郭启全：《网络安全等级保护条例（征求意见稿）》解读

近年来，世界主要国家将网络安全作为谋求战略优势的新抓手，对内不断加强顶层设计和能力建设，对外抢抓网络空间控制权、规则制定权和话语权，世界大国网络空间博弈加剧，网络问题已成为大国互动的新焦点、大国战略关系走向的重大课题。我国网络安全形势更是严峻复杂，面临前所未有的威胁、风险和挑战，并存在许多突出的问题和困难。在这种形势下，亟需健全完善我国的网络安全法律体系，为我国网络安全等级保护制度的实施提供法律保障。《网络安全法》明确规定国家实行网络安全等级保护制度，标志着网络安全等级保护制度从1994年国务院条例（第147号令）上升为国家法律要求，标志着我国实施十年之久的信息安全等级保护制度进入新时代、新阶段，标志着以保护国家关键信息基础设施和大数据安全为重点的网络安全等级保护制度将进一步健全完善并依法全面推进实施。以“建设网络强国”为战略目标，以发展需求为牵引，以安全问题为导向，及时制定出台《条例》十分必要、紧迫，这是构建全新网络安全等级保护制度体系、保障关键信息基础设施和大数据安全、依法维护我国网络空间安全的重要举措。

（二）是落实网络安全等级保护制度要求，构建国家网络安全基本制度、基本国策的需要

近年来，有关法规和系列政策文件明确要求，落实网络安全等级保护制度要求，重点保护基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要信息系统，不断健全完善网络安全等级保护制度体系。网络安全等级保护是当今发达国家保护关键信息基础设施、保障信息安全的通行做法，也是我国多年来网络安全工作实践和经验的总结。开展网络安全等级保护工作的主要目的就是要保护国家关键信息基础设施安全、维护国家安全，这是一项事关国家安全、社会稳定、国家利益的重要决策部署。十多年来，在党中央的坚强领导下，在有关部门、专家、企业的大力支持下，公安部根据法律授权，会同中央网信办、国家保密局和国家密码管理局，在全国范围内组织开展基础调查、等级保护试点、信息系统定级备案、安全建设整改、等级测评、网络安全大检查等工作，创造性地构建并实施了网络安全等级保护制度，确立了具有中国特色的国家网络安全基本制度和基本国策，全面促进了国家网络安全工作体系化，有力促进了我国网络安全工作法制化、规范化和标准化，全力提升了国家关键信息基础设施安全保护能力。同时，公安部会同国家保密局、国家密码管理局、国资委、国家发改委、财政部、教育部等部门出台了一系列政策文件，逐步构建网络安全等级保护工作的政策体系，组织制定了网络安全等级保护工作需要的一系列标准，形成了网络安全等级保护标准体系，为指导各地区、各部门开展等级保护工作提供了政策保障和标准保障。网络安全等级保护制度业已成为国家网络安全的基本制度、基本策略和基本方法，是促进信息化健康发展，维护国家安全、社会秩序和公共利益的根本保障。因此，有必要将这一基础性制度通过行政法规的形式固定下来，把多年来网络安全工作中行之有效的方法和措施固化下来，确保《网络安全法》规定的网络安全基本制度得以有效实施。

（三）是应对日益严峻的网络安全形势，解决网络安全突出问题的现实需要

近年来网络安全形势越来越严峻，网络安全事件（案件）频发，面临境内外的网络攻击威胁也越来越大。从公安机关开展网络安全事件处置，以及打击黑客攻击类网络违法犯罪案件的情况看，有超过80%的网络安全事件（案件）都是因为网络运营者自身安全保护重视不够，基本安全保护措施不落实等原因造成。目前，网络安全等级保护制度实施的主要依据是2007年公安部、国家保密局、国家密码管理局、原国务院信息办联合出台的《信息安全等级保护管理办法》（公通字〔2007〕43号），属于规范性文件，不具备法律效力，适用范围仅限政府部门内部，约束性差，导致公安机关、保密部门、密码管理部门的监督管理力度不大，对不落实等级保护制度要求的单位无法进行行政处罚。因此，需要以《网络安全法》和《网络安全等级保护条例》共同支撑国家网络安全等级保护制度的全面有效地贯彻落实。

（一）关于总则

总结十多年的实践，总则中对立法依据、适用范围、原则和保护重点、职责分工等做了明确规定。国家实行网络安全等级保护制度，对网络实施分等级保护、分等级监管，《条例》适用于中华人民共和国境内建设、运营、维护、使用网络开展网络安全等级保护工作以及监督管理，个人及家庭自用的网络除外。《条例》中延用《网络安全法》中网络的概念：网络是指由计算机或者其他信息终端及相关设备组成的按照一定规则和程序对数据信息进行收集、存储、传输、交换、处理的信息网络、信息系统和数据资源。网络安全等级保护制度在十多年成功实践的基础上，结合当前信息技术的发展和形势需要，不断与时俱进、健全完善。一是将风险评估、安全监测、通报预警、案事件调查、数据防护、灾难备份、应急处置、自主可控、供应链安全、效果评价、综治考核等重点措施纳入等级保护制度并实施。二是将网络基础设施、重要信息系统、网站、大数据中心、云计算平台、物联网、工控系统、公众服务平台、互联网企业等全部纳入等级保护监管。网络安全等级保护工作重点保护的是涉及国家安全、国计民生、社会公共利益的网络的基础设施安全、运行安全和数据安全。同时，总则中强调了网络安全的三同步原则，即网络运营者在网络建设过程中，应当同步规划、同步建设、同步运行网络安全保护、保密和密码保护措施。此外，总则中还规定了中央网信办、公安部门、保密行政管理部门、国家密码管理部门以及国务院其他有关部门、行业主管部门在网络安全等级保护工作中的职责。

（二）关于支持与保障

《条例》第二章中明确了国家和政府落实网络安全等级保护制度的职责任务，重点体现在组织领导、技术支持、保障考核、宣传培训和鼓励创新等方面，从国家层面保障支持等级保护制度的实施和落地，形成自上而下的等级保护工作推进体系。第八条规定国家建立健全网络安全等级保护制度的组织领导体系、技术支持体系和保障体系。各级人民政府和行业主管部门应当将网络安全等级保护制度实施纳入信息化工作总体规划，统筹推进。第九条规定国家建立完善等级保护标准体系。标准化部门和公安、保密、密码部门根据各自职责，组织制定等级保护国家标准、行业标准。在投入和保障方面，各级人民政府鼓励扶持网络安全等级保护重点工程和项目，支持网络安全等级保护技术的研究开发和应用。在技术支持方面，国家建设网络安全等级保护专家队伍和等级测评、安全建设、应急处置等技术支持体系，为网络安全等级保护制度提供支撑。

（三）关于网络的安全保护

《条例》第三章中规定了网络安全等级保护制度体系的基本框架、具体内容、要求和相关主体的责任义务。

一是明确了网络运营者依法落实网络安全等级保护制度。按照《条例》规定开展网络定级、备案、测评、整改、自查工作，公安机关对网络分级监督管理的职责及其在备案审核、服务机构管理、事件调查、执法检查中的职责。《条例》中的内容与《关键信息基础设施保护条例（征求意见稿）》有关内容进行了协调衔接。

二是规定了网络的定级和备案要求。根据网络在国家安全、经济建设、社会生活中的重要程度，以及其一旦遭到破坏、丧失功能或者数据被篡改、泄露、丢失、损毁后，对国家安全、社会秩序、公共利益以及相关公民、法人和其他组织的合法权益的危害程度等因素，网络分为五个安全保护等级（如表）。