《網(wǎng)絡(luò)安全審查辦法》的重點(diǎn)與解讀

一、覆蓋13個(gè)行業(yè)，重點(diǎn)考量五類(lèi)因素

在網(wǎng)絡(luò)安全和信息化委員會(huì)L導(dǎo)下，互聯(lián)網(wǎng)信息辦公室會(huì)同發(fā)展和改革委員會(huì)、工業(yè)和信息化部、公安部、安全部、財(cái)政部、商務(wù)部、人民銀行、市場(chǎng)監(jiān)督管理總局、廣播電視總局、保密局、密碼管理局聯(lián)合建立網(wǎng)絡(luò)安全審查工作機(jī)制。

1、出臺(tái)背景及法律責(zé)任

網(wǎng)絡(luò)安全審查屬于安全審查的一種，新辦法將目標(biāo)準(zhǔn)確為及早發(fā)現(xiàn)并避免采購(gòu)產(chǎn)品和服務(wù)給關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)行帶來(lái)風(fēng)險(xiǎn)和危害，保障關(guān)鍵信息基礎(chǔ)設(shè)施供應(yīng)鏈安全，維護(hù)安全。

本辦法對(duì)關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者采購(gòu)的網(wǎng)絡(luò)產(chǎn)品和服務(wù)進(jìn)行審查。電信、廣播電視、能源、金融、公路水路運(yùn)輸、鐵路、民航、郵政、水利、應(yīng)急管理、衛(wèi)生健康、社會(huì)保障、國(guó)防科技工業(yè)等行業(yè)L域的重要網(wǎng)絡(luò)和信息系統(tǒng)運(yùn)營(yíng)者，在采購(gòu)網(wǎng)絡(luò)產(chǎn)品和服務(wù)時(shí)，應(yīng)當(dāng)按照《辦法》要求考慮申報(bào)網(wǎng)絡(luò)安全審查。

網(wǎng)絡(luò)安全審查堅(jiān)持防范網(wǎng)絡(luò)安全風(fēng)險(xiǎn)與促進(jìn)先進(jìn)技術(shù)應(yīng)用相結(jié)合、過(guò)程公正透明與知識(shí)產(chǎn)權(quán)保護(hù)相結(jié)合，在保障安全的同時(shí)，兼顧到經(jīng)濟(jì)和產(chǎn)業(yè)發(fā)展，并充分尊重運(yùn)營(yíng)者對(duì)自身安全狀況判斷的專(zhuān)業(yè)性。

也就是說(shuō)，運(yùn)營(yíng)者應(yīng)自行預(yù)判產(chǎn)品和服務(wù)投入使用后可能帶來(lái)的風(fēng)險(xiǎn)，督促產(chǎn)品和服務(wù)提供者履行網(wǎng)絡(luò)安全審查中做出的承諾。

如違反本辦法，根據(jù)《網(wǎng)絡(luò)安全法》第六十五條規(guī)定，應(yīng)當(dāng)申報(bào)網(wǎng)絡(luò)安全審查而沒(méi)有申報(bào)的，或者使用網(wǎng)絡(luò)安全審查未通過(guò)的產(chǎn)品和服務(wù)，由有關(guān)主管部門(mén)責(zé)令停止使用，處采購(gòu)金額一倍以上十倍以下罰款；對(duì)直接負(fù)責(zé)的主管人員和其他直接責(zé)任人員處一萬(wàn)元以上十萬(wàn)元以下罰款。

2、主要審查內(nèi)容及考量因素

本辦法所稱(chēng)網(wǎng)絡(luò)產(chǎn)品和服務(wù)主要指核心網(wǎng)絡(luò)設(shè)備、G性能計(jì)算機(jī)和服務(wù)器、大容量存儲(chǔ)設(shè)備、大型數(shù)據(jù)庫(kù)和應(yīng)用軟件、網(wǎng)絡(luò)安全設(shè)備、云計(jì)算服務(wù)，以及其他對(duì)關(guān)鍵信息基礎(chǔ)設(shè)施安全有重要影響的網(wǎng)絡(luò)產(chǎn)品和服務(wù)。

重點(diǎn)評(píng)估因素如下：

（1）產(chǎn)品和服務(wù)使用后帶來(lái)的關(guān)鍵信息基礎(chǔ)設(shè)施被非法控制、遭受干擾或破壞，以及重要數(shù)據(jù)被竊取、泄露、毀損的風(fēng)險(xiǎn)；

（2）產(chǎn)品和服務(wù)供應(yīng)中斷對(duì)關(guān)鍵信息基礎(chǔ)設(shè)施業(yè)務(wù)連續(xù)性的危害；

（3）產(chǎn)品和服務(wù)的安全性、開(kāi)放性、透明性、來(lái)源的多樣性，供應(yīng)渠道的可靠性以及因?yàn)檎�治、外交、貿(mào)易等因素導(dǎo)致供應(yīng)中斷的風(fēng)險(xiǎn)；

（4）產(chǎn)品和服務(wù)提供者遵守法律、行政法規(guī)、部門(mén)規(guī)章情況；

（5）其他可能危害關(guān)鍵信息基礎(chǔ)設(shè)施安全和安全的因素。

3、申報(bào)及審查時(shí)限

關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者應(yīng)當(dāng)在與產(chǎn)品和服務(wù)提供方正式簽署合同前申報(bào)網(wǎng)絡(luò)安全審查。

如果在簽署合同后申報(bào)，建議在合同中注明此合同須在產(chǎn)品和服務(wù)采購(gòu)?fù)ㄟ^(guò)網(wǎng)絡(luò)安全審查后方可生效。

通常網(wǎng)絡(luò)安全審查在45個(gè)工作日內(nèi)完成，情況復(fù)雜的會(huì)延長(zhǎng)15個(gè)工作日。進(jìn)入特別審查程序的審查項(xiàng)目，可能還需要45個(gè)工作日或者更長(zhǎng)。

網(wǎng)絡(luò)安全審查辦公室應(yīng)當(dāng)自收到審查申報(bào)材料起，10個(gè)工作日內(nèi)確定是否需要審查并書(shū)面通知運(yùn)營(yíng)者。被認(rèn)為需要審查的，應(yīng)當(dāng)自向運(yùn)營(yíng)者發(fā)出書(shū)面通知之日起30個(gè)工作日內(nèi)完成初步審查；情況復(fù)雜的，可以延長(zhǎng)15個(gè)工作日。

網(wǎng)絡(luò)安全審查工作機(jī)制成員單位和相關(guān)關(guān)鍵信息基礎(chǔ)設(shè)施保護(hù)工作部門(mén)，應(yīng)當(dāng)自收到審查結(jié)論建議之日起15個(gè)工作日內(nèi)書(shū)面回復(fù)意見(jiàn)。

根據(jù)本辦法要求，補(bǔ)充提供材料的時(shí)間不計(jì)入審查時(shí)限。

網(wǎng)絡(luò)安全審查辦公室設(shè)在互聯(lián)網(wǎng)信息辦公室，負(fù)責(zé)制定網(wǎng)絡(luò)安全審查相關(guān)制度規(guī)范，組織網(wǎng)絡(luò)安全審查。具體工作委托網(wǎng)絡(luò)安全審查技術(shù)與認(rèn)證中心承擔(dān)。

網(wǎng)絡(luò)安全審查技術(shù)與認(rèn)證中心在網(wǎng)絡(luò)安全審查辦公室的指導(dǎo)下，承擔(dān)接收申報(bào)材料、對(duì)申報(bào)材料進(jìn)行形式審查、具體組織審查工作等任務(wù)。

二、對(duì)國(guó)外產(chǎn)品服務(wù)造成限制？

信息安全產(chǎn)業(yè)鏈主要由上游的基礎(chǔ)元器件商、基礎(chǔ)軟硬件供應(yīng)商，中游的信息安全專(zhuān)門(mén)軟硬件提供商、信息安全服務(wù)集成提供商、各類(lèi)信息安全咨詢(xún)/運(yùn)維/測(cè)評(píng)/培訓(xùn)等支撐機(jī)構(gòu)以及下游的企業(yè)、個(gè)人客戶(hù)組成。

近年來(lái)國(guó)際形勢(shì)變化多端，政治、外交、貿(mào)易等非技術(shù)因素導(dǎo)致供應(yīng)中斷的可能性增強(qiáng)，供應(yīng)商的來(lái)源和供應(yīng)商的可靠性等非技術(shù)性因素，已經(jīng)成為多個(gè)評(píng)估供應(yīng)鏈安全風(fēng)險(xiǎn)的重要方面。

從涉及網(wǎng)絡(luò)安全審查的產(chǎn)品和服務(wù)范圍來(lái)看，《網(wǎng)絡(luò)安全審查辦法》與信創(chuàng)G度重疊，除了核心網(wǎng)絡(luò)設(shè)備外，G性能計(jì)算機(jī)和服務(wù)器、大容量存儲(chǔ)設(shè)備、大型數(shù)據(jù)庫(kù)和應(yīng)用軟件、云計(jì)算服務(wù)等與數(shù)據(jù)中心密切相關(guān)的設(shè)備產(chǎn)品赫然在列。

尤其在云計(jì)算環(huán)境中，服務(wù)器、主機(jī)使用到的芯片、操作系統(tǒng)等軟硬件，一旦遭到發(fā)生重大安全事故，將對(duì)云計(jì)算服務(wù)商造成難以挽回的影響，甚至導(dǎo)致用戶(hù)隱私信息的泄露。

這也意味著G通、蘋(píng)果、英特爾、惠普、微軟、亞馬遜等國(guó)際科技公司的產(chǎn)品及服務(wù)在進(jìn)入國(guó)內(nèi)時(shí)，將接受更為嚴(yán)苛的安全審查監(jiān)督。

近日，互聯(lián)網(wǎng)信息辦公室有關(guān)負(fù)責(zé)人就《網(wǎng)絡(luò)安全審查辦法》答記者問(wèn)時(shí)表示，網(wǎng)絡(luò)安全審查的目的是維護(hù)網(wǎng)絡(luò)安全，不是要限制或歧視國(guó)外產(chǎn)品和服務(wù)。“對(duì)外開(kāi)放是我們的基本國(guó)策，我們歡迎國(guó)外產(chǎn)品和服務(wù)進(jìn)入市場(chǎng)的政策沒(méi)有改變。”

與此同時(shí)，安全審查趨于嚴(yán)格，將越對(duì)頭部公司產(chǎn)生利好，關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者的采購(gòu)選擇會(huì)進(jìn)一步集中于更安全可靠的頭部玩家。

隨著對(duì)國(guó)外進(jìn)口產(chǎn)品及服務(wù)的安全考量更為審慎，《網(wǎng)絡(luò)安全審查辦法》的實(shí)施或有助于為信創(chuàng)推進(jìn)鋪平道路，同時(shí)為數(shù)字新基建的發(fā)展提供供應(yīng)鏈安全保障。

如今我國(guó)自主創(chuàng)新的國(guó)產(chǎn)IT基礎(chǔ)設(shè)施體系正在快速發(fā)展，正從可用努力走向好用階段。

例如今年5月6日，電信公布2020年服務(wù)器集中采購(gòu)項(xiàng)目規(guī)模情況，預(yù)計(jì)集中采購(gòu)服務(wù)器56314臺(tái)，并單d列出給予國(guó)產(chǎn)CPU（鯤鵬和海光）服務(wù)器20%的份額，拉開(kāi)信創(chuàng)產(chǎn)業(yè)的帷幕。這意味著國(guó)產(chǎn)IT基礎(chǔ)設(shè)施生態(tài)基本成形，且性能逐漸能夠滿足較多行業(yè)業(yè)務(wù)場(chǎng)景需求。

5月8日，包括龍芯、華為、飛騰在內(nèi)的30家信創(chuàng)L域重點(diǎn)企業(yè)集中簽約落戶(hù)北京經(jīng)開(kāi)區(qū)，標(biāo)志著信創(chuàng)產(chǎn)業(yè)的“四梁八柱”正式搭建，也意味著北京經(jīng)開(kāi)區(qū)在“新基建”建設(shè)方面再添新動(dòng)能。

此次集中簽約落地的30個(gè)項(xiàng)目不僅包含國(guó)產(chǎn)自主核心芯片、操作系統(tǒng)等基礎(chǔ)軟件、創(chuàng)新型基礎(chǔ)硬件和重點(diǎn)集成服務(wù)四個(gè)L域企業(yè)，還囊括了5G技術(shù)、云計(jì)算、云存儲(chǔ)等新型基礎(chǔ)設(shè)施建設(shè)項(xiàng)目，代表著我國(guó)信息技術(shù)應(yīng)用創(chuàng)新產(chǎn)業(yè)的前沿技術(shù)和自主生態(tài)建設(shè)能力。

目前北京經(jīng)開(kāi)區(qū)信創(chuàng)園已對(duì)接生態(tài)企業(yè)400余家，信創(chuàng)產(chǎn)業(yè)核心環(huán)節(jié)實(shí)現(xiàn)布局，產(chǎn)業(yè)生態(tài)搭建完成。項(xiàng)目2022年達(dá)產(chǎn)后，預(yù)計(jì)實(shí)現(xiàn)營(yíng)收1000億元以上。

三、對(duì)網(wǎng)絡(luò)安全審查日趨嚴(yán)格

近年來(lái)，網(wǎng)絡(luò)空間博弈風(fēng)云變幻，建立并適用網(wǎng)絡(luò)安全審查制度開(kāi)始逐步成為國(guó)際通行做法，很多多次修訂政策法規(guī)以加強(qiáng)供應(yīng)鏈安全的審查、評(píng)估。

美國(guó)早在2000年就率先在安全系統(tǒng)中對(duì)采購(gòu)的產(chǎn)品進(jìn)行安全審查；2013年11月，美國(guó)國(guó)防部規(guī)定國(guó)防系統(tǒng)及其合同商采購(gòu)的產(chǎn)品和服務(wù)要經(jīng)過(guò)供應(yīng)鏈安全審查。

2014年，美國(guó)《綜合持續(xù)撥款法案》規(guī)定商務(wù)部、司法部、宇航局和科學(xué)基金會(huì)采購(gòu)G影響或中度影響的信息技術(shù)系統(tǒng)之前，需要進(jìn)行供應(yīng)鏈安全審查，并評(píng)估可能出現(xiàn)的網(wǎng)絡(luò)間諜或破壞行為。

2019年美總統(tǒng)令《確保信息通信技術(shù)與服務(wù)供應(yīng)鏈安全》、2020年《安全和可信通信網(wǎng)絡(luò)法》都建立了相應(yīng)的網(wǎng)絡(luò)安全審查制度。

此外在過(guò)去兩年間，美國(guó)屢屢以安全為由而實(shí)施商業(yè)禁令。就在今年4月底，美國(guó)《國(guó)會(huì)山報(bào)（The Hill）》報(bào)道稱(chēng)，美國(guó)參議員準(zhǔn)備提出法案禁止政府雇員使用被視為安全威脅的公司的產(chǎn)品，特別提到了華為、中興和騰訊。