國(guó)務(wù)院總理李克強(qiáng)日前簽署國(guó)務(wù)院令，公布《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》（以下簡(jiǎn)稱《條例》），自2021年9月1日起施行。
《條例》明確了關(guān)鍵信息基礎(chǔ)設(shè)施范圍和保護(hù)工作原則目標(biāo)，對(duì)關(guān)鍵信息基礎(chǔ)設(shè)施的保護(hù)工作起到了指導(dǎo)性作用，同時(shí)確立了關(guān)鍵信息基礎(chǔ)設(shè)施保護(hù)監(jiān)督管理體制和認(rèn)定機(jī)制，進(jìn)一步厘清和規(guī)定了運(yùn)營(yíng)者責(zé)任義務(wù)，極大地填補(bǔ)了之前關(guān)鍵信息基礎(chǔ)設(shè)施保護(hù)工作上的空白。
也因此，無(wú)論是對(duì)于信息行業(yè)的從業(yè)者，還是關(guān)鍵信息基礎(chǔ)設(shè)施的監(jiān)督者、運(yùn)營(yíng)者，《條例》的頒布和實(shí)行都有著重要的現(xiàn)實(shí)指導(dǎo)意義。
1 運(yùn)營(yíng)者的義務(wù) 《條例》規(guī)定，關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者需履行以下義務(wù)： 第十二條 安全保護(hù)措施應(yīng)當(dāng)與關(guān)鍵信息基礎(chǔ)設(shè)施同步規(guī)劃、同步建設(shè)、同步使用。 第十三條 運(yùn)營(yíng)者應(yīng)當(dāng)建立健全網(wǎng)絡(luò)安全保護(hù)制度和責(zé)任制，保障人力、財(cái)力、物力投入。運(yùn)營(yíng)者的主要負(fù)責(zé)人對(duì)關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)負(fù)總責(zé)，領(lǐng)導(dǎo)關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)和重大網(wǎng)絡(luò)安全事件處置工作，組織研究解決重大網(wǎng)絡(luò)安全問(wèn)題。 第十四條 運(yùn)營(yíng)者應(yīng)當(dāng)設(shè)置專門安全管理機(jī)構(gòu)，并對(duì)專門安全管理機(jī)構(gòu)負(fù)責(zé)人和關(guān)鍵崗位人員進(jìn)行安全背景審查。審查時(shí)，公安機(jī)關(guān)、國(guó)家安全機(jī)關(guān)應(yīng)當(dāng)予以協(xié)助。 第十五條 專門安全管理機(jī)構(gòu)具體負(fù)責(zé)本單位的關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)工作，履行下列職責(zé)： （一）建立健全網(wǎng)絡(luò)安全管理、評(píng)價(jià)考核制度，擬訂關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)計(jì)劃； （二）組織推動(dòng)網(wǎng)絡(luò)安全防護(hù)能力建設(shè)，開展網(wǎng)絡(luò)安全監(jiān)測(cè)、檢測(cè)和風(fēng)險(xiǎn)評(píng)估； （三）按照國(guó)家及行業(yè)網(wǎng)絡(luò)安全事件應(yīng)急預(yù)案，制定本單位應(yīng)急預(yù)案，定期開展應(yīng)急演練，處置網(wǎng)絡(luò)安全事件； （四）認(rèn)定網(wǎng)絡(luò)安全關(guān)鍵崗位，組織開展網(wǎng)絡(luò)安全工作考核，提出獎(jiǎng)勵(lì)和懲處建議； （五）組織網(wǎng)絡(luò)安全教育、培訓(xùn)； （六）履行個(gè)人信息和數(shù)據(jù)安全保護(hù)責(zé)任，建立健全個(gè)人信息和數(shù)據(jù)安全保護(hù)制度； （七）對(duì)關(guān)鍵信息基礎(chǔ)設(shè)施設(shè)計(jì)、建設(shè)、運(yùn)行、維護(hù)等服務(wù)實(shí)施安全管理； （八）按照規(guī)定報(bào)告網(wǎng)絡(luò)安全事件和重要事項(xiàng)。 第十六條 運(yùn)營(yíng)者應(yīng)當(dāng)保障專門安全管理機(jī)構(gòu)的運(yùn)行經(jīng)費(fèi)、配備相應(yīng)的人員，開展與網(wǎng)絡(luò)安全和信息化有關(guān)的決策應(yīng)當(dāng)有專門安全管理機(jī)構(gòu)人員參與。 第十七條 運(yùn)營(yíng)者應(yīng)當(dāng)自行或者委托網(wǎng)絡(luò)安全服務(wù)機(jī)構(gòu)對(duì)關(guān)鍵信息基礎(chǔ)設(shè)施每年至少進(jìn)行一次網(wǎng)絡(luò)安全檢測(cè)和風(fēng)險(xiǎn)評(píng)估，對(duì)發(fā)現(xiàn)的安全問(wèn)題及時(shí)整改，并按照保護(hù)工作部門要求報(bào)送情況。 第十八條 關(guān)鍵信息基礎(chǔ)設(shè)施發(fā)生重大網(wǎng)絡(luò)安全事件或者發(fā)現(xiàn)重大網(wǎng)絡(luò)安全威脅時(shí)，運(yùn)營(yíng)者應(yīng)當(dāng)按照有關(guān)規(guī)定向保護(hù)工作部門、公安機(jī)關(guān)報(bào)告。 發(fā)生關(guān)鍵信息基礎(chǔ)設(shè)施整體中斷運(yùn)行或者主要功能故障、國(guó)家基礎(chǔ)信息以及其他重要數(shù)據(jù)泄露、較大規(guī)模個(gè)人信息泄露、造成較大經(jīng)濟(jì)損失、違法信息較大范圍傳播等特別重大網(wǎng)絡(luò)安全事件或者發(fā)現(xiàn)特別重大網(wǎng)絡(luò)安全威脅時(shí)，保護(hù)工作部門應(yīng)當(dāng)在收到報(bào)告后，及時(shí)向國(guó)家網(wǎng)信部門、國(guó)務(wù)院公安部門報(bào)告。 第十九條 運(yùn)營(yíng)者應(yīng)當(dāng)優(yōu)先采購(gòu)安全可信的網(wǎng)絡(luò)產(chǎn)品和服務(wù)；采購(gòu)網(wǎng)絡(luò)產(chǎn)品和服務(wù)可能影響國(guó)家安全的，應(yīng)當(dāng)按照國(guó)家網(wǎng)絡(luò)安全規(guī)定通過(guò)安全審查。 第二十條 運(yùn)營(yíng)者采購(gòu)網(wǎng)絡(luò)產(chǎn)品和服務(wù)，應(yīng)當(dāng)按照國(guó)家有關(guān)規(guī)定與網(wǎng)絡(luò)產(chǎn)品和服務(wù)提供者簽訂安全保密協(xié)議，明確提供者的技術(shù)支持和安全保密義務(wù)與責(zé)任，并對(duì)義務(wù)與責(zé)任履行情況進(jìn)行監(jiān)督。 第二十一條 運(yùn)營(yíng)者發(fā)生合并、分立、解散等情況，應(yīng)當(dāng)及時(shí)報(bào)告保護(hù)工作部門，并按照保護(hù)工作部門的要求對(duì)關(guān)鍵信息基礎(chǔ)設(shè)施進(jìn)行處置，確保安全。 2 責(zé)任重點(diǎn)分析 《條例》對(duì)于關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者的的職責(zé)做了相當(dāng)明確且細(xì)致的制度性規(guī)定，以及操作性規(guī)定。 從制度性規(guī)定來(lái)看，《條例》要求運(yùn)營(yíng)者建立并落實(shí)以下幾個(gè)制度： 1.網(wǎng)絡(luò)安全保護(hù)和責(zé)任制 2.網(wǎng)絡(luò)安全管理、評(píng)價(jià)考核制度 3.個(gè)人信息和數(shù)據(jù)安全保護(hù)制度 從操作性方面，《條例》要求運(yùn)營(yíng)者： 1.設(shè)置專門安全管理機(jī)構(gòu)，并對(duì)專門管理機(jī)構(gòu)負(fù)責(zé)人和關(guān)鍵崗位人員進(jìn)行安全背景審查 2.開展網(wǎng)絡(luò)安全監(jiān)測(cè)、檢測(cè)和風(fēng)險(xiǎn)評(píng)估 3.制定應(yīng)急預(yù)案，定期開展應(yīng)急演練 4.組織網(wǎng)絡(luò)安全教育、培訓(xùn) 5.應(yīng)自行或委托網(wǎng)絡(luò)安全服務(wù)機(jī)構(gòu)每年進(jìn)行至少一次網(wǎng)絡(luò)安全檢測(cè)和風(fēng)險(xiǎn)評(píng)估，及時(shí)整改安全問(wèn)題，并報(bào)送相關(guān)部門。 6.優(yōu)先采購(gòu)安全可信的網(wǎng)絡(luò)產(chǎn)品和服務(wù)；采購(gòu)網(wǎng)絡(luò)產(chǎn)品和服務(wù)可能影響國(guó)家安全的，按照國(guó)家網(wǎng)絡(luò)安全規(guī)定通過(guò)安全審查 7.采購(gòu)網(wǎng)絡(luò)產(chǎn)品和服務(wù)，應(yīng)按照有關(guān)規(guī)定與提供者簽訂安全保密協(xié)議。 對(duì)于《條例》對(duì)運(yùn)營(yíng)者所作出的制度性規(guī)定和操作性規(guī)定，如果對(duì)信息安全等級(jí)保護(hù)制度和網(wǎng)絡(luò)安全法有一定了解的話，應(yīng)該不難發(fā)現(xiàn)，無(wú)論是落實(shí)網(wǎng)絡(luò)安全保護(hù)和責(zé)任制、制定應(yīng)急預(yù)案，定期開展應(yīng)急演練，還是組織網(wǎng)絡(luò)安全教育、培訓(xùn)，這些名詞都不是第一次被提出。 只是相較于前者，《條例》進(jìn)一步明確了其責(zé)任主體、施行人員，以及相關(guān)落實(shí)不力的處罰規(guī)定，充分表明了國(guó)家在關(guān)鍵信息基礎(chǔ)設(shè)施保護(hù)上的決心。 除了對(duì)信息安全等級(jí)保護(hù)制度和網(wǎng)絡(luò)安全法的銜接，《條例》中也有著不久前剛頒布的《數(shù)據(jù)安全保護(hù)法》的影子，這不僅彰顯了《條例》在制定時(shí)的嚴(yán)謹(jǐn)性，同時(shí)也在像我們傳達(dá)著一個(gè)信號(hào)，我國(guó)在信息安全和網(wǎng)絡(luò)安全方面的法律空白正在縮小，相關(guān)法律法規(guī)趨于完善，信息安全和網(wǎng)絡(luò)安全保護(hù)工作正在進(jìn)入一個(gè)新臺(tái)階。
