太古观察：聚焦《关键信息基础设施安全保护条例》发布

2021年8月17日，国务院正式发布了《关键信息基础设施安全保护条例》（以下简称“《条例》”）。《条例》于2021年4月27日经国务院第133次常务会议通过，将于2021年9月1日起施行。《条例》共六章五十一条，其围绕关键信息基础设施建立了专门的保护制度，有利于进一步健全关键信息基础设施安全保护法律制度体系。

立法沿革

关键信息基础设施（Critical Information Infrastructures，CII）这一概念首次出现在法律中是2016年11月发布的《网络安全法》中，《网络安全法》中第二节的内容为关键信息基础设施的运行安全，其具体范围和安全保护办法由国务院制定。

从《条例》征求意见稿发布到《条例》正式发布，历时近4年。在2017年7月发布的《条例》征求意见稿中，对关键信息基础设施的认定和法律保护范围等方面尚不明晰。

虽然，国家标准化管理委员会在2017年已经对《信息安全技术CII安全保护要求》和《信息安全技术CII安全控制措施》进行了立项，但截至目前，上述两项均未发布。

目前，关键信息基础设施面临的网络安全问题日趋严峻，网络攻击威胁事件频发。在此背景下《条例》正式发布，并将于2021年9月1日起，与《数据安全法》和《网络产品安全漏洞管理规定》共同正式施行。

什么是关键信息基础设施（Critical Information Infrastructures，CII）？如何认定CII？

关键信息基础设施是指公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务、国防科技工业等重要行业和领域的，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的重要网络设施、信息系统等。

根据《条例》，对于关键信息基础设施的认定，将采取由各行业和领域的主管部门、监督管理部门结合本行业、本领域实际，制定关键信息基础设施认定规则，并报国务院公安部门备案。

在制定认定规则的时候，需要考虑网络设施、信息系统等对于本行业、本领域关键核心业务的重要程度，以及网络设施、信息系统一旦遭到破坏、丧失功能或者数据泄露可能带来的危害程度以及是否会对其他行业和领域带来影响。

对于被认定为关键信息基础设施的，各行业和领域的主管部门、监督管理部门应将运营结果及时通知运营者（CIIO）。

《条例》的监督管理工作机制

《条例》的监督管理工作机制主要分为国务院相关部门、省级政府相关部门和基层关键信息基础设施三个方面。

在国务院相关部门层面，国务院公安部门负责指导监督关键信息基础设施安全保护工作。国务院电信主管部门和其他有关部门在各自职责范围内负责关键信息基础设施安全保护和监督管理工作。

在省级政府相关部门层面，由省级人民政府有关部门对关键信息基础设施实施安全保护和监督管理。

在关键信息基础设施层面，关键信息基础设施要坚持综合协调、通过分工，强化和落实关键信息基础设施运营者的主体责任，充分发挥政府及社会各方面的作用，共同保护关键信息基础设施安全。

最后，由国家对关键信息基础设施实行重点保护，并采取监测、防御、处置等措施来应对境内外的网络安全风险和威胁，保护关键信息基础设施，并依法惩治危害关键信息基础设施安全的违法犯罪活动。

关键信息基础设施运营者的责任和义务

关键信息基础设施运营者的主要负责人是关键信息基础设施安全保护总负责人和领导者，其执行的安全保护措施应与关键信息基础设施同步规划、同步建设、同步使用。

就关键信息基础设施运营者的日常管理工作而言，其需要设置专门的安全管理机构，并对机构关键的任职人员进行安全背景审查；建立健全网络安全保护制度和责任制，保障人力、财力、物力投入。

根据《条例》的第三章，关键信息基础设施运营者还需要定期开展安全监测和风险评估、报告网络安全事件或网络安全威胁、规范网络产品和服务采购制度等。

我们的观察

关键信息基础设施作为一种关系到国家安全、国计民生和国家利益等的重要设施，其重要性不言而喻。

为此，国家各个部门都在紧密地协调与共同努力中。根据《条例》，国家应采取措施将CIIO的安全管理人员、安全技术人员培训纳入国家继续教育体系，并支持CII安全防护技术创新和产业发展，优先保障能源和电信等CII的安全运行等。这也是首次明确提出来CII重点关键领域的优先保障方向。作为一份针对我国关键信息基础设施安全保护的专门性行政法规和指导国家网络安全保障工作的基础性行政法规，《条例》对于此前一直存在的问题作出了回应，如CII的定义和认定范围不明确、运营者主体责任和监管部门职责分工不清晰等。《条例》的出台也是对《网络安全法》的重要细化，其在《网络安全法》的框架下，细化了关键信息基础设施运营者的义务和责任。

同时，网络安全和关键信息基础设施的安全是需要全社会来共同努力、协同合作的。对此，我们将保持关注。