網(wǎng)上投稿
《網(wǎng)絡安全審查辦法》已經(jīng)于2021年11月16日經(jīng)國家互聯(lián)網(wǎng)信息辦公室2021年第20次室務會議審議通過，并經(jīng)國家發(fā)展和改革委員會、工業(yè)和信息化部、公安部、國家安全部、財政部、商務部、中國人民銀行、國家市場監(jiān)督管理總局、國家廣播電視總局、中國證券監(jiān)督管理委員會、國家保密局、國家密碼管理局同意，予以公布并自2022年2月15日起施行。關于該辦法的主要內(nèi)容以及對企業(yè)的影響等等，筆者將通過本文略作探討。
一、關于審查主體的范圍
《網(wǎng)絡安全審查辦法》生效后，關鍵信息基礎設施運營者和網(wǎng)絡平臺運營者是審查主體，為便于本文敘述，下文統(tǒng)稱為“審查主體”。《關鍵信息基礎設施安全保護條例》第二條規(guī)定，關鍵信息基礎設施，是指公共通信和信息服務、能源、交通、水利、金融、公共服務、電子政務、國防科技工業(yè)等重要行業(yè)和領域的，以及其他一旦遭到破壞、喪失功能或者數(shù)據(jù)泄露，可能嚴重危害國家安全、國計民生、公共利益的重要網(wǎng)絡設施、信息系統(tǒng)等。《網(wǎng)絡安全法》第七十六條規(guī)定，網(wǎng)絡運營者是指網(wǎng)絡的所有者、管理者和網(wǎng)絡服務提供者。
審查主體一般是涉及金融、交通等關鍵信息基礎設施的運營者，如網(wǎng)站經(jīng)營管理者，或者通過移動APP提供服務的運營者，也包括因業(yè)務特征掌握大量個人信息或者數(shù)據(jù)的科技、醫(yī)療健康領域經(jīng)營者等等。審查主體所運營的基礎設施一旦遭到攻擊，將嚴重危害國家安全、個人信息安全，因此被納入《網(wǎng)絡安全審查辦法》審查對象范圍。
二、需要網(wǎng)絡安全審查的主要情形
《網(wǎng)絡安全審查辦法》第二條對網(wǎng)絡安全審查的情形進行了比較宏觀的規(guī)定，審查主體發(fā)生特定行為可能影響國家安全的，一律應當進行網(wǎng)絡安全審查，如關鍵信息基礎設施運營者采購網(wǎng)絡產(chǎn)品和服務，或網(wǎng)絡平臺運營者開展數(shù)據(jù)處理活動等等。同時該辦法明確，掌握超過100萬用戶個人信息的網(wǎng)絡平臺運營者赴國外上市，必須向網(wǎng)絡安全審查辦公室申報網(wǎng)絡安全審查，待《網(wǎng)絡安全審查辦法》今年2月正式生效后，因“滴滴赴美上市”風波直接引發(fā)的監(jiān)管金靴將正式落地。
三、審查主體對審查申報與否的預判義務
審查主體采購網(wǎng)絡產(chǎn)品和服務的，應當預判該產(chǎn)品和服務投入使用后可能帶來的國家安全風險。影響或者可能影響國家安全的，應當向網(wǎng)絡安全審查辦公室申報網(wǎng)絡安全審查。相關行業(yè)和領域的主管部門、監(jiān)督管理部門可以制定本行業(yè)、本領域預判指南，《網(wǎng)絡安全審查辦法》第五條 關鍵信息基礎設施運營者采購網(wǎng)絡產(chǎn)品和服務的，應當預判該產(chǎn)品和服務投入使用后可能帶來的國家安全風險。影響或者可能影響國家安全的，應當向網(wǎng)絡安全審查辦公室申報網(wǎng)絡安全審查。關鍵信息基礎設施安全保護工作部門可以制定本行業(yè)、本領域預判指南。《關鍵信息基礎設施安全保護條例》第八條規(guī)定 重要行業(yè)和領域的主管部門、監(jiān)督管理部門是負責關鍵信息基礎設施安全保護工作的部門（以下簡稱“保護工作部門”）
四、審查工作的主管機關及審查申報相關要求
根據(jù)《網(wǎng)絡安全審查辦法》規(guī)定，國家互聯(lián)網(wǎng)信息辦公室下設網(wǎng)絡安全審查辦公室負責制定網(wǎng)絡安全審查相關制度規(guī)范，組織網(wǎng)絡安全審查。同時，在中央網(wǎng)絡安全和信息化委員會領導下，國家互聯(lián)網(wǎng)信息辦公室會同中華人民共和國國家發(fā)展和改革委員會、中華人民共和國工業(yè)和信息化部、中華人民共和國公安部、中華人民共和國國家安全部、中華人民共和國財政部、中華人民共和國商務部、中國人民銀行、國家市場監(jiān)督管理總局、國家廣播電視總局、中國證券監(jiān)督管理委員會、國家保密局、國家密碼管理局建立國家網(wǎng)絡安全審查工作機制。
審查主體申報網(wǎng)絡安全審查，應當提交申報書、關于影響或者可能影響國家安全的分析報告、采購文件、協(xié)議、擬簽訂的合同或者擬提交的首次公開募股（IPO）等上市申請文件以及網(wǎng)絡安全審查工作需要的其他材料。網(wǎng)絡安全審查辦公室應當自收到審查申報材料起10個工作日內(nèi)確定是否需要審查并書面通知當事人。
五、審查與否的重點評估標準
《網(wǎng)絡安全審查辦法》對網(wǎng)絡安全審查重點評估相關對象或者情形的國家安全風險因素進行了較為詳細的列舉，包括：產(chǎn)品和服務使用后帶來的關鍵信息基礎設施被非法控制、遭受干擾或者破壞的風險；產(chǎn)品和服務供應中斷對關鍵信息基礎設施業(yè)務連續(xù)性的危害；核心數(shù)據(jù)、重要數(shù)據(jù)或者大量個人信息被竊取、泄露、毀損以及非法利用、非法出境的風險；上市存在關鍵信息基礎設施、核心數(shù)據(jù)、重要數(shù)據(jù)或者大量個人信息被外國政府影響、控制、惡意利用的風險，以及網(wǎng)絡信息安全風險等可能危害關鍵信息基礎設施安全、網(wǎng)絡安全和數(shù)據(jù)安全的因素。
六、關于審查程序的相關規(guī)定
《網(wǎng)絡安全審查辦法》分別對審查一般程序和特別程序進行規(guī)定，具體如下：
（一）一般程序
網(wǎng)絡安全審查辦公室認為需要開展網(wǎng)絡安全審查的，應當自向當事人發(fā)出書面通知之日起30個工作日內(nèi)完成初步審查，情況復雜的可以延長15個工作日。 網(wǎng)絡安全審查工作機制成員單位和相關部門應當自收到審查結(jié)論建議之日起15個工作日內(nèi)書面回復意見。網(wǎng)絡安全審查工作機制[1]成員單位、相關部門意見一致的，網(wǎng)絡安全審查辦公室以書面形式將審查結(jié)論通知當事人；意見不一致的，按照特別審查程序處理，并通知當事人。
（二）特別程序
按照特別審查程序處理的，網(wǎng)絡安全審查辦公室應當聽取相關單位和部門意見，進行深入分析評估，再次形成審查結(jié)論建議，并征求網(wǎng)絡安全審查工作機制成員單位和相關部門意見，按程序報中央網(wǎng)絡安全和信息化委員會批準后，形成審查結(jié)論并書面通知當事人。
網(wǎng)絡安全審查工作機制成員單位認為影響或者可能影響國家安全的網(wǎng)絡產(chǎn)品和服務以及數(shù)據(jù)處理活動，由網(wǎng)絡安全審查辦公室按程序報中央網(wǎng)絡安全和信息化委員會批準后，依照該辦法的規(guī)定進行審查。
綜上所述，網(wǎng)絡安全關乎國家安全和公民權益，國家監(jiān)管勢在必行。相關領域或者行業(yè)的企業(yè)應當如何準備呢？筆者認為，一方面，企業(yè)應結(jié)合本文提及的重點內(nèi)容做好內(nèi)部網(wǎng)絡安全合規(guī)審查工作，結(jié)合已發(fā)布實施的《國家安全法》《網(wǎng)絡安全法》、《關鍵信息基礎設施安全保護條例》以及國家標準文件，及時開展企業(yè)專項合規(guī)整治工作和人員培訓；另一方面，應及時與所屬領域的監(jiān)管部門充分溝通，從監(jiān)管層面獲悉合規(guī)整治的重點方向，為《網(wǎng)絡安全審查辦法》于今年2月正式生效做足功課。