中华人民共和国网络安全法
本文依据2025年10月28日修正、2026年1月1日起施行的现行《中华人民共和国网络安全法》整理。旧版本中的条文序号和部分法律责任已发生变化，检查时应以现行文本为准。
法规概览
| 项目 | 内容 |
|---|---|
| 法规 | 《中华人民共和国网络安全法》（2016年通过，2025年修正） |
| 现行版本施行日期 | 2026年1月1日 |
| 主要适用对象 | 在中国境内建设、运营、维护和使用网络的组织和个人，以及网络产品、服务提供者、关键信息基础设施运营者等 |
| 核心问题 | 等级保护、网络运行安全、产品与漏洞安全、事件应急、关键信息基础设施、个人信息和网络信息安全、监测预警与法律责任 |
| 官方来源 | 中国人大网 · 中国网信网现行全文 |
下文按 “法规要求 → 落实与验收” 展开：每项要求同时说明实施动作与可验证的验收标准。网络安全法属于基础性法律，数据安全、个人信息保护、关键信息基础设施、漏洞管理和网络安全事件报告等具体义务，还需要结合专项法规并行落实。
安全要求与实施
| 核心主题 | 达成状态 |
|---|---|
| 网络安全等级保护 | 网络和系统有明确保护等级，制度、技术和运营措施与等级匹配 |
| 网络运行安全 | 账号、边界、主机、应用、日志、数据和运维风险持续受控 |
| 产品与漏洞安全 | 自研和采购产品的安全缺陷可发现、可通报、可修复、可追踪 |
| 事件应急与报告 | 事件能及时发现、研判、处置并依法报告 |
| 关键信息基础设施 | 关基身份、供应链、人员、数据和年度检测评估要求有专项闭环 |
| 个人信息和信息内容 | 个人信息处理与违法信息治理有制度和技术控制 |
以等级保护作为网络运行安全基线
法规要求｜第23条。 国家实行网络安全等级保护制度。网络运营者应建立内部安全管理制度和操作规程，确定网络安全负责人，采取防病毒、防攻击、防入侵等技术措施，监测并记录网络运行状态和网络安全事件，网络日志留存不少于六个月，并采取数据分类、重要数据备份和加密等措施。
落实与验收。
- 维护网络和信息系统资产清单，明确系统边界、业务属性、责任人、等级保护定级和备案状态。
- 把制度责任、身份鉴别、访问控制、边界防护、恶意代码防范、入侵检测、漏洞管理、安全审计、数据备份等要求落到具体控制项。
- 安全日志形成统一采集策略，明确日志类型、留存时间、完整性保护和查询权限，避免“有日志但关键字段缺失”。
- 重要数据和关键配置建立备份策略，并定期验证恢复能力，而不是只检查备份任务是否成功。
验收标准。
- 从生产资产反查：是否存在已上线但未纳入定级、备案或安全运营范围的系统？
- 随机抽一个高等级系统，等级保护测评问题是否真正完成整改，还是只形成书面说明？
- 抽取六个月前的认证、管理操作、网络访问和安全告警日志，能否实际查询并关联到具体账号、资产和时间？
- 随机选一个关键系统执行恢复演练，能否在既定RTO/RPO内恢复，而不是仅证明“有备份文件”？
建立持续的网络运行安全控制
法规要求｜第23、27条等。 网络运营者不仅要建设安全能力，还应持续监测、记录和处置网络安全风险；发现系统漏洞、计算机病毒、网络攻击、网络侵入等风险时，应及时处置。
落实与验收。
- 对互联网暴露面、身份权限、主机与容器、应用、数据库、云资源和网络边界建立持续安全监测。
- 将高危漏洞、弱口令、异常登录、权限提升、恶意进程、数据异常访问等风险统一进入处置闭环。
- 明确安全负责人和关键岗位职责，重大风险具备升级、授权和跨团队协同机制。
- 对高权限账号、远程运维、生产变更和第三方接入实施更严格的身份鉴别、最小权限和审计要求。
验收标准。
- 任选一个互联网域名或公网IP，能否关联到资产所有者、业务用途、暴露端口和最近安全检查结果？
- 抽取近期高危告警，从发现到关闭能否看到研判、处置、复核完整证据？
- 检查离职、转岗、外包退出后的账号权限，是否存在应撤未撤和共享账号？
- 检查生产运维记录，高风险操作是否可以关联到个人身份、审批和具体命令？
把产品安全、漏洞和供应商纳入同一生命周期
法规要求｜第24至26条等。 网络产品、服务应符合相关国家标准强制性要求，不得设置恶意程序；发现安全缺陷、漏洞等风险后，应立即采取补救措施，并按规定告知用户、向主管部门报告。网络关键设备和网络安全专用产品还涉及认证检测要求。
落实与验收。
- 自研产品建立安全开发生命周期，覆盖威胁建模、代码安全、依赖治理、测试、发布和漏洞响应。
- 对采购的软件、设备、云和安全服务明确安全要求、支持期限、漏洞通知、补丁SLA和终止服务安排。
- 建立统一漏洞入口，能区分自研、供应链和外部披露漏洞，并跟踪受影响版本、资产、修复和验证结果。
- 对属于监管报告范围的漏洞或产品安全问题，预先明确报告判断标准和负责人。
验收标准。
- 从一个已知高危CVE反查，受影响资产识别是否完整，是否包含第三方组件和历史版本？
- 抽一个已停止维护的第三方软件，组织是否知道其EOS/EOL状态并有替代计划？
- 查看漏洞修复工单，是否只记录“已升级”，还是有版本、资产、验证和回归证据？
- 随机抽采购合同，是否写明漏洞通知、补丁支持、事件协助和安全维护期限？
事件发生时立即启动应急处置并依法报告
法规要求｜第27条及相关规定。 网络运营者应制定网络安全事件应急预案；发生危害网络安全的事件时，应立即启动预案，采取补救措施，并按照规定向有关主管部门报告。
落实与验收。
- 应急预案至少覆盖攻击入侵、数据泄露、勒索软件、供应链攻击、关键系统中断和重大漏洞利用。
- 事件分级标准与国家和行业专项报告制度保持一致，避免内部P级与法定事件等级互相替代。
- 预案中明确技术处置、证据保全、业务连续性、监管报告、用户沟通和舆情协同责任。
- 定期组织桌面推演和实战演练，验证非工作时间、关键人员不可达和供应商参与等真实场景。
验收标准。
- 抽取最近一次真实安全事件，能否还原发现、升级、处置、报告、恢复和复盘的完整时间线？
- 模拟负责人不可达，值班人员是否知道谁有权启动重大事件响应和监管报告？
- 检查事件现场是否保留关键日志、镜像、账号、样本和操作记录，还是处置过程中证据被覆盖？
- 对照《国家网络安全事件报告管理办法》等专项规定，报告对象、时限和内容是否一致？
对关键信息基础设施实施更高等级保护
法规要求｜第三章第二节。 关键信息基础设施在网络安全等级保护基础上实行重点保护，运营者需要加强专门安全管理、人员和培训、容灾备份、应急演练、采购供应链安全以及检测评估等工作。
落实与验收。
- 明确哪些系统被认定或可能纳入关键信息基础设施，建立独立的关基资产和依赖关系清单。
- 对关键岗位和人员实施背景、授权、离岗和保密管理，对重大供应商和产品开展供应链风险管理。
- 关基系统建设、改造和采购阶段同步设计安全保护能力，不把安全控制留到上线后补做。
- 按现行法律和配套制度开展安全检测评估、风险整改和重大事件演练。
验收标准。
- 关基资产清单与实际生产拓扑是否一致，关键依赖、云资源和第三方连接是否遗漏？
- 抽一个关键供应商，能否看到准入、变更、漏洞、远程运维和退出全过程的安全控制？
- 最近一次检测评估发现的问题是否有责任人、期限、复测和风险接受依据？
- 核心系统失效时是否有可执行的替代链路、容灾方案和人工应急方案？
将个人信息保护与网络安全控制衔接起来
法规要求｜第42条及相关条款。 现行网络安全法明确网络运营者处理个人信息时，应同时遵守民法典、个人信息保护法等法律、行政法规规定。网络安全法中的网络运行和数据安全控制不能替代个人信息保护法上的合法性基础、告知同意、个人权利等义务。
落实与验收。
- 将个人信息处理活动清单与系统、接口、日志、数据存储和第三方共享关系绑定，避免隐私台账与真实数据流脱节。
- 对个人信息访问实施最小权限、敏感操作审计、脱敏和防泄漏控制。
- 数据泄露事件同时触发安全应急与个人信息保护事件响应流程。
- 涉及委托处理、共同处理、对外提供和跨境场景时，按照个人信息保护专项制度执行。
验收标准。
- 从一个敏感个人信息字段追踪采集、传输、存储、使用、共享、删除全链路，实际系统是否与隐私声明和台账一致？
- 数据库管理员是否可以无审批批量导出个人信息，导出行为是否有告警和审计？
- 测试、分析和AI训练环境是否直接复制生产个人信息，是否有必要性和保护措施？
- 个人信息安全事件演练是否包含通知、报告、影响评估和用户权利处理？
把法律责任映射到内部风险等级
法规要求｜第六章。 2025年修法重点强化网络运行安全、网络信息安全和关键信息基础设施等违法行为的法律责任，并对造成严重、特别严重影响或后果的情形提高处罚强度。
落实与验收。
- 将法定义务与内部控制项建立映射，对“长期未整改”“重复发生”“可能导致大量数据泄露或关键功能丧失”的问题提高风险等级。
- 高风险例外必须明确责任人、期限、补偿控制和管理层风险接受，不允许无限期延期。
- 对监管检查和历史处罚暴露的问题建立跨系统复用机制，避免同类问题在不同业务重复出现。
验收标准。
- 查看风险接受清单，是否存在高危问题长期延期且没有补偿控制？
- 同类漏洞或权限问题在多个系统重复出现时，是否上升为平台化、机制化整改？
- 管理层看到的网络安全风险是否能对应具体法律义务和潜在后果，而不是只有技术严重度？
法规原文
现行全文请以官方发布版本为准：