升服务机构能力水平，充分发挥其在关键信息基础设施安全保护中的作用。

• 第三十八条 国家加强网络安全军民融合，军地协同保护关键信息基础设施安全。

第五章 法律责任

• 第三十九条 运营者有下列情形之一的，由有关主管部门依据职责责令改正，给予警告；拒不改正或者导致危害网络安全等后果的，处10万元以上100万元以下罚款，对直接负责的主管人员处1万元以上10万元以下罚款：

• （一）在关键信息基础设施发生较大变化，可能影响其认定结果时未及时将相关情况报告保护工作部门的；

• （二）安全保护措施未与关键信息基础设施同步规划、同步建设、同步使用的；

• （三）未建立健全网络安全保护制度和责任制的；

• （四）未设置专门安全管理机构的；

• （五）未对专门安全管理机构负责人和关键岗位人员进行安全背景审查的；

• （六）开展与网络安全和信息化有关的决策没有专门安全管理机构人员参与的；

• （七）专门安全管理机构未履行本条例第十五条规定的职责的；

• （八）未对关键信息基础设施每年至少进行一次网络安全检测和风险评估，未对发现的安全问题及时整改，或者未按照保护工作部门要求报送情况的；

• （九）采购网络产品和服务，未按照国家有关规定与网络产品和服务提供者签订安全保密协议的；

• （十）发生合并、分立、解散等情况，未及时报告保护工作部门，或者未按照保护工作部门的要求对关键信息基础设施进行处置的。

• 第四十条 运营者在关键信息基础设施发生重大网络安全事件或者发现重大网络安全威胁时，未按照有关规定向保护工作部门、公安机关报告的，由保护工作部门、公安机关依据职责责令改正，给予警告；拒不改正或者导致危害网络安全等后果的，处10万元以上100万元以下罚款，对直接负责的主管人员处1万元以上10万元以下罚款。

• 第四十一条 运营者采购可能影响国家安全的网络产品和服务，未按照国家网络安全规定进行安全审查的，由国家网信部门等有关主管部门依据职责责令改正，处采购金额1倍以上10倍以下罚款，对直接负责的主管人员和其他直接责任人员处1万元以上10万元以下罚款。

• 第四十二条 运营者对保护工作部门开展的关键信息基础设施网络安全检查检测工作，以及公安、国家安全、保密行政管理、密码管理等有关部门依法开展的关键信息基础设施网络安全检查工作不予配合的，由有关主管部门责令改正；拒不改正的，处5万元以上50万元以下罚款，对直接负责的主管人员和其他直接责任人员处1万元以上10万元以下罚款；情节严重的，依法追究相应法律责任。

• 第四十三条 实施非法侵入、干扰、破坏关键信息基础设施，危害其安全的活动尚不构成犯罪的，依照《中华人民共和国网络安全法》有关规定，由公安机关没收违法所得，处5日以下拘留，可以并处5万元以上50万元以下罚款；情节较重的，处5日以上15日以下拘留，可以并处10万元以上100万元以下罚款。

• 单位有前款行为的，由公安机关没收违法所得，处10万元以上100万元以下罚款，并对直接负责的主管人员和其他直接责任人员依照前款规定处罚。

• 违反本条例第五条第二款和第三十一条规定，受到治安管理处罚的人员，5年内不得从事网络安全管理和网络运营关键岗位的工作；受到刑事处罚的人员，终身不得从事网络安全管理和网络运营关键岗位的工作。

• 第四十四条 网信部门、公安机关、保护工作部门和其他有关部门及其工作人员未履行关键信息基础设施安全保护和监督管理职责或者玩忽职守、滥用职权、徇私舞弊的，依法对直接负责的主管人员和其他直接责任人员给予处分。

• 第四十五条 公安机关、保护工作部门和其他有关部门在开展关键信息基础设施网络安全检查工作中收取费用，或者要求被检查单位购买指定品牌或者指定生产、销售单位的产品和服务的，由其上级机关责令改正，退还收取的费用；情节严重的，依法对直接负责的主管人员和其他直接责任人员给予处分。

• 第四十六条 网信部门、公安机关、保护工作部门等有关部门、网络安全服务机构及其工作人员将在关键信息基础设施安全保护工作中获取的信息用于其他用途，或者泄露、出售、非法向他人提供的，依法对直接负责的主管人员和其他直接责任人员给予处分。

• 第四十七条 关键信息基础设施发生重大和特别重大网络安全事件，经调查确定为责任事故的，除应当查明运营者责任并依法予以追究外，还应查明相关网络安全服务机构及有关部门的责任，对有失职、渎职及其他违法行为的，依法追究责任。

• 第四十八条 电子政务关键信息基础设施的运营者不履行本条例规定的网络安全保护义务的，依照《中华人民共和国网络安全法》有关规定予以处理。

• 第四十九条 违反本条例规定，给他人造成损害的，依法承担民事责任。

• 违反本条例规定，构成违反治安管理行为的，依法给予治安管理处罚；构成犯罪的，依法追究刑事责任。

第六章 附 则

• 第五十条 存储、处理涉及国家秘密信息的关键信息基础设施的安全保护，还应当遵守保密法律、行政法规的规定。
• 关键信息基础设施中的密码使用和管理，还应当遵守相关法律、行政法规的规定。
• 第五十一条 本条例自2021年9月1日起施行。