《网络安全审查办法》解读：七大要点与八项主要变化

近日，国家互联网信息办公室等十三部门修订发布《网络安全审查办法》，彰显了数据合规领域继续从严监管的态度。
对于新修订的《网络安全审查办法》（下称“办法”），国家互联网信息办公室（以下简称“网信办”）有关负责人表示，网络安全审查是网络安全领域的重要法律制度。
原《网络安全审查办法》自2020年6月1日施行以来，对于保障关键信息基础设施供应链安全，维护国家安全发挥了重要作用。《办法》修订对保障国家网络安全和数据安全具有重要意义。
本文将从审查对象、适用情形、审查内容等八个方面对该办法进行解读，并简要分析本次新《网络安全审查办法》与2021版本《网络安全审查办法（征求意见稿）》及2020年出台的旧版《网络安全审查办法》相比，有哪些变化。

要点一：两类网络安全审查对象
根据新修订的《办法》第二条， 网络安全审查对象主要包括两类，一是关键信息基础设施运营者，二是网络平台运营者。
关键信息基础设施运营者采购网络产品和服务，网络平台运营者开展数据处理活动，影响或者可能影响国家安全的，应当按照《办法》进行网络安全审查。
此处的关键信息，根据《关键信息基础设施安全保护条例》第二条，是指公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务、国防科技工业等重要行业和领域的，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的重要网络设施、信息系统等。
另根据《办法》第二十一条，网络产品和服务主要指核心网络设备、重要通信产品、高性能计算机和服务器、大容量存储设备、大型数据库和应用软件、网络安全设备、云计算服务，以及其他对关键信息基础设施安全、网络安全和数据安全有重要影响的网络产品和服务。
要点二：网络安全审查「四结合」原则
《办法》确定了网络安全审查「四结合」原则：
①防范网络安全风险与促进先进技术应用相结合；
②过程公正透明与知识产权保护相结合；
③事前审查与持续监管相结合；
④企业承诺与社会监督相结合。
要点三：当事人主动申报审查与网络安全审查工作机制成员单位提请审查
1. 当事人主动申报审查
以下两种情形下，当事人需要主动申报网络安全审查。
①掌握超过100万用户个人信息的网络平台运营者赴国外上市，必须向网络安全审查办公室申报网络安全审查。
②关键信息基础设施运营者采购网络产品和服务的，应当预判该产品和服务投入使用后可能带来的国家安全风险。影响或者可能影响国家安全的，应当向网络安全审查办公室申报网络安全审查。
2. 网络安全审查工作机制成员单位提请审查
根据《办法》第十六条，网络安全审查工作机制成员单位认为影响或者可能影响国家安全的网络产品和服务以及数据处理活动，由网络安全审查办公室按程序报中央网络安全和信息化委员会批准后，依照《办法》规定进行审查。
针对网络平台运营者赴国外上市申报网络安全审查，从网信办负责人就《网络安全审查办法》答记者问的内容看，审查结论共分三种情况：
①无需审查；
②启动审查后，经研判不影响国家安全的，可继续赴国外上市程序；
③启动审查后，经研判影响国家安全的，不允许赴国外上市。
关于此处的「数据处理活动」，根据《数据安全法》，指数据的收集、存储、使用、加工、传输、提供、公开等活动。
要点四：网络安全审查内容
进行网络安全审查需重点评估相关对象或者情形的以下国家安全风险因素：
1. 产品和服务使用后带来的关键信息基础设施被非法控制、遭受干扰或者破坏的风险；
2. 产品和服务供应中断对关键信息基础设施业务连续性的危害；
3. 产品和服务的安全性、开放性、透明性、来源的多样性，供应渠道的可靠性以及因为政治、外交、贸易等因素导致供应中断的风险；
4. 产品和服务提供者遵守中国法律、行政法规、部门规章情况；
5. 核心数据、重要数据或者大量个人信息被窃取、泄露、毁损以及非法利用、非法出境的风险；
6. 上市存在关键信息基础设施、核心数据、重要数据或者大量个人信息被外国政府影响、控制、恶意利用的风险，以及网络信息安全风险；
7. 其他可能危害关键信息基础设施安全、网络安全和数据安全的因素。
根据《数据安全法》，此处核心数据指关系国家安全、国民经济命脉、重要民生、重大公共利益等内容的数据。
对于重要数据，可参考《信息安全技术重要数据识别指南》（征求意见稿）理解，即以电子方式存在的，一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能危害国家安全、公共利益的数据。
重要数据不包括国家秘密和个人信息，但基于海量个人信息形成的统计数据、衍生数据有可能属于重要数据。
而个人信息，根据《个人信息保护法》，是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。
要点五：一般审查程序与特别审查程序
《办法》规定了两类审查程序，在一般程序外明确规定了一类特别程序，当网络安全审查工作机制成员单位、相关部门就审查结论建议和将审查结论意见不一致时，启动特别审查程序。
1. 一般审查程序，可延长至45 个工作日
就一般审查程序而言， 网络安全审查办公室认为需要开展网络安全审查的，应当自向当事人发出书面通知之日起 30 个工作日内完成初步审查，包括形成审查结论建议和将审查结论建议发送网络安全审查工作机制成员单位、相关部门征求意见；情况复杂的，可以延长 15 个工作日。
网络安全审查工作机制成员单位和相关部门应当自收到审查结论建议之日起 15 个工作日内书面回复意见。
网络安全审查工作机制成员单位、相关部门意见一致的，网络安全审查办公室以书面形式将审查结论通知当事人。
2. 特别审查程序，可延长超 90 个工作日
《办法》第十四条适用特别审查程序处理时，网络安全审查办公室完成初步审查后，应当听取相关单位和部门意见，进行深入分析评估，再次形成审查结论建议，并征求网络安全审查工作机制成员单位和相关部门意见，按程序报中央网络安全和信息化委员会批准后，形成审查结论并书面通知当事人。特别审查程序一般应当在 90 个工作日内完成，情况复杂的可以延长。
3. 提交补充材料时间不计入审查时间
在审查中网络安全审查办公室要求提供补充材料的，当事人、产品和服务提供者应当予以配合。提交补充材料的时间不计入审查时间。
为了防范风险，当事人应当在审查期间按照网络安全审查要求采取预防和消减风险的措施。
要点六：处罚依据及内容
根据《办法》，当事人违反其规定的，将依照《网络安全法》、《数据安全法》的规定处理。根据《网络安全法》，最高可罚 100 万，而根据《数据安全法》最高可罚 1000 万元。
除巨额罚款外，同时还面临暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照等经营性处罚，构成犯罪的，依法追究刑事责任。
要点七：当事人的举报权
《办法》明确为网络安全审查的对象规定了举报救济的权利。
根据该规定，当事人或者网络产品和服务提供者认为审查人员有失客观公正，或者未能对审查工作中知悉的信息承担保密义务的，可以向网络安全审查办公室或者有关部门举报。
同时，对于产品和服务提供者，当事人也有督促其履行网络安全审查中作出的承诺的义务，网络安全审查办公室将通过接受举报等形式加强事前事中事后监督。

变化1：国家网络安全审查工作机制部门变化
对比 2020 年出台的版本（下称“旧版”），新版《办法》将证监会纳入国家网络安全审查工作机制部门中。
根据审查实际需要，增加中国证券监督管理委员会作为网络安全审查工作机制成员单位。不仅呼应了国外上市数据安全保护之立法目的，更意在强化后续相关网络安全审查工作的专业性和权威性。
变化2：制定适用及处罚依据变化
2021年《国家网络安全审查办法》（征求意见稿）将2021年6月10日正式发布的《数据安全法》也列入了制定法律依据中，而本次正式出台的新《办法》又在征求意见稿的基础上新增了2021年7月30日发布的《关键信息基础设施安全保护条例》作为办法的制定及适用依据。
同时，新版《办法》第二十条也将《数据安全法》新纳入对违反《办法》行为的处罚依据中。
变化3：审查对象变化
新版《办法》在旧版基础上又增加了一类网络安全审查对象，且本次正式发布版中对新增对象的表述由2021年新版征求意见稿的「数据处理者」限缩至「网络平台运营者」。
变化4：审查主要方面增加
新版《办法》在「产品和服务」之外，增加了「数据处理活动」这一审查方面，明确将网络平台运营者开展数据处理活动影响或者可能影响国家安全等情形纳入网络安全审查范围。
这也说明，网络安全审查是落实《数据安全法》的要求，是在网络数据领域的安全审查。
变化5：审查情形增加
对比旧版《办法》，增加了一类主动申报审查情形，即「第七条掌握超过100万用户个人信息的网络平台运营者赴国外上市，必须向网络安全审查办公室申报网络安全审查。」
这样既可适应越来越多国内企业赴国外上市的趋势，也可进一步维护国家网络安全及数据安全。
变化6：审查内容变化
新版《办法》新增了两类审查重点评估主要风险内容：
一是「核心数据、重要数据或者大量个人信息被窃取、泄露、毁损以及非法利用或、非法出境的风险」；
二是「国外上市后存在关键信息基础设施、核心数据、重要数据或者大量个人信息被外国外政府影响、控制、恶意利用的风险，以及网络信息安全风险」，同时删去了征求意见稿中「针对赴国外上市行为」的表述。
变化7：特别审查程序时间再次延长
2021年《办法》修订案的征求意见稿将特别审查程序时间由 45 个工作日延长至 3 个月，而新《办法》再度延长了该审查时间，规定「特别审查程序一般应当在 90 个工作日内完成，情况复杂的可以延长。」
变化8：增加了审查员对个人信息的保密义务
修改网络安全审查人员保密义务内容，明确了对在审查工作中知悉的个人信息需承担保密义务。
附：三次征求意见稿文本对比