非银行支付机构监督管理条例
《非银行支付机构监督管理条例》是非银行支付机构的基础性行政法规。对安全负责人而言，重点不是支付许可本身，而是把业务连续性、系统与设施安全、支付指令完整性、核心技术外包、用户信息保护、数据境内处理和风险事件报告纳入统一治理。
法规概览
| 项目 | 内容 |
|---|---|
| 文件 | 《非银行支付机构监督管理条例》（国务院令第768号） |
| 公布日期 | 2023年12月9日 |
| 施行日期 | 2024年5月1日 |
| 适用对象 | 在境内依法设立、取得支付业务许可的非银行支付机构 |
| 监管机关 | 中国人民银行及其授权分支机构 |
| 安全主线 | 安全保障能力 → 连续性与可溯源 → 核心技术控制 → 用户与数据安全 → 风险监测与报告 |
安全要求与实施
| 核心主题 | 达成状态 |
|---|---|
| 安全保障与连续性 | 支付系统、设施和技术满足安全要求，业务连续、可恢复、可追溯 |
| 核心业务与第三方 | 涉及资金安全、信息安全的核心业务和技术服务保持自主控制 |
| 支付指令与账户安全 | 指令完整、一致、可稽核、不可篡改，敏感信息和账户访问受控 |
| 用户信息与数据 | 用户信息最小必要、严格保密，境内处理和跨境活动符合要求 |
| 风险事件 | 风险能够发现、升级、处置并按规定向人民银行报告 |
建立支付系统安全与业务连续性能力
法规要求｜第7、17—19条。 支付机构应具备安全保障措施和必要、独立的业务系统、设施和技术，建立风险管理制度和突发事件应急预案，并按照网络、数据安全要求保障支付业务及时、准确、连续、安全、可溯源。业务系统及其备份应存放境内；境内交易原则上在境内完成交易处理、资金结算和数据存储。
落实与验收。
- 将支付核心链路、关键依赖、数据中心、灾备和第三方依赖纳入统一资产与连续性管理。
- 对核心交易链路明确可用性、完整性、可追溯和恢复要求，定期验证灾备与应急能力。
- 对境内交易的数据处理和系统部署核对实际架构，不以逻辑租户或合同主体代替物理和数据流判断。
验收标准。
- 从一笔真实支付交易能追溯关键处理节点、指令、系统和操作记录。
- 随机选择核心系统验证主备部署、恢复能力和境内存放情况。
- 灾备演练能够证明关键支付链路实际恢复，而不只是证明“存在备份”。
管住核心技术外包和第三方访问
法规要求｜第21条。 不得将涉及资金安全、信息安全等的核心业务和技术服务委托第三方处理。
落实与验收。
- 建立核心业务和核心技术服务边界，采购和外包前判断是否属于禁止委托范围。
- 对供应商远程运维、云服务、软件支持和数据访问明确权限边界，避免形式上未外包、事实上由第三方控制核心能力。
验收标准。
- 从核心系统供应商和高权限账号反查，第三方是否能够独立控制资金或信息安全关键能力。
- 抽查重大采购，核心业务/技术服务判断发生在签约前，并保留依据。
- 供应商退出后账号、凭证、接口和数据副本能够完整回收。
保护支付指令、账户和敏感信息
法规要求｜第23、25—26条。 支付账户应实名并落实安全和异常风险监测；电子支付指令应完整、一致、可跟踪稽核、不可篡改；访问账户应使用认可的安全认证方式，不得违规留存账户敏感信息。
落实与验收。
- 对支付指令建立身份认证、完整性保护、防篡改、链路追踪和审计机制。
- 对支付账户实施异常账户与交易监测。
- 明确银行账户、支付账户敏感信息的采集、展示、存储和留存边界。
验收标准。
- 任抽一笔支付指令可还原来源、关键字段、处理链路和最终结果，关键记录不能被无痕修改。
- 高权限人员不能绕过授权直接修改关键支付数据。
- 从数据库、日志和调试数据反查，不存在违规长期留存的账户敏感信息。
保护用户信息并控制数据跨境
法规要求｜第32—33条。 用户信息处理遵循合法、正当、必要和诚信原则，采取措施防止未授权访问、泄露、篡改和丢失；关联公司共享有专项要求。符合条件的个人信息和重要数据跨境应同时遵守网络、数据和个人信息保护规则。
落实与验收。
- 将支付业务用户信息处理活动纳入个人信息处理清单、权限、共享、第三方和跨境治理。
- 关联公司共享不能因同属集团而免除告知、同意和监督要求。
- 将支付监管要求与个保法、数据安全法、网络数据安全管理条例及跨境专项规则组合判断。
验收标准。
- 从真实接口、SDK、数据表和集团共享链路反查用户信息处理清单。
- 随机抽一条关联公司共享或跨境链路，能够说明数据范围、目的、依据、保护措施和持续监督情况。
- 未授权访问、批量导出和异常共享能够被发现并追溯。
建立风险事件报告闭环
法规要求｜第43条及相关监管要求。 非银行支付机构发生风险事件，应按规定向中国人民银行报告。网络安全事件的具体分级、时限和报告内容还应结合《中国人民银行业务领域网络安全事件报告管理办法》等规则。
落实与验收。
- 将支付业务风险事件与网络安全事件、数据安全事件、个人信息事件的判定和报告流程关联。
- 同一事件可能触发多项报告义务，分别记录触发条件、对象、时限和完成状态。
验收标准。
- 从生产故障、安全事件和数据事件反查，均完成适用性和监管报告判断。
- 一起事件触发多项义务时，能够分别追踪人民银行及其他主管部门的报告任务。
- 报告时间、内容、渠道和收悉记录能够回溯到原始事件时间线。
法律责任与关键边界
第49—55条对制度未落实、系统设施不符合要求、核心业务或技术服务违规外包、敏感信息违规留存、无正当理由中断支付业务等行为规定了相应行政责任；用户信息和业务数据违法处理则衔接个人信息保护法、网络安全法、数据安全法等法律责任。
不能把“符合支付监管要求”等同于完成全部网络与数据安全合规；本条例与人民银行3号令、4号令以及通用网络数据安全法规需要并行适用。