法规关系、时间与责任索引
本页集中保存法规关系、时间与责任条件。业务适用和统一治理模型见安全合法合规总览。目录整理与内容编辑不代表重新审查全部条款，具体案件须结合行为时间、主体和正式文本判断。
法规关系与适用顺序
效力层级与主题关系分别看
国家层面的法律效力高于行政法规，行政法规高于部门规章，依据《立法法》第99条。法律、法规、规章以外的其他规范性文件不得设定行政处罚，依据《行政处罚法》第16条。
| 层级 | 本目录代表文件 | 需要确认的关系 |
|---|---|---|
| 法律 | 网络安全法、数据安全法、个人信息保护法、国家安全法、密码法、电子签名法、反电信网络诈骗法 | 处于同一效力层级；不能将国家安全法画成效力高于其他法律的一层 |
| 行政法规 | 网络数据安全管理条例、关基保护条例、商用密码管理条例、未成年人网络保护条例、互联网信息服务管理办法 | 由国务院制定，在法律框架内细化制度；名称为“办法”不改变其层级 |
| 部门规章 | 网络安全审查办法、数据出境安全评估办法、个人信息合规审计办法、人民银行3号令和4号令等 | 依制定机关、职权与范围适用，不因专项就自动优先于法律 |
| 行政规范性文件 | 漏洞管理规定、国家网络安全事件报告办法、AI标识办法、银行保险机构数据安全办法等 | 实施和监管要求；责任须追溯有权设定处罚的依据 |
文件名称不能单独决定层级。本页没有完整展开地方性法规、地方政府规章和技术标准，涉及属地及行业特殊要求时另行核验。
交叉适用与专项衔接
网络安全法聚焦网络运行、产品、关基与应急；数据安全法覆盖数据处理及保护；个人信息保护法聚焦个人信息处理合法性、权益与处理者责任。同一系统可以同时适用。
| 主题 | 阅读关系 |
|---|---|
| 网络与系统 | 网络安全法 → 关基、采购审查、漏洞和事件专项规则 |
| 数据与个人信息 | 三部基础法律 → 网络数据安全管理条例 → 风险评估、审计、人脸等专项规则 |
| 数据跨境 | 基础法律和条例 → 跨境流动规定 → 评估、合同或认证路径 |
| 平台与AI | 网络、数据、个人信息及互联网服务要求 → 内容、算法、合成、标识、未成年人等专项规则 |
| 密码与可信身份 | 密码法 → 商用密码法规、密评与关基商密要求；电子签名另核效力和认证责任 |
| 行业 | 根据支付、银行保险、汽车等主体和活动叠加行业规则 |
箭头只表示阅读关系，不表示只有一部上位法或必须顺序履行。
跨境规则组合使用。 2024年规定第13条明确，此前安全评估和标准合同办法与其不一致的适用该规定；免于三项出境程序不等于免除个人信息和数据安全义务。
报告按接收部门分别判断。 国家事件报告办法与人民银行2025年第4号令的主体、分级和时限不同。向人民银行报告不当然替代网信、公安、关基或其他行业义务。
金融文件先辨主体。 2020年监管数据办法管理监管部门及受托机构的监管数据活动；2024年银行保险机构数据办法面向机构的数据处理活动，不能因名称接近混用。
公布与施行时间总览
公布、印发优先采用令或通知的落款日期；施行采用对应生效条款。网页上网日、报道日、本站更新时间不能替代。表中修订或修正日期不表示首次制定。
基础法律
| 文件 | 公布／修正日期 | 对应版本施行 | 定位 |
|---|---|---|---|
| 国家安全法 | 2015-07-01 | 2015-07-01 | 总体制度及组织、个人义务 |
| 网络安全法 | 2025-10-28修正 | 2026-01-01 | 网络、关基、产品与事件 |
| 数据安全法 | 2021-06-10 | 2021-09-01 | 数据处理、重要及核心数据 |
| 个人信息保护法 | 2021-08-20 | 2021-11-01 | 合法性、个人权益与责任 |
| 密码法 | 2019-10-26 | 2020-01-01 | 密码分类和商用密码 |
| 电子签名法 | 2019-04-23修正 | 2019-04-23 | 电子签名、数据电文与认证 |
| 反电信网络诈骗法 | 2022-09-02 | 2022-12-01 | 金融、电信与互联网反诈 |
网络安全法首次于2016-11-07通过、2017-06-01施行，表中是2025年修正版本，不能将旧条号与新罚则拼接。电子签名法首次于2004-08-28通过、2005-04-01施行，现行文本包括2015年、2019年修正，见官方全文。
行政法规
| 文件 | 公布／修订日期 | 对应版本施行 | 定位 |
|---|---|---|---|
| 互联网信息服务管理办法 | 2024-12-06第二次修订 | 2025-01-20 | 许可、备案及服务管理；首次公布为2000-09-25 |
| 关基保护条例 | 2021-07-30 | 2021-09-01 | 认定、运营者责任与保护 |
| 商用密码管理条例 | 2023-04-27修订 | 2023-07-01 | 产品服务、应用与监管 |
| 未成年人网络保护条例 | 2023-10-16 | 2024-01-01 | 内容、信息保护与沉迷防治 |
| 网络数据安全管理条例 | 2024-09-24 | 2025-01-01 | 网络数据处理综合实施规则 |
互联网信息服务管理办法的现行整合文本已包含2024年第二次修订，不能继续以2011年版本作为现行索引。
网络运行、评估与密码
| 文件与层级 | 公布／印发 | 施行 | 对象 |
|---|---|---|---|
| 漏洞管理规定 · 规范性文件 | 2021-07-12 | 2021-09-01 | 产品、网络运营及漏洞收集发布 |
| 网络安全审查办法 · 部门规章 | 2021-12-28 | 2022-02-15 | 关基采购、特定平台等审查 |
| 密评管理办法 · 部门规章 | 2023-09-26 | 2023-11-01 | 依法需要密评的系统 |
| 关基商密规定 · 部门规章 | 2025-06-11 | 2025-08-01 | 关基商密使用和评估 |
| 国家事件报告办法 · 规范性文件 | 2025-09-11 | 2025-11-01 | 网络运营者分级报告 |
| 网络数据风险评估办法 · 部门规章 | 2026-06-18 | 2026-08-20 | 重要数据评估、报告、整改 |
个人信息与数据出境
| 文件与层级 | 公布／印发 | 施行 | 对象 |
|---|---|---|---|
| App必要信息规定 · 规范性文件 | 2021-03-12 | 2021-05-01 | 基本功能与必要信息 |
| 出境安全评估办法 · 部门规章 | 2022-07-07 | 2022-09-01 | 依法申报安全评估 |
| 标准合同办法 · 部门规章 | 2023-02-22 | 2023-06-01 | 个人信息出境合同路径 |
| 跨境流动规定 · 部门规章 | 2024-03-22 | 2024-03-22 | 门槛、豁免和实施条件 |
| 个人信息合规审计办法 · 部门规章 | 2025-02-12 | 2025-05-01 | 自行、委托及监管要求审计 |
| 人脸识别办法 · 部门规章 | 2025-03-13 | 2025-06-01 | 人脸处理、安全与备案 |
| 网络身份认证办法 · 部门规章 | 2025-05-19 | 2025-07-15 | 网号网证与公共认证 |
| 个人信息出境认证办法 · 部门规章 | 2025-10-14 | 2026-01-01 | 符合条件的认证路径 |
| 小型处理者简化措施 · 部门规章 | 2026-07-22 | 2026-09-01 | 条件适用的简化履责 |
平台、内容与AI
| 文件与层级 | 公布／修订 | 施行 | 对象 |
|---|---|---|---|
| 内容生态治理规定 · 部门规章 | 2019-12-15 | 2020-03-01 | 内容生产与平台治理 |
| 算法推荐规定 · 部门规章 | 2021-12-31 | 2022-03-01 | 算法、用户权益及备案 |
| App服务规定 · 规范性文件 | 2022-06-14修订 | 2022-08-01 | 提供者与分发平台 |
| 深度合成规定 · 部门规章 | 2022-11-25 | 2023-01-10 | 服务、技术支持和标识 |
| 生成式AI暂行办法 · 部门规章 | 2023-07-10 | 2023-08-15 | 向境内公众提供服务 |
| 网络暴力治理规定 · 部门规章 | 2024-06-12 | 2024-08-01 | 预警、处置与用户保护 |
| AI内容标识办法 · 规范性文件 | 2025-03-07 | 2025-09-01 | 显式、隐式和传播核验 |
| 拟人化互动办法 · 部门规章 | 2026-04-10 | 2026-07-15 | 持续情感互动与用户保护 |
金融与汽车专项
| 文件与层级 | 公布／印发 | 施行 | 适用边界 |
|---|---|---|---|
| 商业银行IT风险指引 · 规范性文件 | 2009-03-03，银监发〔2009〕19号 | 颁布之日起 | 商业银行及按文件参照执行的主体 |
| 监管数据安全办法 · 规范性文件 | 2020-09-23 | 印发之日起 | 监管部门与受托机构 |
| 汽车数据规定 · 部门规章 | 2021-08-16 | 2021-10-01 | 汽车设计、生产、使用等数据活动 |
| 银行保险数据办法 · 规范性文件 | 2024-12-27 | 公布之日起 | 银行保险及规定参照主体 |
| 人民银行3号令 · 部门规章 | 2025-05-01 | 2025-06-30 | 人民银行业务领域数据 |
| 人民银行2025年4号令 · 部门规章 | 2025-05-23 | 2025-08-01 | 金融从业机构相关网络事件 |
| 非银行支付监督条例 · 行政法规 | 2023-12-09 | 2024-05-01 | 支付系统、核心技术和用户信息 |
| 非银行支付实施细则 · 部门规章 | 2024-07-09 | 2024-07-09 | 设施、运营、应急及报告 |
| 支付机构分类评级办法 · 规范性文件 | 2025-12-24 | 2026-02-01 | 年度分类评级，具体要素及依据见明细页 |
“印发之日起”等保留对应原文口径。例如监管数据办法网页公开日为2021-01-15，通知落款为2020-09-23，不能混为同一日期，见原文及元数据。
处罚与其他法律后果
金额必须与违法行为、主体、情节、后果及责任条款一起看。以下保留与安全治理相关的典型情形，不是全部罚则，金额为人民币；不能把每部文件最高档当作违反任一条款的固定后果。
展开基础法律的典型处罚条件与金额
| 违法情形与依据 | 组织／经营主体后果 | 直接责任人员后果 |
|---|---|---|
| 网络运营者未履行保护义务，网络安全法第61条第1款 | 改正、警告，可罚1万—5万元；拒不改正或导致危害等后果，罚5万—50万元 | 后一档罚1万—10万元 |
| 关基运营者未履行列明义务，第61条第2款 | 改正、警告，可罚5万—10万元；拒不改正或导致危害后果，罚10万—100万元 | 后一档罚1万—10万元 |
| 前述保护义务违法造成严重或特别严重后果，第61条第3款 | 大量数据泄露、关基丧失局部功能等严重后果：50万—200万元；关基丧失主要功能等特别严重后果：200万—1000万元 | 两档分别5万—20万元、20万—100万元，须匹配后果条件 |
| 关基使用未经审查或审查未通过产品服务，第67条 | 限期改正、停止使用、消除影响，罚采购金额1—10倍 | 1万—10万元 |
| 违法开展检测评估或发布漏洞等安全信息，第65条 | 警告、改正，可罚1万—10万元；拒不改正或严重，罚10万—100万元，可停业、关闭网站App、吊销许可执照；达到第61条第3款后果的转该款 | 拒不改正或严重档1万—10万元；更严重后果按转引条款 |
| 不履行数据保护、监测、重要数据评估等，数据安全法第45条第1款 | 改正、警告，可并罚5万—50万元；拒不改正或大量泄露等严重后果，罚50万—200万元，可暂停业务、停业整顿、吊销许可执照 | 一般档可罚1万—10万元；后一档5万—20万元 |
| 违反核心数据制度且危害主权、安全和发展利益，第45条第2款 | 200万—1000万元，可按情况暂停业务、停业整顿、吊销许可执照 | 构成犯罪追究刑责；该款未另列统一个人行政罚款档 |
| 违法向境外提供重要数据，第46条 | 改正、警告，可并罚10万—100万元；严重档100万—1000万元，可暂停业务、停业整顿、吊销许可执照 | 一般档可罚1万—10万元；严重档10万—100万元 |
| 违法处理个人信息或不履行保护义务，个保法第66条第1款 | 改正、警告、没收违法所得；违法App可被暂停或终止服务；拒不改正并罚100万元以下 | 1万—10万元 |
| 前述个人信息违法情节严重，第66条第2款 | 改正、没收违法所得，并罚5000万元以下或上一年度营业额5%以下；可暂停业务、停业整顿，并通报有关主管部门吊销许可执照 | 10万—100万元，可在一定期限禁止担任相关董事、监事、高管和个人信息保护负责人 |
| 银行、支付机构违反列明反诈义务，反电信网络诈骗法第40条 | 较轻：警告、通报批评或5万—50万元；严重：50万—500万元，并可停止新增业务、缩减或暂停业务、吊销许可等 | 严重情形罚1万—20万元 |
个保法使用“5000万元以下或者上一年度营业额5%以下”，不能将两项相加或将营业额换成利润。责任人员认定须核对职责和事实，不仅凭CISO、法定代表人或业务负责人的职务名称推定必然受罚。
展开专项规则如何衔接处罚、监管措施与其他后果
| 文件／场景 | 责任连接与后果 | 使用边界 |
|---|---|---|
| 网络数据安全管理条例 | 第55、57条分别对应一般和重要数据义务；第55条列举行为拒不改正或严重可罚100万元以下；第57条重要数据义务在拒不改正或严重后果档为50万—200万元，并有人员和业务后果 | 匹配具体违反条款；第58条衔接网络安全法、数据安全法和个保法 |
| 人民银行3号令 | 第49条列举行为转引数据安全法第45条；第47条约谈整改检查，第48条涉及出境案件移送 | 不能把转引罚则当作另一笔可重复累计的罚款 |
| 人民银行2025年4号令 | 第26—29条涉及拒绝检查、未报告、未补救等；业务数据或个人信息分别衔接相关上位法 | 发布时旧网络安全法条号须与现行对应；内部责任减免不等于行政免责 |
| 银行保险数据办法 | 第76—77条包括谈话、通报、改正、暂停终止相关系统服务，以及第三方合作措施；行政处罚衔接银行、保险法律 | 不同主体依据不同，不能套给所有支付机构 |
| 监管数据办法 | 第27、29条包括终止委托、移交销毁数据及整改 | 监管部门及受托机构场景；终止合作不同于罚款 |
| 关基、采购审查和漏洞 | 分别对照关基条例、审查办法、漏洞规定及现行网络安全法 | 认定保护、采购审查、修补和披露是不同构成，不共用一个上限 |
| 密码产品、服务与应用 | 对照密码法责任章、商用密码条例责任章及相应专项规定 | 密评未通过、未履行密评义务、销售不合规产品分别判断 |
| 个人信息审计、人脸、App、简化措施及出境 | 核对专项义务和责任；构成个保违法衔接第66条等，重要数据出境另查数据安全法 | 程序豁免和简化不等于免除实体保护 |
| 生成式AI与内容标识 | 生成式AI办法第21条先援引法律行政法规；没有对应规定时可警告、通报批评、限期改正，拒不改正或严重可暂停服务；标识办法第13条衔接有关法律法规规章 | 不能概括为违反任一AI规定一律罚5000万元 |
| 内容、算法、合成、拟人化与未成年人 | 按对应责任条款；违法信息处置可能涉及网络安全法第69条，个人信息另核个保法 | 各类主体、行为与后果分别判断，备案不能替代其他义务 |
| 国家安全、电子签名及汽车数据 | 分别核对国家安全法第13条、电子签名法责任章及汽车数据责任条款 | 保留各自条件，不编造统一罚款额 |
旧条号校准。 人民银行2025年4号令第26—28条发布时引用网络安全法第69、59、60条，现行文本中相关检查协助、保护义务、产品服务责任对应第70、61、62条。保留专项原文的历史引用，用现行法律核对责任，不能擅改原文。
金额之外的责任适用
行政处罚、监管措施、合同终止与民事赔偿不能合并称为罚款；涉嫌犯罪的行政罚款不代替刑事责任。分别核对行政处罚法第8、9、27条和个保法第64、66、69—71条。
行政处罚法第29条规定同一违法行为不得给予两次以上罚款，违反多个规范应罚款时按罚款数额高的规定处罚；多个独立行为、单位和个人责任仍按事实判断，不能机械叠加各上限。
第37条涉及行为发生时规定与后来较轻或不认为违法规定的适用，2026年新罚则不能无条件追溯此前行为。第32—33条及人民银行3号令第52条等涉及从轻、减轻或不予处罚的具体条件。保存真实履职、监测、整改和报送证据，不能预设内部免责必然约束行政机关。
从法规映射到企业治理
业务适用、控制建设和验收应在治理域维护，本页不重复复制主体清单、技术控制和检查问题。
| 企业当前任务 | 进入的实施内容 | 应保留的输出 |
|---|---|---|
| 新系统、改造和关键采购 | 网络与基础设施安全 | 对象、等保关基密码及采购判断、验证与整改 |
| 数据资产、共享与个人信息 | 数据与隐私安全 | 分类、合法基础、处理流、评估审计与证据 |
| 出境、海外支持和境外经营 | 数据跨境、海外业务 | 两侧规则、数据流、路径及持续变更判断 |
| 支付或银行保险业务 | 支付与金融安全 | 牌照主体、业务数据、事件报告及监管整改 |
| App、内容与AI能力 | 平台App与AI | 功能和用户范围、适用程序、测试与持续治理 |
| 行业与综合依据 | 行业专项、基础与综合 | 专项义务与通用控制的对应关系 |
| 证明符合要求 | 认证测评与资质 | 真实主体、范围、版本、状态与原始证明 |
建议义务台账统一保存：规则版本、适用主体、具体活动、条款与条件、控制责任人、证据、复核人及变化触发。安全、法务、数据、研发、业务、采购共同协作；内部岗位分工是组织安排，不直接等同于法定主体或个人责任认定。