前言
2021年6月30日，中国移动出行平台滴滴公司在纽约证券交易所成功上市。两天后，国家互联网信息办公室（以下简称“网信办”）发布一则简短的公告称，网络安全审查办公室按照《网络安全审查办法》，对“滴滴出行”实施网络安全审查；为配合网络安全审查工作，防范风险扩大，审查期间“滴滴出行”停止新用户注册。数日后，网信办又发布一则公告，由于滴滴出行等APP严重违法违规收集使用个人信息，因此将滴滴出行等APP予以下架处理。
此后，某些品牌的汽车在行驶过程中采集相关数据可能导致的网络安全隐患也引起相关部门和公众的广泛关注，包括“国有云”在内的诸多与网络安全相关的事件始终撩拨着国人的神经。
2021年12月28日，国家互联网信息办公室审议通过并经发改委等十余部门同意，公布了《网络安全审查办法（2021）》，自2022年2月15日起施行，同时废止了《网络安全审查办法（2020）》。相较于《网络安全审查办法（2020）》，《网络安全审查办法（2021）》的主要修改内容如下：
对应条文数 | 《网络安全审查办法》（2020） | 对应条文数 | 《网络安全审查办法》（2021） |
1 | 为了确保关键信息基础设施供应链安全，维护国家安全，依据《中华人民共和国国家安全法》《中华人民共和国网络安全法》，制定本办法。 | 1 | 为了确保关键信息基础设施供应链安全，保障网络安全和数据安全，维护国家安全，根据《中华人民共和国国家安全法》、《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《关键信息基础设施安全保护条例》，制定本办法。 |
2 | 关键信息基础设施运营者（以下简称运营者）采购网络产品和服务，影响或可能影响国家安全的，应当按照本办法进行网络安全审查。 | 2 | 关键信息基础设施运营者采购网络产品和服务，网络平台运营者开展数据处理活动，影响或者可能影响国家安全的，应当按照本办法进行网络安全审查。 前款规定的关键信息基础设施运营者、网络平台运营者统称为当事人。 |
3 | 网络安全审查坚持防范网络安全风险与促进先进技术应用相结合、过程公正透明与知识产权保护相结合、事前审查与持续监管相结合、企业承诺与社会监督相结合，从产品和服务安全性、可能带来的国家安全风险等方面进行审查。 | 3 | 网络安全审查坚持防范网络安全风险与促进先进技术应用相结合、过程公正透明与知识产权保护相结合、事前审查与持续监管相结合、企业承诺与社会监督相结合，从产品和服务以及数据处理活动安全性、可能带来的国家安全风险等方面进行审查。 |
4 | 在中央网络安全和信息化委员会领导下，国家互联网信息办公室会同中华人民共和国国家发展和改革委员会、中华人民共和国工业和信息化部、中华人民共和国公安部、中华人民共和国国家安全部、中华人民共和国财政部、中华人民共和国商务部、中国人民银行、国家市场监督管理总局、国家广播电视总局、国家保密局、国家密码管理局建立国家网络安全审查工作机制。 | 4 | 在中央网络安全和信息化委员会领导下，国家互联网信息办公室会同中华人民共和国国家发展和改革委员会、中华人民共和国工业和信息化部、中华人民共和国公安部、中华人民共和国国家安全部、中华人民共和国财政部、中华人民共和国商务部、中国人民银行、国家市场监督管理总局、国家广播电视总局、中国证券监督管理委员会、国家保密局、国家密码管理局建立国家网络安全审查工作机制。 |
5
5 | 运营者采购网络产品和服务的，应当预判该产品和服务投入使用后可能带来的国家安全风险。影响或者可能影响国家安全的，应当向网络安全审查办公室申报网络安全审查。 关键信息基础设施保护工作部门可以制定本行业、本领域预判指南。
| 5
5 | 关键信息基础设施运营者采购网络产品和服务的，应当预判该产品和服务投入使用后可能带来的国家安全风险。影响或者可能影响国家安全的，应当向网络安全审查办公室申报网络安全审查。 关键信息基础设施安全保护工作部门可以制定本行业、本领域预判指南。 |
6 | 对于申报网络安全审查的采购活动，运营者应通过采购文件、协议等要求产品和服务提供者配合网络安全审查，包括承诺不利用提供产品和服务的便利条件非法获取用户数据、非法控制和操纵用户设备，无正当理由不中断产品供应或必要的技术支持服务等。 | 6 | 对于申报网络安全审查的采购活动，关键信息基础设施运营者应当通过采购文件、协议等要求产品和服务提供者配合网络安全审查，包括承诺不利用提供产品和服务的便利条件非法获取用户数据、非法控制和操纵用户设备，无正当理由不中断产品供应或者必要的技术支持服务等。 |
/ | / | 7 | 掌握超过100万用户个人信息的网络平台运营者赴国外上市，必须向网络安全审查办公室申报网络安全审查 |
7 | 运营者申报网络安全审查，应当提交以下材料： （一）申报书； （二）关于影响或可能影响国家安全的分析报告； （三）采购文件、协议、拟签订的合同等； （四）网络安全审查工作需要的其他材料。 | 8 | 当事人申报网络安全审查，应当提交以下材料： （一）申报书； （二）关于影响或者可能影响国家安全的分析报告； （三）采购文件、协议、拟签订的合同或者拟提交的首次公开募股（IPO）等上市申请文件； （四）网络安全审查工作需要的其他材料。 |
9
9
| 网络安全审查重点评估采购网络产品和服务可能带来的国家安全风险，主要考虑以下因素： （一）产品和服务使用后带来的关键信息基础设施被非法控制、遭受干扰或破坏，以及重要数据被窃取、泄露、毁损的风险； （二）产品和服务供应中断对关键信息基础设施业务连续性的危害； （三）产品和服务的安全性、开放性、透明性、来源的多样性，供应渠道的可靠性以及因为政治、外交、贸易等因素导致供应中断的风险； （四）产品和服务提供者遵守中国法律、行政法规、部门规章情况； （五）其他可能危害关键信息基础设施安全和国家安全的因素。 |
10
10 | 网络安全审查重点评估采购网络产品和服务可能带来的相关对象或者情形的以下国家安全风险因素： （一）产品和服务使用后带来的关键信息基础设施被非法控制、遭受干扰或者破坏的风险； （二）产品和服务供应中断对关键信息基础设施业务连续性的危害； （三）产品和服务的安全性、开放性、透明性、来源的多样性，供应渠道的可靠性以及因为政治、外交、贸易等因素导致供应中断的风险； （四）产品和服务提供者遵守中国法律、行政法规、部门规章情况； （五）核心数据、重要数据或者大量个人信息被窃取、泄露、毁损以及非法利用、非法出境的风险； （六）上市存在关键信息基础设施、核心数据、重要数据或者大量个人信息被外国政府影响、控制、恶意利用的风险，以及网络信息安全风险； （七）其他可能危害关键信息基础设施安全、和国家安全网络安全和数据安全的因素。 |
13 | 特别审查程序一般应当在45个工作日内完成，情况复杂的可以适当延长。 | 14 | 特别审查程序一般应当在45个工作日内90个工作日内完成，情况复杂的可以延长。 |
15 | 网络安全审查工作机制成员单位认为影响或可能影响国家安全的网络产品和服务，由网络安全审查办公室按程序报中央网络安全和信息化委员会批准后，依照本办法的规定进行审查。 | 16 | 网络安全审查工作机制成员单位认为影响或者可能影响国家安全的网络产品和服务以及数据处理活动，由网络安全审查办公室按程序报中央网络安全和信息化委员会批准后，依照本办法的规定进行审查。 为了防范风险，当事人应当在审查期间按照网络安全审查要求采取预防和消减风险的措施。 |
16 | 参与网络安全审查的相关机构和人员应严格保护企业商业秘密和知识产权，对运营者、产品和服务提供者提交的未公开材料，以及审查工作中获悉的其他未公开信息承担保密义务；未经信息提供方同意，不得向无关方披露或用于审查以外的目的。 | 17 | 参与网络安全审查的相关机构和人员应当严格保护企业商业秘密知识产权，对在审查工作中知悉的商业秘密、个人信息，运营者当事人、产品和服务提供者提交的未公开材料，以及其他未公开信息承担保密义务；未经信息提供方同意，不得向无关方披露或者用于审查以外的目的。 |
19 | 运营者违反本办法规定的，依照《中华人民共和国网络安全法》第六十五条的规定处理。 | 20 | 当事人违反本办法规定的，依照《中华人民共和国网络安全法》第六十五条、《中华人民共和国数据安全法》的规定处理。 |
20
20 | 本办法中关键信息基础设施运营者是指经关键信息基础设施保护工作部门认定的运营者。 本办法所称网络产品和服务主要指核心网络设备、高性能计算机和服务器、大容量存储设备、大型数据库和应用软件、网络安全设备、云计算服务，以及其他对关键信息基础设施安全有重要影响的网络产品和服务。 | 21
21 | 本办法中关键信息基础设施运营者是指经关键信息基础设施保护工作部门认定的运营者。 本办法所称网络产品和服务主要指核心网络设备、重要通信产品、高性能计算机和服务器、大容量存储设备、大型数据库和应用软件、网络安全设备、云计算服务，以及其他对关键信息基础设施安全、网络安全和数据安全有重要影响的网络产品和服务。 |
21 | 涉及国家秘密信息的，依照国家有关保密规定执行。 | 22 | 涉及国家秘密信息的，依照国家有关保密规定执行。 国家对数据安全审查、外商投资安全审查另有规定的，应当同时符合其规定。 |
结语
仅时隔一年多，《网络安全审查办法（2020）》就迎来了重大修订，我们理解，这在很大程度上体现出政府部门对数据安全合规监管的重视和决心。不过我们也发现，《网络安全审查办法（2021）》在具体操作层面依然存在一些不足。例如，特别审查程序不够完善，一旦启动特别审查程序，如网络安全审查办公室与相关监管部门对审查结论建议仍无法达成一致意见，应当如何处理？对此，《网络安全审查办法（2021）》并未明确。又如，《网络安全审查办法（2021）》规定，违反该办法的，应依照《网络安全法》和《数据安全法》的规定处理，但该表述过于笼统，一旦数据运营者存在相关违法行为，有权机关该如何适用前述两部法律予以惩戒？总体而言，网络安全监管仍任重道远，我们期待相关部门后续出台相关的配套性规定，从而为数据运营者的网络安全合规提供更为具体的指引。
相关法律服务
杨春宝一级律师简介
杨春宝一级律师，大成上海高级合伙人、资本市场部主任、国资基金研究中心主任，大成中国区私募基金专业带头人、科技与文化法律研究中心联合牵头人。执业30余年，长期从事私募基金、投融资、并购重组法律服务，尤其对对赌研究颇深且具有非常丰富的实战经验，并专注于金融机构股权投资业务。2004年起多次入选The Legal 500"私募基金"和"公司与商业"等境内外各类律师榜单，代理的中国法院首例适用外国法律审理外国公司的董事损害小股东权益纠纷案入选上海高院发布的《上海法院域外法查明典型案例》和威科先行"要案头条"。入选上海涉外法律人才库、上海市司法局鼎新法治人才库、上海国有企业改制法律顾问团，具有上市公司独立董事任职资格，系多家知名高校的兼职教授或兼职研究生导师及上海市商务委跨国经营人才培训班讲师。出版《私募股权投资基金风险防控操作实务》等16本投融资法律专著。了解更多常见法律问题
哪些主体采购网络产品和服务需要申报审查？
依据新规，需要申报网络安全审查的主体包括两类：一是经关键信息基础设施保护工作部门认定的关键信息基础设施运营者，采购网络产品和服务，影响或可能影响国家安全的应当申报；二是网络平台运营者，其开展数据处理活动影响或可能影响国家安全的也应当申报。尤其注意，新规明确掌握超过100万用户个人信息的网络平台运营者赴国外上市，必须向网络安全审查办公室申报。这一范围扩展是本次修订的最大亮点，改变了旧版仅针对关键信息基础设施运营者的限定，将数据控制量大的网络平台纳入监管，回应了滴滴等大型平台境外上市引发的数据安全担忧。实务中，企业应首先自我评估是否属于关键信息基础设施运营者，或是否运营网络平台且拥有超过百万用户个人信息，再结合采购产品或开展数据处理活动的性质判断是否触发申报义务。建议建立内部评估机制，对采购项目和数据业务进行安全预判，避免因未经申报而违法。
新规下网络安全审查重点评估哪些风险？
新规第十条将审查评估因素从旧版的五项扩展至七项，核心变化体现在数据维度与上市维度。具体包括：产品和服务使用后导致关键信息基础设施被非法控制、干扰或破坏的风险；供应中断对业务连续性的危害；产品和服务的安全性、开放性、来源多样性及供应链可靠性；提供者遵守中国法律行政法规情况；核心数据、重要数据或大量个人信息被窃取、泄露、毁损以及非法利用、非法出境风险；上市存在关键信息基础设施、核心数据、重要数据或大量个人信息被外国政府影响、控制、恶意利用的风险以及网络信息安全风险；其他可能危害国家安全的因素。上述条款表明，审查不仅关注产品和服务的纯粹技术安全，更关注数据在跨境流动、境外上市场景下的政治性风险。特别需要关注的是，新规将数据处理活动本身的合法性纳入评估，强调非法出境与非法利用风险，直接回应了滴滴因违法违规收集使用个人信息被下架的实践。企业应建立数据分类分级制度，识别核心数据、重要数据与个人信息的范围，对数据处理环节进行合规审计，尤其针对赴国外上市或与境外主体合作的情形，应预先开展国家安全风险评估，并向审查部门主动说明风险应对方案。
当事人违反网络安全审查办法将承担什么责任？
根据新规，当事人违反网络安全审查办法的，依照《中华人民共和国网络安全法》和《中华人民共和国数据安全法》的规定处理。这意味着责任形式可能包括行政责任、刑事责任以及民事责任。在行政责任层面，网络安全法第六十五条对关键信息基础设施运营者违法使用未经安全审查或审查不合格产品的行为设定处罚，包括责令停止使用、罚款以及相关责任人处罚。数据安全法则对违法开展数据处理活动设定罚款、暂停业务、吊销许可证等处罚种类。新旧法可能产生竞合，监管部门有权根据违法行为的性质、情节及危害后果选择适用法律或并处。从滴滴案例看，违规收集使用个人信息导致APP被下架，新规还赋予监管部门在审查期间要求当事人采取停止新用户注册等预防和消减风险措施。刑事责任方面，若行为构成侵犯公民个人信息罪、拒不履行信息网络安全管理义务罪等，将依法追究刑事责任。民事责任主要体现在个人信息侵权损害赔偿。实务中，企业应高度重视审查程序，若未主动申报且被成员单位发现，将被强制审查并面临处罚。建议建立数据合规台账，完善用户信息收集使用的授权同意机制，制定安全事件应急预案，以降低违法风险。新规后续可能出台配套细则，企业应持续关注监管部门动态。
以上内容仅供参考，不构成法律意见。如需专业法律服务，请联系杨春宝一级律师：chambers.yang@dentons.cn
