网络安全审查办法
当前适用的是十三部门第8号令，自2022年2月15日起施行；仓库原先收录的2020年第6号令已被废止。
法规概览
| 项目 | 内容 |
|---|---|
| 适用对象 | 关键信息基础设施运营者、网络平台运营者 |
| 核心触发 | 关基采购影响或可能影响国家安全；平台数据处理活动影响或可能影响国家安全；掌握超过100万用户个人信息的平台运营者赴国外上市 |
| 核心风险 | 供应链中断或控制、核心/重要数据和大量个人信息风险、非法出境、上市后受外国政府影响控制等 |
| 生效日期 | 2022年2月15日 |
| 官方来源 | 国家互联网信息办公室 |
下文按 “法规要求 → 落实与验收” 展开：每项要求同时说明实施动作与可验证证据。关键不是临近采购签约或上市申报时才判断，而是把审查触发判断嵌入采购、数据处理和资本市场事项的前置流程。
安全要求与实施
建立审查触发识别机制
法规要求｜第2、5、7、16条。 关基运营者采购网络产品和服务、网络平台运营者开展数据处理活动，影响或者可能影响国家安全的，应按规定进行网络安全审查；掌握超过100万用户个人信息的网络平台运营者赴国外上市必须申报。
落实与验收。
- 维护关基身份、关键采购、网络平台业务、核心/重要数据和个人信息规模等基础信息。
- 在采购立项、重大数据处理活动、并购重组和境外上市等流程设置网络安全审查判断门禁。
- 明确“需要申报 / 不需要申报 / 需要进一步咨询确认”的判断标准、责任人和升级路径，并保留判断依据。
- 不能把“不是关基”作为所有场景的排除理由；网络平台运营者的数据处理活动同样可能进入审查范围。
验收证据。
- 从近一年重大采购和数据项目反查，有没有项目从未做过审查触发判断？
- 随机抽一个云服务、大型数据库或核心网络设备采购，谁在什么节点判断国家安全风险？
- 若企业属于网络平台运营者，现场核对用户个人信息规模以及境外上市事项是否进入强制申报判断。
- 对“不申报”的项目追问：依据是什么，谁批准，后续条件变化是否会重新判断？
对关键采购开展国家安全风险预判
法规要求｜第5、6、10条。 关基运营者应预判网络产品和服务投入使用后的国家安全风险；申报采购活动时，应通过采购文件、协议等要求供应商配合审查并作出相应承诺。
落实与验收。
- 风险预判覆盖非法控制和破坏、供应中断、供应来源可靠性、供应商守法情况以及核心数据、重要数据和大量个人信息风险。
- 对关键产品和服务识别单一来源、不可替代组件、远程运维、高权限访问、数据可见性和境外依赖。
- 将审查配合、不非法获取数据、不非法控制设备、不中断必要支持等要求写入采购和合同控制。
- 对高风险采购形成替代方案、退出机制和业务连续性安排。
验收证据。
- 随机抽一个关键供应商，风险评估是否真正分析供应中断和控制风险，还是普通供应商安全问卷？
- 模拟供应商停止更新、撤回技术支持或境外组件断供，关键业务能否继续运行？
- 合同中关于审查配合、数据获取、设备控制和持续支持的约束是否可以直接定位？
- 供应商架构或控制权发生重大变化后，是否会重新评估？
管住平台数据处理和赴国外上市风险
法规要求｜第2、7、10条。 网络平台运营者开展可能影响国家安全的数据处理活动适用审查；掌握超过100万用户个人信息的网络平台运营者赴国外上市必须申报。
落实与验收。
- 维护核心数据、重要数据、个人信息规模、数据出境、境外主体访问和平台关键基础设施清单。
- 资本市场项目启动时由法务、数据、安全和业务共同完成网络安全审查适用性判断。
- 对上市场景评估数据被外国政府影响、控制、恶意利用以及网络信息安全风险。
- 审查结论形成前，不以商业时间表替代法定程序。
验收证据。
- 用户数量和个人信息规模由哪个系统统计，能否现场重新计算？
- 上市、SPAC、反向收购等资本事项是否有统一入口触发安全合规判断？
- 抽一个重大数据处理活动，是否评估核心/重要数据、个人信息、非法出境和境外控制风险？
- 业务结构或数据规模变化后，原来的“不适用”判断是否仍然成立？
准备申报材料并管理审查过程
法规要求｜第8、9、11—16条。 当事人应提交申报书、国家安全风险分析报告、采购/合同或上市申请文件等材料，并按要求补充材料、采取预防和消减风险措施。
落实与验收。
- 建立申报材料责任矩阵和统一事实底稿，确保申报书、风险分析、合同、技术架构和数据清单口径一致。
- 指定监管联络人和内部决策机制，跟踪补充材料、审查意见、风险消减措施和最终结论。
- 将初步审查、特别审查和补充材料时间对项目计划的影响纳入决策，不承诺无法保证的审批完成时间。
- 审查期间的临时风险控制必须真正执行并留痕。
验收证据。
- 从申报书任意挑一个关键事实，能否追溯到原始系统、合同或数据台账？
- 风险分析报告与真实架构、供应商权限和数据流是否一致？
- 模拟监管要求48小时内补充关键材料，内部谁负责、从哪里取数、谁审批？
- 审查期间要求采取的风险消减措施是否能从配置和日志证明已经执行？
持续监督供应商承诺和审查结论
法规要求｜第19条。 当事人应督促产品和服务提供者履行网络安全审查中作出的承诺。
落实与验收。
- 将审查承诺转成可持续检查的合同义务、技术控制和供应商管理要求。
- 对供应商远程访问、数据访问、重大变更、支持中断等高风险事项持续监测。
- 审查结论附带条件的，逐项建立责任人、期限、运行证据和复核机制。
验收证据。
- 随机抽一项供应商在审查中作出的承诺，当前如何证明仍在履行？
- 合同续签、产品升级、云区域变化或供应商控制权变化时，是否重新核对审查条件？
- 从远程访问和数据访问日志反查，供应商实际权限是否超出承诺范围？
法规原文
以下为现行第8号令正文，用于条款核对。
查看法规原文
- 第一条 为了确保关键信息基础设施供应链安全，保障网络安全和数据安全，维护国家安全，根据《中华人民共和国国家安全法》、《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《关键信息基础设施安全保护条例》，制定本办法。
- 第二条 关键信息基础设施运营者采购网络产品和服务，网络平台运营者开展数据处理活动，影响或者可能影响国家安全的，应当按照本办法进行网络安全审查。前款规定的关键信息基础设施运营者、网络平台运营者统称为当事人。
- 第三条 网络安全审查坚持防范网络安全风险与促进先进技术应用相结合、过程公正透明与知识产权保护相结合、事前审查与持续监管相结合、企业承诺与社会监督相结合，从产品和服务以及数据处理活动安全性、可能带来的国家安全风险等方面进行审查。
- 第四条 在中央网络安全和信息化委员会领导下，国家互联网信息办公室会同国家发展和改革委员会、工业和信息化部、公安部、国家安全部、财政部、商务部、中国人民银行、国家市场监督管理总局、国家广播电视总局、中国证券监督管理委员会、国家保密局、国家密码管理局建立国家网络安全审查工作机制。网络安全审查办公室设在国家互联网信息办公室，负责制定网络安全审查相关制度规范，组织网络安全审查。
- 第五条 关键信息基础设施运营者采购网络产品和服务的，应当预判该产品和服务投入使用后可能带来的国家安全风险。影响或者可能影响国家安全的，应当向网络安全审查办公室申报网络安全审查。关键信息基础设施安全保护工作部门可以制定本行业、本领域预判指南。
- 第六条 对于申报网络安全审查的采购活动，关键信息基础设施运营者应当通过采购文件、协议等要求产品和服务提供者配合网络安全审查，包括承诺不利用提供产品和服务的便利条件非法获取用户数据、非法控制和操纵用户设备，无正当理由不中断产品供应或者必要的技术支持服务等。
- 第七条 掌握超过100万用户个人信息的网络平台运营者赴国外上市，必须向网络安全审查办公室申报网络安全审查。
- 第八条 当事人申报网络安全审查，应当提交：（一）申报书；（二）关于影响或者可能影响国家安全的分析报告；（三）采购文件、协议、拟签订的合同或者拟提交的首次公开募股（IPO）等上市申请文件；（四）网络安全审查工作需要的其他材料。
- 第九条 网络安全审查办公室应当自收到符合本办法第八条规定的审查申报材料起10个工作日内，确定是否需要审查并书面通知当事人。
- 第十条 网络安全审查重点评估相关对象或者情形的以下国家安全风险因素：（一）产品和服务使用后带来的关键信息基础设施被非法控制、遭受干扰或者破坏的风险；（二）产品和服务供应中断对关键信息基础设施业务连续性的危害；（三）产品和服务的安全性、开放性、透明性、来源的多样性，供应渠道的可靠性以及因为政治、外交、贸易等因素导致供应中断的风险；（四）产品和服务提供者遵守中国法律、行政法规、部门规章情况；（五）核心数据、重要数据或者大量个人信息被窃取、泄露、毁损以及非法利用、非法出境的风险；（六）上市存在关键信息基础设施、核心数据、重要数据或者大量个人信息被外国政府影响、控制、恶意利用的风险，以及网络信息安全风险；（七）其他可能危害关键信息基础设施安全、网络安全和数据安全的因素。
- 第十一条 网络安全审查办公室认为需要开展网络安全审查的，应当自向当事人发出书面通知之日起30个工作日内完成初步审查；情况复杂的，可以延长15个工作日。
- 第十二条 网络安全审查工作机制成员单位和相关部门应当自收到审查结论建议之日起15个工作日内书面回复意见。意见一致的，网络安全审查办公室书面通知当事人；意见不一致的，按照特别审查程序处理。
- 第十三条 按照特别审查程序处理的，网络安全审查办公室应当听取相关单位和部门意见，进行深入分析评估，再次形成审查结论建议，并按程序报中央网络安全和信息化委员会批准后形成审查结论并书面通知当事人。
- 第十四条 特别审查程序一般应当在90个工作日内完成，情况复杂的可以延长。
- 第十五条 网络安全审查办公室要求提供补充材料的，当事人、产品和服务提供者应当予以配合。提交补充材料的时间不计入审查时间。
- 第十六条 网络安全审查工作机制成员单位认为影响或者可能影响国家安全的网络产品和服务以及数据处理活动，由网络安全审查办公室按程序报中央网络安全和信息化委员会批准后，依照本办法进行审查。为了防范风险，当事人应当在审查期间按照网络安全审查要求采取预防和消减风险的措施。
- 第十七条 参与网络安全审查的相关机构和人员应当严格保护知识产权，对在审查工作中知悉的商业秘密、个人信息、未公开材料以及其他未公开信息承担保密义务。
- 第十八条 当事人或者网络产品和服务提供者认为审查人员有失客观公正，或者未能承担保密义务的，可以向网络安全审查办公室或者有关部门举报。
- 第十九条 当事人应当督促产品和服务提供者履行网络安全审查中作出的承诺。网络安全审查办公室通过接受举报等形式加强事前事中事后监督。
- 第二十条 当事人违反本办法规定的，依照《中华人民共和国网络安全法》、《中华人民共和国数据安全法》的规定处理。
- 第二十一条 本办法所称网络产品和服务主要指核心网络设备、重要通信产品、高性能计算机和服务器、大容量存储设备、大型数据库和应用软件、网络安全设备、云计算服务，以及其他对关键信息基础设施安全、网络安全和数据安全有重要影响的网络产品和服务。
- 第二十二条 涉及国家秘密信息的，依照国家有关保密规定执行。国家对数据安全审查、外商投资安全审查另有规定的，应当同时符合其规定。
- 第二十三条 本办法自2022年2月15日起施行。2020年4月13日公布的《网络安全审查办法》（第6号令）同时废止。