《网络安全审查办法》关键信息基础设施范围.docxVIP

《网络安全审查办法》关键信息基础设施范围解析

一、关键信息基础设施的定义与法律依据

（一）关键信息基础设施的法定内涵

根据《网络安全审查办法》第三条，关键信息基础设施（CriticalInformationInfrastructure,CII）是指一旦遭到破坏、丧失功能或数据泄露，可能严重危害国家安全、经济运行、社会秩序和公共利益的信息基础设施。此定义与《网络安全法》《数据安全法》形成法律体系联动，例如《数据安全法》第二十一条明确要求建立数据分类分级保护制度，为CII的识别提供依据。

（二）相关法律框架的协同作用

《网络安全审查办法》的制定以《国家安全法》为基础，结合《关键信息基础设施安全保护条例》（2021年9月施行），形成了“三位一体”的监管体系。例如，《条例》第二条将CII的行业范围扩展至能源、金融、交通等11个领域，与《网络安全审查办法》第五条关于供应链安全审查的要求形成互补。

二、关键信息基础设施的识别标准

（一）基础支撑性标准

CII的核心特征在于其对国家关键领域的基础支撑作用。例如，电力行业的智能电网系统一旦遭受攻击，可能导致大面积停电，直接影响工业生产与居民生活。根据国家互联网信息办公室发布的《关键信息基础设施识别指南》，支撑性需结合行业规模、服务覆盖人口（如超过1000万用户）等量化指标综合判定。

（二）数据敏感性标准

涉及公民个人信息、重要行业数据的系统被优先纳入CII范围。例如，金融领域的支付清算系统日均处理交易金额超过万亿元（据中国人民银行2022年数据），其数据泄露可能引发系统性金融风险。《数据安全法》第二十一条要求对此类数据实施“重点保护”，与CII审查形成联动。

（三）安全风险性标准

CII的识别需评估潜在威胁等级。例如，工业控制系统（ICS）因技术封闭性高、漏洞修复难度大，被列为高危对象。据中国信息安全测评中心统计，2022年针对能源行业的网络攻击中，60%针对ICS系统，凸显其风险优先级。

三、关键信息基础设施的具体行业范围

（一）能源行业

包括电力、石油、天然气等领域的核心系统。例如国家电网调度控制系统覆盖全国90%以上输电网络，其故障可能导致跨区域电力中断。2021年《能源领域关键信息基础设施清单》明确将特高压输电、油气管道监测系统纳入监管。

（二）金融行业

涵盖支付清算、证券交易、保险精算等系统。以中国银联跨行交易系统为例，日均处理交易21亿笔（2023年数据），其安全性直接关系金融稳定。《金融行业网络安全等级保护指引》将此类系统划入CII第三级保护要求。

（三）通信行业

包括基础电信网络、互联网根域名解析系统等。例如中国移动的4G/5G核心网承载超过9亿用户（2023年工信部数据），其瘫痪将导致全国性通信中断。《电信条例》修订草案（2022年）要求对骨干网设备实施供应链安全审查。

四、网络安全审查的重点领域

（一）供应链安全审查

《网络安全审查办法》第十条要求对CII运营者采购的网络产品和服务进行风险评估。典型案例是2022年某银行因采购境外数据库软件未通过审查，被责令更换国产替代方案。审查重点包括供应商背景（如是否受外国司法管辖）、产品后门漏洞等。

（二）数据跨境流动管控

CII运营者的重要数据出境需通过安全评估。例如《数据出境安全评估办法》规定，处理100万人以上个人信息的运营者向境外提供数据前，必须申报评估。2023年某网约车企业因未履行评估程序被处以80万元罚款。

（三）应急响应机制建设

《网络安全审查办法》第十四条要求CII运营者建立事件应急预案。参考2021年某证券交易所因DDos攻击导致交易中断2小时的事件，监管部门要求核心系统需具备30分钟内恢复能力，并每年至少开展两次攻防演练。

五、CII范围界定的挑战与对策

（一）行业动态演变的监管滞后问题

新兴领域如智能汽车、工业互联网的CII属性尚不明确。例如新能源汽车的远程控制系统是否属于CII，目前缺乏明确标准。对策可参考欧盟《NIS2指令》，建立动态行业清单更新机制。

（二）技术交叉融合带来的识别难度

云计算、AI技术的普及使CII边界模糊化。例如政务云平台可能同时承载社保、税务等多个系统。建议采用“核心业务剥离法”，对混合系统中的高价值模块单独划定保护范围。

（三）国际合作中的标准协调需求

跨国企业CII的管辖权冲突问题突出。例如某国际物流企业的中国分公司的仓储管理系统是否纳入审查，需依据《全球数据安全倡议》推动多边协议，明确属地管辖原则。

结语

《网络安全审查办法》对关键信息基础设施的范围界定，体现了“风险优先、动态调整”的治理思路。随着《信息安全技术关键信息基础设施边界识别方法》（GB/T39204-2022）等标准的落地，CII保护将逐步从原则性框架转向精细化操作。未来需在技术创新与安全监管间寻求平衡，构