公安部关于《网络安全等级保护条例 （征求意见稿）》 公开征求意见的公告 资料来源： https://www.mps.gov.cn/n2254536/n4904355/c6159136/content.html m o c . 5 为贯彻落实《中华人民共和国网络安全法》，深入推进实施国家 网络安全等级保护制度，经广泛征求意见，反复研究修改，公安部会 b u 同有关部门起草了《网络安全等级保护条例（征求意见稿）》。为保 h t i g 障公众知情权和参与权，凝聚各界共识和智慧，提高立法质量，现向 社会公开征求意见。 公众可登陆公安部网站（网址：http://www.mps.gov.cn）查阅征 求意见稿，有关建议可在 2018 年 7 月 27 日前通过电子邮件方式发送 至 djbhtl@163.com，或传真至 010-66262319。 公安部 2018 年 6 月 27 日 1 网络安全等级保护条例 （征求意见稿） 目 录 第一章 总 则 ........................................... 3 第二章 支持与保障 ....................................... 5 第三章 网络的安全保护 ................................... 6 第四章 涉密网络的安全保护 .............................. 14 第五章 密码管理 ........................................ 17 第六章 监督管理 ........................................ 18 第七章 法律责任 ........................................ 22 第八章 附 b u m o c . 5 h t i g 则 .......................................... 25 2 第一章 总 则 第一条【立法宗旨与依据】为加强网络安全等级保护工 作，提高网络安全防范能力和水平，维护网络空间主权和国 家安全、社会公共利益，保护公民、法人和其他组织的合法 权益，促进经济社会信息化健康发展，依据《中华人民共和 国网络安全法》 、 《中华人民共和国保守国家秘密法》等法律， m o c . 5 制定本条例。 第二条【适用范围】在中华人民共和国境内建设、运营、 维护、使用网络，开展网络安全等级保护工作以及监督管理， b u 适用本条例。个人及家庭自建自用的网络除外。 第三条【确立制度】国家实行网络安全等级保护制度，对 h t i g 网络实施分等级保护、分等级监管。 前款所称“网络”是指由计算机或者其他信息终端及相关 设备组成的按照一定的规则和程序对信息进行收集、存储、传 输、交换、处理的系统。 第四条【工作原则】网络安全等级保护工作应当按照突出 重点、主动防御、综合防控的原则，建立健全网络安全防护体 系，重点保护涉及国家安全、国计民生、社会公共利益的网络 的基础设施安全、运行安全和数据安全。 网络运营者在网络建设过程中，应当同步规划、同步建 设、同步运行网络安全保护、保密和密码保护措施。 涉密网络应当依据国家保密规定和标准，结合系统实际 3 进行保密防护和保密监管。 第五条【职责分工】中央网络安全和信息化领导机构统 一领导网络安全等级保护工作。国家网信部门负责网络安全 等级保护工作的统筹协调。 国务院公安部门主管网络安全等级保护工作，负责网络 安全等级保护工作的监督管理，依法组织开展网络安全保卫。 国家保密行政管理部门主管涉密网络分级保护工作，负 m o c . 5 责网络安全等级保护工作中有关保密工作的监督管理。 国家密码管理部门负责网络安全等级保护工作中有关 密码管理工作的监督管理。 b u 国务院其他有关部门依照有关法律法规的规定，在各自 职责范围内开展网络安全等级保护相关工作。 h t i g 县级以上地方人民政府依照本条例和有关法律法规规 定，开展网络安全等级保护工作。 第六条【网络运营者责任义务】网络运营者应当依法开 展网络定级备案、安全建设整改、等级测评和自查等工作， 采取管理和技术措施，保障网络基础设施安全、网络运行安 全、数据安全和信息安全，有效应对网络安全事件，防范网 络违法犯罪活动。 第七条【行业要求】行业主管部门应当组织、指导本行 业、本领域落实网络安全等级保护制度。 4 第二章 支持与保障 第八条【总体保障】国家建立健全网络安全等级保护制 度的组织领导体系、技术支持体系和保障体系。 各级人民政府和行业主管部门应当将网络安全等级保 护制度实施纳入信息化工作总体规划，统筹推进。 第九条【标准制定】国家建立完善网络安全等级保护标 m o c . 5 准体系。国务院标准化行政主管部门和国务院公安部门、国 家保密行政管理部门、国家密码管理部门根据各自职责，组 织制定网络安全等级保护的国家标准、行业标准。 b u 国家支持企业、研究机构、高等学校、网络相关行业组 织参与网络安全等级保护国家标准、行业标准的制定。 h t i g 第十条【投入和保障】各级人民政府鼓励扶持网络安全 等级保护重点工程和项目，支持网络安全等级保护技术的研 究开发和应用，推广安全可信的网络产品和服务。 第十一条【技术支持】国家建设网络安全等级保护专家 队伍和等级测评、安全建设、应急处置等技术支持体系，为 网络安全等级保护制度提供支撑。 第十二条【绩效考核】行业主管部门、各级人民政府应 当将网络安全等级保护工作纳入绩效考核评价、社会治安综 合治理考核等。 第十三条【宣传教育培训】各级人民政府及其有关部门 应当加强网络安全等级保护制度的宣传教育，提升社会公众 5 的网络安全防范意识。 国家鼓励和支持企事业单位、高等院校、研究机构等开 展网络安全等级保护制度的教育与培训，加强网络安全等级 保护管理和技术人才培养。 第十四条【鼓励创新】国家鼓励利用新技术、新应用开 展网络安全等级保护管理和技术防护，采取主动防御、可信 计算、人工智能等技术，创新网络安全技术保护措施，提升 m o c . 5 网络安全防范能力和水平。 国家对网络新技术、新应用的推广，组织开展网络安全 风险评估，防范网络新技术、新应用的安全风险。 b u 第三章 网络的安全保护 h t i g 第十五条【网络等级】根据网络在国家安全、经济建设、 社会生活中的重要程度，以及其一旦遭到破坏、丧失功能或 者数据被篡改、泄露、丢失、损毁后，对国家安全、社会秩 序、公共利益以及相关公民、法人和其他组织的合法权益的 危害程度等因素，网络分为五个安全保护等级。 （一）第一级，一旦受到破坏会对相关公民、法人和其 他组织的合法权益造成损害，但不危害国家安全、社会秩序 和公共利益的一般网络。 （二）第二级，一旦受到破坏会对相关公民、法人和其 他组织的合法权益造成严重损害，或者对社会秩序和公共利 6 益造成危害，但不危害国家安全的一般网络。 （三）第三级，一旦受到破坏会对相关公民、法人和其 他组织的合法权益造成特别严重损害，或者会对社会秩序和 社会公共利益造成严重危害，或者对国家安全造成危害的重 要网络。 （四）第四级，一旦受到破坏会对社会秩序和公共利益 造成特别严重危害，或者对国家安全造成严重危害的特别重 m o c . 5 要网络。 （五）第五级，一旦受到破坏后会对国家安全造成特别 严重危害的极其重要网络。 b u 第十六条【网络定级】网络运营者应当在规划设计阶段 确定网络的安全保护等级。 h t i g 当网络功能、服务范围、服务对象和处理的数据等发生 重大变化时，网络运营者应当依法变更网络的安全保护等级。 第十七条【定级评审】对拟定为第二级以上的网络，其 运营者应当组织专家评审；有行业主管部门的，应当在评审 后报请主管部门核准。 跨省或者全国统一联网运行的网络由行业主管部门统 一拟定安全保护等级，统一组织定级评审。 行业主管部门可以依据国家标准规范，结合本行业网络 特点制定行业网络安全等级保护定级指导意见。 第十八条【定级备案】第二级以上网络运营者应当在网 7 络的安全保护等级确定后 10 个工作日内，到县级以上公安 机关备案。 因网络撤销或变更调整安全保护等级的，应当在 10 个 工作日内向原受理备案公安机关办理备案撤销或变更手续。 备案的具体办法由国务院公安部门组织制定。 第十九条【备案审核】公安机关应当对网络运营者提交 的备案材料进行审核。对定级准确、备案材料符合要求的， m o c . 5 应在 10 个工作日内出具网络安全等级保护备案证明。 第二十条【一般安全保护义务】网络运营者应当依法履 行下列安全保护义务，保障网络和信息安全： b u （一）确定网络安全等级保护工作责任人，建立网络安 h t i g 全等级保护工作责任制，落实责任追究制度； （二）建立安全管理和技术保护制度，建立人员管理、 教育培训、系统安全建设、系统安全运维等制度； （三）落实机房安全管理、设备和介质安全管理、网络 安全管理等制度，制定操作规范和工作流程； （四）落实身份识别、防范恶意代码感染传播、防范网 络入侵攻击的管理和技术措施； （五）落实监测、记录网络运行状态、网络安全事件、 违法犯罪活动的管理和技术措施，并按照规定留存六个月以 上可追溯网络违法犯罪的相关网络日志； （六）落实数据分类、重要数据备份和加密等措施； （七）依法收集、使用、处理个人信息，并落实个人信 8 息保护措施，防止个人信息泄露、损毁、篡改、窃取、丢失 和滥用； （八）落实违法信息发现、阻断、消除等措施，落实防 范违法信息大量传播、违法犯罪证据灭失等措施； （九）落实联网备案和用户真实身份查验等责任； （十）对网络中发生的案事件，应当在二十四小时内向 属地公安机关报告；泄露国家秘密的，应当同时向属地保密 m o c . 5 行政管理部门报告。 （十一）法律、行政法规规定的其他网络安全保护义务。 第二十一条【特殊安全保护义务】第三级以上网络的运 b u 营者除履行本条例第二十条规定的网络安全保护义务外，还 应当履行下列安全保护义务： h t i g （一）确定网络安全管理机构，明确网络安全等级保护 的工作职责，对网络变更、网络接入、运维和技术保障单位 变更等事项建立逐级审批制度； （二）制定并落实网络安全总体规划和整体安全防护策 略，制定安全建设方案，并经专业技术人员评审通过； （三）对网络安全管理负责人和关键岗位的人员进行安 全背景