2021 年 7 月 30 日，國務院正式頒布《關鍵信息基礎設施安全保護條例》（以下簡稱《條例》）。作為《網(wǎng)絡安全法》的重要配套法規(guī)，《條例》突出維護關鍵信息基礎設施安全在經(jīng)濟、政治、社會中的價值定位，確立了我國關鍵信息基礎設施范圍和保護工作原則目標，理清了監(jiān)督管理體制，完善了關鍵信息基礎設施認定機制，明確了運營者責任義務，正式開啟了我國關鍵信息基礎設施安全保護的新格局。
一、《條例》出臺意義重大
當前，隨著數(shù)字化發(fā)展的不斷深入，國家關鍵信息基礎設施已被視為國家的重要戰(zhàn)略資源，面臨的網(wǎng)絡安全形勢和外部環(huán)境復雜多變。一方面，美國將我國視為網(wǎng)絡空間主要戰(zhàn)略對手，中美網(wǎng)絡博弈日趨嚴峻激烈，新技術新應用發(fā)展迅猛，安全風險錯綜交織，關鍵信息基礎設施面臨的安全風險和隱患愈加突出。另一方面，由于歷史和現(xiàn)實原因，我國關鍵信息基礎設施和核心要害部位仍大量使用國外信息技術產品和服務，一旦發(fā)生重大安全事件，將產生巨大的破壞力和殺傷力，造成巨大經(jīng)濟損失，危害國家政治穩(wěn)定。加強國家關鍵信息基礎設施安全保護已成為新形勢下切實維護國家網(wǎng)絡安全的迫切需要。
黨的十八大以來，以習近平同志為核心的黨中央提出了依法治國戰(zhàn)略，加強和推進網(wǎng)絡空間法治化進程。《條例》的出臺是貫徹落實“依法治國”戰(zhàn)略、新形勢下應對重大戰(zhàn)略風險挑戰(zhàn)的強基固本之舉，是推進網(wǎng)絡安全法治化的重要成果，是落實《網(wǎng)絡安全法》的具體體現(xiàn)，為我國加強國家關鍵信息基礎設施的網(wǎng)絡安全保護工作提供有力抓手和法治保障。以立法形式保護關鍵基礎設施安全，已成為當今世界各國網(wǎng)絡空間安全制度建設的核心內容和基本實踐。
《條例》的出臺，立足工作落實，明確了關鍵信息基礎設施范圍界定、職責分工、安全檢查檢測機制等安全保護要求和保障措施，確保對象具體、權責清晰、任務明確，既是積極應對網(wǎng)絡空間形勢的現(xiàn)實需要，也有利于進一步提升我國網(wǎng)絡安全保障的整體水平。
二、《條例》重點內容解讀
作為關鍵信息基礎設施安全保護的專項行政法規(guī)，《條例》通過統(tǒng)籌立法內容和權責劃分兩方面，進一步聚焦關鍵信息基礎設施安全保護工作實踐中的突出問題，強化和落實各主體擔負的權責和工作協(xié)同機制，規(guī)定了我國關鍵信息基礎設施保護的基本制度架構，為我國關鍵信息基礎設施的網(wǎng)絡安全保護工作奠定良好的效力基礎。
一是采用“范圍列舉 + 授權認定”方式界定概念。《條例》從立法和規(guī)范等層面入手，采用了“范圍列舉+授權認定”的方法，對關鍵信息基礎設施的概念定義作出明確法律界定，將關鍵信息基礎設施定位于“重要網(wǎng)絡設施和信息系統(tǒng)”，并以列舉方式明確了其行業(yè)屬性和影響屬性兩大界定標準，確保有法可依、監(jiān)管到位。
二是明確“分類管理+重點保護”的監(jiān)管體系。《條例》在《網(wǎng)絡安全法》所確定的管理框架內，對關鍵信息基礎設施保護的管理體系進行細分細化，強化保護工作的組織管理基礎，包括明確不同部門職能，涉及統(tǒng)籌協(xié)調部門（國家網(wǎng)信部門）、指導監(jiān)督部門（國務院公安部門）、保護工作部門（重要行業(yè)和領域的主管、監(jiān)管部門）；明確主要部門的重點管理內容，進一步理順統(tǒng)一領導、相互協(xié)作的工作機制，保障保護工作的推進實施。
三是實行“動態(tài)全面+綜合防護”的安全防護措施。《網(wǎng)絡安全法》強調在等級保護的基礎上實行重點保護，對關鍵信息基礎設施采取監(jiān)測預警、風險評估、信息共享、應急處置等安全保護措施。《條例》基于風險控制的動態(tài)安全保護周期過程，明確了關鍵信息基礎設施保護的識別認定、安全防護、檢測評估、監(jiān)測預警和應急處置五個基本環(huán)節(jié)，進一步細化對關鍵信息基礎設施保護的實施細則，確保安全防護覆蓋關鍵信息基礎設施的全生命周期，保證安全保護措施與關鍵信息基礎設施同步規(guī)劃、同步建設、同步使用，共同構建起對關鍵信息基礎設施安全合規(guī)的綜合安全防護防線。
三、加強構建國家關鍵信息基礎設施網(wǎng)絡安全保障能力
面對我國建設網(wǎng)絡強國重要目標，唯有不斷提升對關鍵信息基礎設施中潛在問題和隱患的發(fā)現(xiàn)能力，明確存在的能力短板、找到制約的因素與亟待解決的問題，方能開創(chuàng)新的治理篇章。
一是進一步優(yōu)化完善配套標準規(guī)范體系。盡快制訂關鍵信息基礎設施安全標準是落實關鍵信息基礎設施安全保護的重要抓手，其與已有等級保護、信息系統(tǒng)安全等標準存在相互支撐、相互補充的關系。以事件管理、信息共享、應急響應、供應鏈安全等作為支撐，以現(xiàn)有信息安全標準，包括管理、技術、測評等標準作為補充，結合關鍵信息基礎設施主要安全風險及國內外相關標準情況，盡快健全完善關鍵信息基礎設施識別認定指南，完善監(jiān)測預警、態(tài)勢感知、信息共享、評估檢測等相關標準體系，指導規(guī)范各方關鍵信息基礎設施安全保護工作。
二是以風險為導向持續(xù)深化安全檢測評估。《條例》要求：“運營者應當自行或者委托網(wǎng)絡安全服務機構對關鍵信息基礎設施每年至少進行一次網(wǎng)絡安全檢測和風險評估”。如何推進以風險為導向的安全檢測和風險評估工作，實際上就是落實關鍵信息基礎設施需要重點保護的要求，充分考慮關鍵信息基礎設施承載業(yè)務的關鍵屬性，結合嚴峻復雜的外部環(huán)境，在現(xiàn)有等級保護、行業(yè)標準等傳統(tǒng)合規(guī)風險評估基礎上，建立一套動態(tài)性、擴展性的網(wǎng)絡安全綜合風險評估體系，以發(fā)現(xiàn)安全風險隱患和網(wǎng)絡攻擊竊密線索為主線，消除現(xiàn)實安全威脅，堵塞漏洞隱患，提升反間諜安全防范能力，適應新時代網(wǎng)絡安全防護要求。
三是加強對關鍵敏感數(shù)據(jù)的安全監(jiān)管。在《條例》的基礎上，結合《數(shù)據(jù)安全法》，積極探索建立“關鍵信息基礎設施數(shù)據(jù)安全管理制度”，構建國家、重點敏感行業(yè)和核心骨干企業(yè)三個層面的數(shù)據(jù)安全防護機制與體系，切實保障關鍵信息基礎設施數(shù)據(jù)收集、存儲、使用、加工、傳輸、提供、公開等各個環(huán)節(jié)的安全高效與可信應用。特別是加強對涉及關鍵信息基礎設施的核心業(yè)務數(shù)據(jù)和關鍵敏感數(shù)據(jù)的出入境安全檢測，形成“全生命周期”“全鏈條環(huán)節(jié)”的數(shù)據(jù)安全監(jiān)管體系，確保監(jiān)管到位、不留死角。
