关键信息基础设施安全保护条例

关键信息基础设施安全保护条例

(征求意见稿）

第一章总则

第一条为了保障关键信息基础设施安全，根据《中华人民共和国网络安全法》，制定本条例。

第二条在中华人民共和国境内规划、建设、运营、维护、使用关键信息基础设施，以及开展关键信息基础设施的安全保护，适用本条例。

第三条关键信息基础设施安全保护坚持顶层设计、整体防护，统筹协调、分工负责的原则，充分发挥运营主体作用，社会各方积极参与，共同保护关键信息基础设施安全。

第四条国家行业主管或监管部门按照国务院规定的职责分工，负责指导和监督本行业、本领域的关键信息基础设施安全保护工作。

国家网信部门负责统筹协调关键信息基础设施安全保护工作和相关监督管理工作。国务院公安、国家安全、国家保密行政管理、国家密码管理等部门在各自职责范围内负责相关网络安全保护和监督管理工作。

县级以上地方人民政府有关部门按照国家有关规定开展关键信息基础设施安全保护工作。

第五条关键信息基础设施的运营者（以下称运营者）对本单位关键信息基础设施安全负主体责任，履行网络安全保护义务，接受政府和社会监督，承担社会责任。

国家鼓励关键信息基础设施以外的网络运营者自愿参与关键信息基础设施保护体系。

第六条关键信息基础设施在网络安全等级保护制度基础上，实行重点保护。

第七条任何个人和组织发现危害关键信息基础设施安全的行为，有权向网信、电信、公安等部门以及行业主管或监管部门举报。

收到举报的部门应当及时依法作出处理；不属于本部门职责的，应当及时移送有权处理的部门。

有关部门应当对举报人的相关信息予以保密，保护举报人的合法权益。

第二章支持与保障

第八条国家采取措施，监测、防御、处置来源于中华人民共和国境内外的网络安全风险和威胁，保护关键信息基础设施免受攻击、侵入、干扰和破坏，依法惩治网络违法犯罪活动。

第九条国家制定产业、财税、金融、人才等政策，支持关键信息基础设施安全相关的技术、产品、服务创新，推广安全可信的网络产品和服务，培养和选拔网络安全人才，提高关键信息基础设施的安全水平。

第十条国家建立和完善网络安全标准体系，利用标准指导、规范关键信息基础设施安全保护工作。

第十一条地市级以上人民政府应当将关键信息基础设施安全保护工作纳入地区经济社会发展总体规划，加大投入，开展工作绩效考核评价。

第十二条国家鼓励政府部门、运营者、科研机构、网络安全服务机构、行业组织、网络产品和服务提供者开展关键信息基础设施安全合作。

第十三条国家行业主管或监管部门应当设立或明确专门负责本行业、本领域关键信息基础设施安全保护工作的机构和人员，编制并组织实施本行业、本领域的网络安全规划，建立健全工作经费保障机制并督促落实。

第十四条能源、电信、交通等行业应当为关键信息基础设施网络安全事件应急处置与网络功能恢复提供电力供应、网络通信、交通运输等方面的重点保障和支持。

第十五条公安机关等部门依法侦查打击针对和利用关键信息基础设施实施的违法犯罪活动。

第十六条任何个人和组织不得从事下列危害关键信息基础设施的活动和行为：

（一）攻击、侵入、干扰、破坏关键信息基础设施；

（二）非法获取、出售或者未经授权向他人提供可能被专门用于危害关键信息基础设施安全的技术资料等信息；

（三）未经授权对关键信息基础设施开展渗透性、攻击性扫描探测；

（四）明知他人从事危害关键信息基础设施安全的活动，仍然为其提供互联网接入、服务器托管、网络存储、通讯传输、广告推广、支付结算等帮助；

（五）其他危害关键信息基础设施的活动和行为。

第十七条国家立足开放环境维护网络安全，积极开展关键信息基础设施安全领域的国际交流与合作。

第三章关键信息基础设施范围

第十八条下列单位运行、管理的网络设施和信息系统，一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的，应当纳入关键信息基础设施保护范围：（一）政府机关和能源、金融、交通、水利、卫生医疗、教育、社保、环境保护、公用事业等行业领域的单位；

（二）电信网、广播电视网、互联网等信息网络，以及提供云计算、大数据和其他大型公共信息网络服务的单位；

（三）国防科工、大型装备、化工、食品药品等行业领域科研生产单位；

（四）广播电台、电视台、通讯社等新闻单位；

（五）其他重点单位。

第十九条国家网信部门会同国务院电信主管部门、公安部门等部门制定关键信息基础设施识别指南。

国家行业主管或监管部门按照关键信息基础设施识别指南，组织识别本行业、本领域的关键信息基础设施，并按程序报送识别结果。

关键信息基础设施识别认定过程中，应当充分发挥有关专家作用，提高关键信息基础设施识别认定的准确性、合理性和科学性。

第二十条新建、停运关键信息基础设施，或关键信息基础设施发生重大变化的，运营者应当及时将相关情况报告国家行业主管或监管部门。

国家行业主管或监管部门应当根据运营者报告的情况及时进行识别调整，并按程序报送调整情况。

第四章运营者安全保护

第二十一条建设关键信息基础设施应当确保其具有支持业务稳定、持续运行的性能，并保证安全技术措施同步规划、同步建设、同步使用。

第二十二条运营者主要负责人是本单位关键信息基础设施安全保护工作第一责任人，负责建立健全网络安全责任制并组织落实，对本单位关键信息基础设施安全保护工作全面负责。

第二十三条运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障关键信息基础设施免受干扰、破坏或者未经授权的访问，防止网络数据泄漏或者被窃取、篡改：（一）制定内部安全管理制度和操作规程，严格身份认证和权限管理；

（二）采取技术措施，防范计算机病毒和网络攻击、网络侵入等危害网络安全行为；

（三）采取技术措施，监测、记录网络运行状态、网络安全事件，并按照规定留存相关的网络日志不少于六个月；

（四）采取数据分类、重要数据备份和加密认证等措施。

第二十四条除本条例第二十三条外，运营者还应当按照国家法律法规的规定和相关国家标准的强制性要求，履行下列安全保护义务：

（一）设置专门网络安全管理机构和网络安全管理负责人，并对该负责人和关键岗位人员进行安全背景审查；

（二）定期对从业人员进行网络安全教育、技术培训和技能考核；

（三）对重要系统和数据库进行容灾备份，及时对系统漏洞等安全风险采取补救措施；

（四）制定网络安全事件应急预案并定期进行演练；

（五）法律、行政法规规定的其他义务。

第二十五条运营者网络安全管理负责人履行下列职责：

（一）组织制定网络安全规章制度、操作规程并监督执行；

（二）组织对关键岗位人员的技能考核；

（三）组织制定并实施本单位网络安全教育和培训计划；

（四）组织开展网络安全检查和应急演练，应对处置网络安全事件；

（五）按规定向国家有关部门报告网络安全重要事项、事件。

第二十六条运营者网络安全关键岗位专业技术人员实行执证上岗制度。

执证上岗具体规定由国务院人力资源社会保障部门会同国家网信部门等部门制定。

第二十七条运营者应当组织从业人员网络安全教育培训，每人每年教育培训时长不得少于1个工作日，关键岗位专业技术人员每人每年教育培训时长不得少于3个工作日。

第二十八条运营者应当建立健全关键信息基础设施安全检测评估制度，关键信息基础设施上线运行前或者发生重大变化时应当进行安全检测评估。

运营者应当自行或委托网络安全服务机构对关键信息基础设施的安全性和可能存在的风险隐患每年至少进行一次检测评估，对发现的问题及时进行整改，并将有关情况报国家行业主管或监管部门。

第二十九条运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在境内存储。因业务需要，确需向境外提供的，应当按照个人信息和重要数据出境安全评估办法进行评估；法律、行政法规另有规定的，依照其规定。

第五章产品和服务安全

第三十条运营者采购、使用的网络关键设备、网络安全专用产品，应当符合法律、行政法规的规定和相关国家标准的强制性要求。

第三十一条运营者采购网络产品和服务，可能影响国家安全的，应当按照网络产品和服务安全审查办法的要求，通过网络安全审查，并与提供者签订安全保密协议。

第三十二条运营者应当对外包开发的系统、软件，接受捐赠的网络产品，在其上线应用前进行安全检测。

第三十三条运营者发现使用的网络产品、服务存在安全缺陷、漏洞等风险的，应当及时采取措施消除风险隐患，涉及重大风险的应当按规定向有关部门报告。

第三十四条关键信息基础设施的运行维护应当在境内实施。因业务需要，确需进行境外远程维护的，应事先报国家行业主管或监管部门和国务院公安部门。

第三十五条面向关键信息基础设施开展安全检测评估，发布系统漏洞、计算机病毒、网络攻击等安全威胁信息，提供云计算、信息技术外包等服务的机构，应当符合有关要求。

具体要求由国家网信部门会同国务院有关部门制定。

第六章监测预警、应急处置和检测评估

第三十六条国家网信部门统筹建立关键信息基础设施网络安全监测预警体系和信息通报制度，组织指导有关机构开展网络安全信息汇总、分析研判和通报工作，按照规定统一发布网络安全监测预警信息。

第三十七条国家行业主管或监管部门应当建立健全本行业、本领域的关键信息基础设施网络安全监测预警和信息通报制度，及时掌握本行业、本领域关键信息基础设施运行状况和安全风险，向有关运营者通报安全风险和相关工作信息。

国家行业主管或监管部门应当组织对安全监测信息进行研判，认为需要立即采取防范应对措施的，应当及时向有关运营者发布预警信息和应急防范措施建议，并按照国家网络安全事件应急预案的要求向有关部门报告。

第三十八条国家网信部门统筹协调有关部门、运营者以及有关研究机构、网络安全服务机构建立关键信息基础设施网络安全信息共享机制，促进网络安全信息共享。

第三十九条国家网信部门按照国家网络安全事件应急预案的要求，统筹有关部门建立健全关键信息基础设施网络安全应急协作机制，加强网络安全应急力量建设，指导协调有关部门组织跨行业、跨地域网络安全应急演练。

国家行业主管或监管部门应当组织制定本行业、本领域的网络安全事件应急预案，并定期组织演练，提升网络安全事件应对和灾难恢复能力。发生重大网络安全事件或接到网信部门的预警信息后，应立即启动应急预案组织应对，并及时报告有关情况。

第四十条国家行业主管或监管部门应当定期组织对本行业、本领域关键信息基础设施的安全风险以及运营者履行安全保护义务的情况进行抽查检测，提出改进措施，指导、督促运营者及时整改检测评估中发现的问题。

国家网信部门统筹协调有关部门开展的抽查检测工作，避免交叉重复检测评估。

第四十一条有关部门组织开展关键信息基础设施安全检测评估，应坚持客观公正、高效透明的原则，采取科学的检测评估方法，规范检测评估流程，控制检测评估风险。

运营者应当对有关部门依法实施的检测评估予以配合，对检测评估发现的问题及时进行整改。

第四十二条有关部门组织开展关键信息基础设施安全检测评估，可采取下列措施：

（一）要求运营者相关人员就检测评估事项作出说明；

（二）查阅、调取、复制与安全保护有关的文档、记录；

（三）查看网络安全管理制度制订、落实情况以及网络安全技术措施规划、建设、运行情况；

（四）利用检测工具或委托网络安全服务机构进行技术检测；

（五）经运营者同意的其他必要方式。

第四十三条有关部门以及网络安全服务机构在关键信息基础设施安全检测评估中获取的信息，只能用于维护网络安全的需要，不得用于其他用途。

第四十四条有关部门组织开展关键信息基础设施安全检测评估，不得向被检测评估单位收取费用，不得要求被检测评估单位购买指定品牌或者指定生产、销售单位的产品和服务。

第七章法律责任

第四十五条运营者不履行本条例第二十条第一款、第二十一条、第二十三条、第二十四条、第二十六条、第二十七条、第二十八条、第三十条、第三十二条、第三十三条、第三十四条规

定的网络安全保护义务的，由有关主管部门依据职责责令改正，给予警告；拒不改正或者导致危害网络安全等后果的，处十万元以上一百万元以下罚款，对直接负责的主管人员处一万元以上十万元以下罚款。

第四十六条运营者违反本条例第二十九条规定，在境外存储网络数据，或者向境外提供网络数据的，由国家有关主管部门依据职责责令改正，给予警告，没收违法所得，处五万元以上五十万元以下罚款，并可以责令暂停相关业务、停业整顿、关闭网站、吊销相关业务许可证；对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。

第四十七条运营者违反本条例第三十一条规定，使用未经安全审查或安全审查未通过的网络产品或者服务的，由国家有关主管部门依据职责责令停止使用，处采购金额一倍以上十倍以下罚款；对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。

第四十八条个人违反本条例第十六条规定，尚不构成犯罪的，由公安机关没收违法所得，处五日以下拘留，可以并处五万元以上五十万元以下罚款；情节较重的，处五日以上十五日以下拘留，可以并处十万元以上一百万元以下罚款；构成犯罪的，依法追究刑事责任。

单位有前款行为的，由公安机关没收违法所得，处十万元以上一百万元以下罚款，并对直接负责的主管人员和其他直接责任人员依照前款规定处罚。

违反本条例第十六条规定，受到刑事处罚的人员，终身不得从事关键信息基础设施安全管理和网络运营关键岗位的工作。

第四十九条国家机关关键信息基础设施的运营者不履行本条例规定的网络安全保护义

务的，由其上级机关或者有关机关责令改正；对直接负责的主管人员和其他直接负责人员依法给予处分。

第五十条有关部门及其工作人员有下列行为之一的，对直接负责的主管人员和其他直接责任人员依法给予处分；构成犯罪的，依法追究刑事责任：

（一）在工作中利用职权索取、收受贿赂；

（二）玩忽职守、滥用职权；

（三）擅自泄露关键信息基础设施有关信息、资料及数据文件；

（四）其他违反法定职责的行为。

第五十一条关键信息基础设施发生重大网络安全事件，经调查确定为责任事故的，除应当查明运营单位责任并依法予以追究外，还应查明相关网络安全服务机构及有关部门的责任，对有失职、渎职及其他违法行为的，依法追究责任。

第五十二条境外的机构、组织、个人从事攻击、侵入、干扰、破坏等危害中华人民共和国的关键信息基础设施的活动，造成严重后果的，依法追究法律责任；国务院公安部门、国家安全机关和有关部门并可以决定对该机构、组织、个人采取冻结财产或者其他必要的制裁措施。

第八章附则

第五十三条存储、处理涉及国家秘密信息的关键信息基础设施的安全保护，还应当遵守保密法律、行政法规的规定。

关键信息基础设施中的密码使用和管理，还应当遵守密码法律、行政法规的规定。

第五十四条军事关键信息基础设施的安全保护，由中央军事委员会另行规定。

第五十五条本条例自****年**月**日起施行。

关键信息基础设施安全保护应把握几个要点

关键信息基础设施安全保护应把握几个要点 （来源：《中国信息安全》2017年第8期，作者：闫晓丽） 关键信息基础设施是国家的重要资产，《网络安全法》明确规定要对其实行重点保护。为落实法律要求，2017年7月10日，国家互联网信息办公室发布了《关键信息基础设施安全保护条例（征求意见稿）》，划定了关键信息基础设施的保护范围，明确了各相关部门的安全保护职责，规定了安全保护的基本制度。对关键信息基础设施进行安全保护是各国通行的做法，美欧很早就建立了相关制度，采取了一系列措施，形成了一定的做法和经验。当前，我国正加快构建关键信息基础设施安全保护体系，应把握好几个要点。 一、界定关键信息基础设施概念 这是对关键信息基础设施进行安全保护的前提。国际上有关键基础设施和关键信息基础设施两个概念。关键基础设施是指对国家至关重要的系统和资产，一旦遭受破坏或毁灭，将对国家安全、经济命脉、公民的健康安全等造成严重损害，如2001年美国《爱国者法》和2004年欧盟《保护关键基础设施打击恐怖主义》的规定。关键信息基础设施是指对关键基础设施自身至关重要或者其运行必不可少的信息通信系统，这些系统处理、接收、存储电子信息，如2011年美国国土安全部《安全网络未来蓝图：国土安全企业网络安全战略》和2005年《欧盟关键基础设施保护项目绿皮书》的规定。近年来，随着信息技术的普及和广泛应用，关键基础设施保护重点从物理保护转向网络安全保护，关键基础设施和关键信息基础设施之间的界限日益模糊。我国《关键信息基础设施安全保护条例（征求意见稿）》采用关键信息基础设施的概念，是符合这一趋势的。 二、明确关键信息基础设施具体范畴

关键信息基础设施确定指南(试行稿)

关键信息基础设施确定指南 （试行） 一、什么是关键信息基础设施 关键信息基础设施是指面向公众提供网络信息服务或支撑能源、通信、金融、交通、公用事业等重要行业运行的信息系统或工业控制系统，且这些系统一旦发生网络安全事故，会影响重要行业正常运行，对国家政治、经济、科技、社会、文化、国防、环境以及人民生命财产造成严重损失。 关键信息基础设施包括网站类，如党政机关网站、企事业单位网站、新闻网站等；平台类，如即时通信、网上购物、网上支付、搜索引擎、电子邮件、论坛、地图、音视频等网络服务平台；生产业务类，如办公和业务系统、工业控制系统、大型数据中心、云计算平台、电视转播系统等。 二、如何确定关键信息基础设施 关键信息基础设施的确定，通常包括三个步骤，一是确定关键业务，二是确定支撑关键业务的信息系统或工业控制系统，三是根据关键业务对信息系统或工业控制系统的依赖程度，以及信息系统发生网络安全事件后可能造成的损失认定关键信息基础设施。 （一）确定本地区、本部门、本行业的关键业务。 可参考下表，结合本地区、本部门、本行业实际梳理关

键业务。

（二）确定关键业务相关的信息系统或工业控制系统。 根据关键业务，逐一梳理出支撑关键业务运行或与关键业务相关的信息系统或工业控制系统，形成候选关键信息基础设施清单。如电力行业火电企业的发电机组控制系统、管理信息系统等；市政供水相关的水厂生产控制系统、供水管网监控系统等。 （三）认定关键信息基础设施。 对候选关键信息基础设施清单中的信息系统或工业控制系统，根据本地区、本部门、本行业实际，参照以下标准认定关键信息基础设施。 A.网站类 符合以下条件之一的，可认定为关键信息基础设施： 1. 县级（含）以上党政机关网站。 2. 重点新闻网站。 3. 日均访问量超过100万人次的网站。 4. 一旦发生网络安全事故，可能造成以下影响之一的： （1）影响超过100万人工作、生活； （2）影响单个地市级行政区30%以上人口的工作、生活； （3）造成超过100万人个人信息泄露； （4）造成大量机构、企业敏感信息泄露；

(完整word版)关键信息基础设施确定指南(试行)

附件1 关键信息基础设施确定指南 （试行） 一、什么是关键信息基础设施 关键信息基础设施是指面向公众提供网络信息服务或支撑能源、通信、金融、交通、公用事业等重要行业运行的信息系统或工业控制系统，且这些系统一旦发生网络安全事故，会影响重要行业正常运行，对国家政治、经济、科技、社会、文化、国防、环境以及人民生命财产造成严重损失。 关键信息基础设施包括网站类，如党政机关网站、企事业单位网站、新闻网站等；平台类，如即时通信、网上购物、网上支付、搜索引擎、电子邮件、论坛、地图、音视频等网络服务平台；生产业务类，如办公和业务系统、工业控制系统、大型数据中心、云计算平台、电视转播系统等。 二、如何确定关键信息基础设施 关键信息基础设施的确定，通常包括三个步骤，一是确定关键业务，二是确定支撑关键业务的信息系统或工业控制系统，三是根据关键业务对信息系统或工业控制系统的依赖程度，以及信息系统发生网络安全事件后可能造成的损失认定关键信息基础设施。

（一）确定本地区、本部门、本行业的关键业务。 可参考下表，结合本地区、本部门、本行业实际梳理关键业务。

（二）确定关键业务相关的信息系统或工业控制系统。 根据关键业务，逐一梳理出支撑关键业务运行或与关键业务相关的信息系统或工业控制系统，形成候选关键信息基础设施清单。如电力行业火电企业的发电机组控制系统、管理信息系统等；市政供水相关的水厂生产控制系统、供水管网监控系统等。 （三）认定关键信息基础设施。 对候选关键信息基础设施清单中的信息系统或工业控制系统，根据本地区、本部门、本行业实际，参照以下标准认定关键信息基础设施。 A.网站类 符合以下条件之一的，可认定为关键信息基础设施： 1. 县级（含）以上党政机关网站。 2. 重点新闻网站。 3. 日均访问量超过100万人次的网站。 4. 一旦发生网络安全事故，可能造成以下影响之一的： （1）影响超过100万人工作、生活； （2）影响单个地市级行政区30%以上人口的工作、生活；

关键信息基础设施

关键信息基础设施的概念及关键性 目前，国家关键信息基础设施已经被视为国家的重要战略资源，以立法形式保护关键基础设施和关键信息基础设施的安全，已经成为当今世界各国网络空间安全制度建设的核心内容和基本实践。开展在针对国家关键信息基础设施开展的研究中，首当其冲的理清关键基础设施（CI）和关键信息基础设施 （CII）的关系问题。在对CII的研究中发现，国际社会虽然对 CI有着基本的共识，但对CII的认知存在较大的分歧。近十年来，随着信息通信技术的进一步发展，越来越多的基础设施接入互联网，CII涵盖的范围也随之不断扩大。 1.国际社会CI与CII的相关概念 （1）关键基础设施相关概念 国际社会上，国家关键基础设施（CI）的概念由来已久，这些设施的关键性在于关系国计民生，为社会提供不可缺少的产品和服务。 1.美国2001年《爱国者法案》认为，CI是指关系到美国生死存亡的，无论是物理还是虚拟的系统和资产，这些系统和资产的功能丧失或遭到破坏，会对国家安全、经济稳定、国家公众健康与安全或这些要素的任何结合产生严重影响。 2.欧洲委员会于2004年10月20日发布的通告《打击恐怖主义活动，加强CI保护》中针对CI作出了定义，明确CI是指如果被破坏或摧毁，会对公民的健康、安全、稳定或经济福祉或成员国政府的有效运转造成严重影响的物理和信息技术设施、网络、服务和资产。CI横跨经济的诸多部门和重要政府服务。 4.德国的CI保护的主要理念是政府和社会在总体上严重依赖基础设施的安全运转，在基础设施中，凡是其故障会导致供应短缺或给大部分人口造成灾难性后果的元素都被定义为关键的。德国在其《信息基础设施保护国家计划》中对信息基础设施的定义为：给定基础设施中 IT部分的总和。 5.荷兰明确规定，对于社会不可或缺的，其损坏速度造成全国性紧急状 态，或者会在更长时间内对社会产生不良影响的基础设施，为CI 0 6.英国将关键国家基础设施（CNI ）界定为由不间断向国家提供基本服务来说不可

关键信息基础设施,安全保护条例

关键信息基础设施安全保护条例 (征求意见稿） 第一章总则 第一条为了保障关键信息基础设施安全，根据《中华人民共和国网络安全法》，制定本条例。 第二条在中华人民共和国境内规划、建设、运营、维护、使用关键信息基础设施，以及开展关键信息基础设施的安全保护，适用本条例。 第三条关键信息基础设施安全保护坚持顶层设计、整体防护，统筹协调、分工负责的原则，充分发挥运营主体作用，社会各方积极参与，共同保护关键信息基础设施安全。 第四条国家行业主管或监管部门按照国务院规定的职责分工，负责指导和监督本行业、本领域的关键信息基础设施安全保护工作。 国家网信部门负责统筹协调关键信息基础设施安全保护工作和相关监督管理工作。国务院公安、国家安全、国家保密行政管理、国家密码管理等部门在各自职责范围内负责相关网络安全保护和监督管理工作。 县级以上地方人民政府有关部门按照国家有关规定开展关键信息基础设施安全保护工作。 第五条关键信息基础设施的运营者（以下称运营者）对本单位关键信息基础设施安全负主体责任，履行网络安全保护义务，接受政府和社会监督，承担社会责任。 国家鼓励关键信息基础设施以外的网络运营者自愿参与关键信息基础设施保护体系。 第六条关键信息基础设施在网络安全等级保护制度基础上，实行重点保护。 第七条任何个人和组织发现危害关键信息基础设施安全的行为，有权向网信、电信、公安等部门以及行业主管或监管部门举报。 收到举报的部门应当及时依法作出处理；不属于本部门职责的，应当及时移送有权处理的部门。 有关部门应当对举报人的相关信息予以保密，保护举报人的合法权益。 第二章支持与保障

第八条国家采取措施，监测、防御、处置来源于中华人民共和国境内外的网络安全风险和威胁，保护关键信息基础设施免受攻击、侵入、干扰和破坏，依法惩治网络违法犯罪活动。 第九条国家制定产业、财税、金融、人才等政策，支持关键信息基础设施安全相关的技术、产品、服务创新，推广安全可信的网络产品和服务，培养和选拔网络安全人才，提高关键信息基础设施的安全水平。 第十条国家建立和完善网络安全标准体系，利用标准指导、规范关键信息基础设施安全保护工作。 第十一条地市级以上人民政府应当将关键信息基础设施安全保护工作纳入地区经济社会发展总体规划，加大投入，开展工作绩效考核评价。 第十二条国家鼓励政府部门、运营者、科研机构、网络安全服务机构、行业组织、网络产品和服务提供者开展关键信息基础设施安全合作。 第十三条国家行业主管或监管部门应当设立或明确专门负责本行业、本领域关键信息基础设施安全保护工作的机构和人员，编制并组织实施本行业、本领域的网络安全规划，建立健全工作经费保障机制并督促落实。 第十四条能源、电信、交通等行业应当为关键信息基础设施网络安全事件应急处置与网络功能恢复提供电力供应、网络通信、交通运输等方面的重点保障和支持。 第十五条公安机关等部门依法侦查打击针对和利用关键信息基础设施实施的违法犯罪活动。 第十六条任何个人和组织不得从事下列危害关键信息基础设施的活动和行为： （一）攻击、侵入、干扰、破坏关键信息基础设施； （二）非法获取、出售或者未经授权向他人提供可能被专门用于危害关键信息基础设施安全的技术资料等信息； （三）未经授权对关键信息基础设施开展渗透性、攻击性扫描探测； （四）明知他人从事危害关键信息基础设施安全的活动，仍然为其提供互联网接入、服务器托管、网络存储、通讯传输、广告推广、支付结算等帮助； （五）其他危害关键信息基础设施的活动和行为。 第十七条国家立足开放环境维护网络安全，积极开展关键信息基础设施安全领域的国际交流与合作。 第三章关键信息基础设施范围

关键信息基础设施安全保护条例

编订：__________________ 单位：__________________ 时间：__________________ 关键信息基础设施安全保 护条例 Standardize The Management Mechanism To Make The Personnel In The Organization Operate According To The Established Standards And Reach The Expected Level. Word格式 / 完整 / 可编辑

文件编号：KG-AO-8673-41 关键信息基础设施安全保护条例 使用备注：本文档可用在日常工作场景，通过对管理机制、管理原则、管理方法以及管理机构进行设置固定的规范，从而使得组织内人员按照既定标准、规范的要求进行操作，使日常工作或活动达到预期的水平。下载后就可自由编辑。 第一章总则 第一条为了保障关键信息基础设施安全，根据《中华人民共和国网络安全法》，制定本条例。 第二条在中华人民共和国境内规划、建设、运营、维护、使用关键信息基础设施，以及开展关键信息基础设施的安全保护，适用本条例。 第三条关键信息基础设施安全保护坚持顶层设计、整体防护，统筹协调、分工负责的原则，充分发挥运营主体作用，社会各方积极参与，共同保护关键信息基础设施安全。 第四条国家行业主管或监管部门按照国务院规定的职责分工，负责指导和监督本行业、本领域的关键信息基础设施安全保护工作。 国家网信部门负责统筹协调关键信息基础设施安

全保护工作和相关监督管理工作。国务院公安、国家安全、国家保密行政管理、国家密码管理等部门在各自职责范围内负责相关网络安全保护和监督管理工作。 县级以上地方人民政府有关部门按照国家有关规定开展关键信息基础设施安全保护工作。 第五条关键信息基础设施的运营者（以下称运营者）对本单位关键信息基础设施安全负主体责任，履行网络安全保护义务，接受政府和社会监督，承担社会责任。 国家鼓励关键信息基础设施以外的网络运营者自愿参与关键信息基础设施保护体系。 第六条关键信息基础设施在网络安全等级保护制度基础上，实行重点保护。 第七条任何个人和组织发现危害关键信息基础设施安全的行为，有权向网信、电信、公安等部门以及行业主管或监管部门举报。 收到举报的部门应当及时依法作出处理；不属于本部门职责的，应当及时移送有权处理的部门。

关键信息基础设施的概念及关键性研究.

关键信息基础设施的概念及关键性研究 2015年07月23日10:15 来源：中国经济网 [打印本稿] [字号大中小] [手机看新闻] 目前，国家关键信息基础设施已经被视为国家的重要战略资源，以立法形式保护关键基础设施和关键信息基础设施的安全，已经成为当今世界各国网络空间安全制度建设的核心内容和基本实践。开展在针对国家关键信息基础设施开展的研究中，首当其冲的理清关键基础设施（CI）和关键信息基础设施（CII）的关系问题。在对CII的研究中发现，国际社会虽然对CI有着基本的共识，但对CII 的认知存在较大的分歧。近十年来，随着信息通信技术的进一步发展，越来越多的基础设施接入互联网，CII涵盖的范围也随之不断扩大。 1. 国际社会CI与CII的相关概念 （1）关键基础设施相关概念 国际社会上，国家关键基础设施（CI）的概念由来已久，这些设施的关键性在于关系国计民生，为社会提供不可缺少的产品和服务。 1. 美国2001年《爱国者法案》认为，CI是指关系到美国生死存亡的，无论是物理还是虚拟的系统和资产，这些系统和资产的功能丧失或遭到破坏，会对国家安全、经济稳定、国家公众健康与安全或这些要素的任何结合产生严重影响。 2. 欧洲委员会于2004年10月20日发布的通告《打击恐怖主义活动，加强CI保护》中针对CI作出了定义，明确CI是指如果被破坏或摧毁，会对公民的健康、安全、稳定或经济福祉或成员国政府的有效运转造成严重影响的物理和信息技术设施、网络、服务和资产。CI横跨经济的诸多部门和重要政府服务。 4. 德国的CI保护的主要理念是政府和社会在总体上严重依赖基础设施的安全运转，在基础设施中，凡是其故障会导致供应短缺或给大部分人口造成灾难性后果的元素都被定义为关键的。德国在其《信息基础设施保护国家计划》中对信息基础设施的定义为：给定基础设施中IT部分的总和。

关键信息基础设施网络安全检查总结报告

关键信息基础设施网络安全检查总结报 告XX 关键信息基础设施网络安全检查总结报告XX 根据**市网络与信息安全协调小组印发《**市20**年网络与信息安全检查方案》要求，结合实际，认真对我市信息系统安 全进行了检查，现将检查情况报告如下： 一、网络与信息安全状况总体评价 今年来，市、局高度重视信息安全工作，把信息安全 工作列入重要议事日程，为规范信息公开工作，落实好信息 安全的相关规定，成立了信息安全工作领导小组，落实了管 理机构，由专门的信息化公室负责信息安全的日常管理工作， 明确了信息安全的主管领导、分管领导和具体管理人员。 相继建立健全了日常信息管理、信息安全防护管理等 相关工作制度，加强了信息安全教育工作，信息安全工作领 导小组定期或不定期地对我市信息安全工作进行检查，对查 找出的问题及时进行整改，进一步规范了信息安全工作，确 保了信息安全工作的有效开展，全市信息安全工作取得了新 进展。 二、20**年网络与信息安全主要工作情况 (一)加强领导，明确职责，抓好网络与信息安全组织 管理工作。为规范、加强信息安全工作，市领导高度重视， 把该项工作列为重点工作任务，成立了由主管市长为组长，

分管信息工作的局级领导为副组长，各相关市直单位为成员 的信息安全工作领导小组。做到了分工明确，责任到人，形 成了主管领导负总责，具体管理人负主责，分级管理，一级 抓一级，层层抓落实的领导体制和工作机制，切实把信息安 全工作落到实处。 (二)做好网络与信息安全日常管理工作。根据工作实 际，我局建立健全了信息系统安全状况自查制度、信息系统 安全责任制、计算机及网络保密管理等相关制度，使信息安 全工作进一步规范化和制度化。 (三)落实好网络与信息安全防护管理。健全完善了非 涉密计算机保密管理制度、非涉密移动储存介质保密等管理 制度。在计算机上安装了防火墙，同时配置安装了专业杀毒 软件，加强了在防篡改、防病毒、防攻击、防瘫痪、防泄密 等方面的有效性。网络终端没有违规上国际互联网及其他的 信息网的现象，单位未安装无线网络等无线设备，并安装了 针对移动存储设备的专业杀毒软件。 (四)制定信息安全应急管理机制。结合实际，我市初 步建立应急预案，建立了电子公文和信息报送办理制度(试行)和电子公文和信息报送岗位责任制，严格文件的收发， 完善了清点、修理、编号、签收制度;信息管理员及时对系统和软件进行更新，对重要文件、信息资源做到及时备份， 数据恢复。

信息安全技术关键信息基础设施安全控制措施

国家标准《信息安全技术关键信息基础设施安全控制措施》（征求意见稿）编制说明 一、工作简况 1.1 任务来源 当前，我国关键信息基础设施面临的网络安全形势严峻复杂，网络安全防控能力薄弱，难以有效应对网络攻击，《网络安全法》《国家网络空间安全战略》等提出建立关键信息基础设施安全保护制度。根据国务院的要求，国家网信部门已会同有关部门起草了《关键信息基础设施安全保护条例》，目前正在征求意见。该条例明确了关键信息基础设施的具体范围，并提出了进一步的安全保护要求。但是，用于指导具体保护工作的标准体系尚不完善，亟需配套标准支撑。此外，我国正在推进全国关键信息基础设施网络安全检查工作，关键信息基础设施运营者等也需要相关技术标准作为指导。 基于对《网络安全法》及相关法律法规要求的细化落实，围绕上述目标，结合目前已经开展的关键信息基础设施网络安全保护，全国信息安全标准化委员会组织开展了系列标准的制定，包括《信息安全技术关键信息基础设施网络安全框架》《信息安全技术关键信息基础设施网络安全保护基本要求》《信息安全技术关键信息基础设施安全控制措施》《信息安全技术关键信息基础设施安全检查评估指南》《信息安全技术关键信息基础设施安全保障指标体系》等。其中，本标准作为《信息安全技术关键信息基础设施网络安全保护基本要求》的配套标准，根据要求提出相应控制措施，运营者开展安全保护工作时可在该标准中选取适用的控制措施。 2017年4月，本标准在全国信息安全标准化技术委员会第一次工作组“会议周”期间通过立项，由中国信息安全研究院有限公司牵头负责。2017年10月，在全国信息安全标准化技术委员会第二次工作组“会议周”进行汇报并通过会议决议可以进入征求意见阶段，建议将标题修改为《信息安全技术关键信息基础设施安全控制措施》。会后，编制组根据标准周答辩专家意见对标准草案进分修

关键信息基础设施安全保护条例

编号：SM-ZD-88431 关键信息基础设施安全保 护条例 Through the process agreement to achieve a unified action policy for different people, so as to coordinate action, reduce blindness, and make the work orderly. 编制：____________________ 审核：____________________ 批准：____________________ 本文档下载后可任意修改

关键信息基础设施安全保护条例 简介：该制度资料适用于公司或组织通过程序化、标准化的流程约定，达成上下级或不同的人员之间形成统一的行动方针，从而协调行动，增强主动性，减少盲目性，使工作有条不紊地进行。文档可直接下载或修改，使用时请详细阅读内容。 第一章总则 第一条为了保障关键信息基础设施安全，根据《中华人民共和国网络安全法》，制定本条例。 第二条在中华人民共和国境内规划、建设、运营、维护、使用关键信息基础设施，以及开展关键信息基础设施的安全保护，适用本条例。 第三条关键信息基础设施安全保护坚持顶层设计、整体防护，统筹协调、分工负责的原则，充分发挥运营主体作用，社会各方积极参与，共同保护关键信息基础设施安全。 第四条国家行业主管或监管部门按照国务院规定的职责分工，负责指导和监督本行业、本领域的关键信息基础设施安全保护工作。 国家网信部门负责统筹协调关键信息基础设施安全保护工作和相关监督管理工作。国务院公安、国家安全、国家保密行政管理、国家密码管理等部门在各自职责范围内负责

信息安全技术关键信息基础设施安全检查评价指引全国信息安全

国家标准《信息安全技术关键信息基础设施安全检 查评估指南》编制说明 一、工作简况 1.1任务来源 根据《中华人民共和国网络安全法》要求，关键信息基础设施要求在网络安全等级保护制度的基础上，实行重点保护，具体范围和安全保护办法由国务院制定。网络安全法中明确要求关键信息基础设施的运营者应当自行或者委托网络安全服务机构对其网络的安全性和可能存在的风险每年至少进行一次检测评估，此外规定了国家网信部门应当统筹协调有关部门对关键信息基础设施的安全风险进行抽查检测，提出改进措施，必要时可以委托网络安全服务机构对网络存在的安全风险进行检测评估。 为了落实网络安全法要求，规范关键信息基础设施检测评估相关方法、流程，全国信息安全标准化技术委员会于2016年立项《信息安全技术关键信息基础设施安全检查评估指南》国家标准，2016年7月，中央网信办网络安全协调局下达《<信息安全技术关键信息基础设施安全检查评估指南>国家标准制定》委托任务书，委托中国互联网络信息中心开展该标准的研制工作，并将本项目标识为WG7 组重点标准。 《信息安全技术关键信息基础设施安全检查评估指南》由中国互联网络信息中心牵头，国家计算机网络应急技术处理协调中心，国家信息技术安全研究中心、中国信息安全测评中心，工业和信息化部电子科学技术情报研究所（更名为国家工业信息安全发展研究中心）等单位共同参与起草。 1.2主要工作过程 2017年1月至3月，《信息安全技术关键信息基础设施安全检查评估指南》由中国互联网络信息中心牵头，国家计算机网络应急技术处理协调中心，国家信息技术安全研究中心、中国信息安全测评中心，工业和信息化部电子科学技术情报研究所等单位共同参与讨论，讨论研究指南的编制，并形成标准讨论稿，向中央网信办领导汇报标准编制进展，并向全国信息安全标准化技术委员会提交项目申请。 2017年4月，标准通过全国信息安全标准化技术委员会WG7组会议讨论。

关键信息基础设施安全保护条例(新编版)

( 安全管理 ) 单位：_________________________ 姓名：_________________________ 日期：_________________________ 精品文档 / Word文档 / 文字可改 关键信息基础设施安全保护条 例(新编版) Safety management is an important part of production management. Safety and production are in the implementation process

关键信息基础设施安全保护条例(新编版) 第一章总则 第一条为了保障关键信息基础设施安全，根据《中华人民共和国网络安全法》，制定本条例。 第二条在中华人民共和国境内规划、建设、运营、维护、使用关键信息基础设施，以及开展关键信息基础设施的安全保护，适用本条例。 第三条关键信息基础设施安全保护坚持顶层设计、整体防护，统筹协调、分工负责的原则，充分发挥运营主体作用，社会各方积极参与，共同保护关键信息基础设施安全。 第四条国家行业主管或监管部门按照国务院规定的职责分工，负责指导和监督本行业、本领域的关键信息基础设施安全保护工作。 国家网信部门负责统筹协调关键信息基础设施安全保护工作和相关监督管理工作。国务院公安、国家安全、国家保密行政管理、

国家密码管理等部门在各自职责范围内负责相关网络安全保护和监督管理工作。 县级以上地方人民政府有关部门按照国家有关规定开展关键信息基础设施安全保护工作。 第五条关键信息基础设施的运营者（以下称运营者）对本单位关键信息基础设施安全负主体责任，履行网络安全保护义务，接受政府和社会监督，承担社会责任。 国家鼓励关键信息基础设施以外的网络运营者自愿参与关键信息基础设施保护体系。 第六条关键信息基础设施在网络安全等级保护制度基础上，实行重点保护。 第七条任何个人和组织发现危害关键信息基础设施安全的行为，有权向网信、电信、公安等部门以及行业主管或监管部门举报。 收到举报的部门应当及时依法作出处理；不属于本部门职责的，应当及时移送有权处理的部门。 有关部门应当对举报人的相关信息予以保密，保护举报人的合

《网络安全法》解读系列之四——关键信息基础设施安全要求

《网络安全法》解读系列之四--关键信息基础设施安全要求 本系列针对关键信息基础设施安全条款和法律责任加以解读。这部分条款，提出了关键信息基础设施的范围，明确了与网络安全等级保护制度的关系，规定了关键信息基础设施保护的主要内容，以及在数据留存和提供方面的要求。 【第三十一条】 国家对公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施，在网络安全等级保护制度的基础上，实行重点保护。关键信息基础设施的具体范围和安全保护办法由国务院制定。 国家鼓励关键信息基础设施以外的网络运营者自愿参与关键信息基础设施保护体系。解读 本条款定义了关键信息基础设施的范围，强调了必须落实网络安全等级保护制度，并进行重点保护。国务院将制定相应的关键信息基础设施安全保护办法。 【第三十二条】 按照国务院规定的职责分工，负责关键信息基础设施安全保护工作的部门分别编制并组织实施本行业、本领域的关键信息基础设施安全规划，指导和监督关键信息基础设施运行安全保护工作。 解读 本条款说明了要制定关键信息基础设施安全规划，和谁来负责制定规划。

【第三十三条】 建设关键信息基础设施应当确保其具有支持业务稳定、持续运行的性能，并保证安全技术措施同步规划、同步建设、同步使用。 解读： 本条款说明了如何建设关键信息基础设施，强调了安全技术实施的三同步原则。 适用法律责任：【第五十九条】 【第三十四条】 除本法第二十一条的规定外，关键信息基础设施的运营者还应当履行下列安全保护义务： （一）设置专门安全管理机构和安全管理负责人，并对该负责人和关键岗位的人员进行安全背景审查； （二）定期对从业人员进行网络安全教育、技术培训和技能考核； （三）对重要系统和数据库进行容灾备份； （四）制定网络安全事件应急预案，并定期进行演练； （五）法律、行政法规规定的其他义务。 解读： 本条款规定了关键信息基础设施的保护要求高于第二十一条的网络安全等级保护制度要求；同时强调了背景审查、教育培训和考核、容灾备份、应急预案和演练。 适用法律责任：【第五十九条】 【第三十五条】 关键信息基础设施的运营者采购网络产品和服务，可能影响国家安全的，应当通过国家网信部门会同国务院有关部门组织的国家安全审查。

关键信息基础设施

For personal use only in study and research; not for commercial use 螁关键信息基础设施的概念及关键性 蒈目前，国家关键信息基础设施已经被视为国家的重要战略资源，以立法形式保护关键基础设施和关键信息基础设施的安全，已经成为当今世界各国网络空间安全制度建设的核心内容和基本实践。开展在针对国家关键信息基础设施开展的研究中，首当其冲的理清关键基础设施（CI）和关键信息基础设施（CII）的关系问题。在对CII的研究中发现，国际社会虽然对CI有着基本的共识，但对CII的认知存在较大的分歧。近十年来，随着信息通信技术的进一步发展，越来越多的基础设施接入互联网，CII涵盖的范围也随之不断扩大。 膆1.国际社会CI与CII的相关概念 蒃（1）关键基础设施相关概念 袁国际社会上，国家关键基础设施（CI）的概念由来已久，这些设施的关键 性在于关系国计民生，为社会提供不可缺少的产品和服务。

衿1.美国2001年《爱国者法案》认为，CI是指关系到美国生死存亡的，无论是物理还是虚拟的系统和资产，这些系统和资产的功能丧失或遭到破坏，会对国家安全、经济稳定、国家公众健康与安全或这些要素的任何结合产生严重影响。 蚄2.欧洲委员会于2004年10月20日发布的通告《打击恐怖主义活动，加强CI保护》中针对CI作出了定义，明确CI是指如果被破坏或摧毁，会对公民的健康、安全、稳定或经济福祉或成员国政府的有效运转造成严重影响的物理和信息技术设施、网络、服务和资产。CI横跨经济的诸多部门和重要政府服务。 节4.德国的CI保护的主要理念是政府和社会在总体上严重依赖基础设施的安全运转，在基础设施中，凡是其故障会导致供应短缺或给大部分人口造成灾难性后果的元素都被定义为关键的。德国在其《信息基础设施保护国家计划》中对信息基础设施的定义为：给定基础设施中IT部分的总和。 羁5.荷兰明确规定，对于社会不可或缺的，其损坏速度造成全国性紧急状态, 或者会在更长时间内对社会产生不良影响的基础设施，为CI。 羆6.英国将关键国家基础设施(CNI )界定为由不间断向国家提供基本服务来说不可或缺的关键元素组成的国家基础设施。没有这些元素，就不能提供基本服务，英国将遭受严重的经济损害、巨大的社会破坏乃至严重的生命威胁。 莆虽然国际社会对CI中的关键性有着基本的共识，但由于其难以量化的特性, 在具体实施认定层面中还是出现了大量的分歧。 (2)国际社会CII相关概念

关键信息基础设施认定指南

关键信息基础设施认定指南 一、什么是关键信息基础设施 关键信息基础设施是指面向公众提供网络信息服务或支撑能源、通信、金融、交通、公用事业等重要行业运行的信息系统或工业控制系统，且这些系统一旦发生网络安全事故，会影响重要行业正常运行，对国家政治、经济、科技、社会、文化、国防、环境以及人民生命财产造成严重损失。 关键信息基础设施包括网站类，如党政机关网站、企事业单位网站、新闻网站等；平台类，如即时通信、网上购物、网上支付、搜索引擎、电子邮件、论坛、地图、音视频等网络服务平台；生产业务类，如办公和业务系统、工业控制系统、大型数据中心、云计算平台、广播电视播控系统等。 二、如何确定关键信息基础设施 关键信息基础设施的确定，通常包括三个步骤，一是确定关键业务，二是确定支撑关键业务的信息系统或工业控制系统，三是根据关键业务对信息系统或工业控制系统的依赖程度，以及信息系统发生网络安全事件后可能造成的损失认定关键信息基础设施。 （一）确定本地区、本部门、本行业的关键业务 可参考下表，结合本地区、本部门、本行业实际梳理关键

（二）确定关键业务相关的信息系统或工业控制系统 根据关键业务，逐一梳理出支撑关键业务运行或与关键业务相关的信息系统或工业控制系统，形成候选关键信息基础设施清单。如电力行业火电企业的发电机组控制系统、管理信息

系统等；市政供水相关的水厂生产控制系统、供水管网监控系统等。 （三）认定关键信息基础设施 对候选关键信息基础设施清单中的信息系统或工业控制系统，根据本地区、本部门、本行业实际，参照以下标准认定关键信息基础设施。 A.网站类 符合以下条件之一的，可认定为关键信息基础设施： 1.县级（含）以上党政机关网站。 2.所有新闻网站。 3.日均访问量超过100万人次的网站。 4.一旦发生网络安全事故，可能造成以下影响之一的： （1）影响超过100万人工作、生活； （2）影响单个地市级行政区30%以上人口的工作、生活； （3）造成超过100万人个人信息泄露； （4）造成大量机构、企业敏感信息泄露； （5）造成大量地理、人口、资源等国家基础数据泄露； （6）严重损害政府形象、社会秩序，或危害国家安全。 5.其他应该认定为关键信息基础设施。 B.平台类 符合以下条件之一的，可认定为关键信息基础设施： 1.注册用户数超过1000万，或活跃用户（每日至少登录一次）数超过100万。 2.日均成交订单额或交易额超过1000万元。 3.一旦发生网络安全事故，可能造成以下影响之一的： （1）造成1000万元以上的直接经济损失； （2）直接影响超过1000万人工作、生活；

关键信息基础设施

关键信息基础设施 一、简单介绍 目前，国家关键信息基础设施已经被视为国家的重要战略资源，以立法形式保护关键基础设施和关键信息基础设施的安全，已经成为当今世界各国网络空间安全制度建设的核心容和基本实践。开展在针对国家关键信息基础设施开展的研究中，首当其冲的理清关键基础设施（CI）和关键信息基础设施（CII）的关系问题。在对CII的研究中发现，国际社会虽然对CI 有着基本的共识，但对CII的认知存在较大的分歧。近十年来，随着信息通信技术的进一步发展，越来越多的基础设施接入互联网，CII涵盖的围也随之不断扩大。 二、关键基础设施相关概念 国际社会上，国家关键基础设施（CI）的概念由来已久，这些设施的关键性在于关系国计民生，为社会提供不可缺少的产品和服务。 1.国际社会CI相关概念 a. 美国2001年《爱国者法案》认为，CI是指关系到美国生死存亡的，无论是物理还是虚拟的系统和资产，这些系统和资产的功能丧失或遭到破坏，会对国

家安全、经济稳定、国家公众健康与安全或这些要素的任何结合产生严重影响。 b. 欧洲委员会于2004年10月20日发布的通告《打击恐怖主义活动，加强CI保护》中针对CI作出了定义，明确CI是指如果被破坏或摧毁，会对公民的健康、安全、稳定或经济福祉或成员国政府的有效运转造成严重影响的物理和信息技术设施、网络、服务和资产。CI横跨经济的诸多部门和重要政府服务。 c. 德国的CI保护的主要理念是政府和社会在总体上严重依赖基础设施的安全运转，在基础设施中，凡是其故障会导致供应短缺或给大部分人口造成灾难性后果的元素都被定义为关键的。德国在其《信息基础设施保护国家计划》中对信息基础设施的定义为：给定基础设施中IT部分的总和。 d. 荷兰明确规定，对于社会不可或缺的，其损坏速度造成全国性紧急状态，或者会在更长时间对社会产生不良影响的基础设施，为CI。 e. 英国将关键国家基础设施（CNI）界定为由不间断向国家提供基本服务来说不可或缺的关键元素组成的国家基础设施。没有这些元素，就不能提供基本服务，英国将遭受严重的经济损害、巨大的社会破坏乃至严重的生命威胁。

最新整理关键信息基础设施安全保护条例.docx

最新整理关键信息基础设施安全保护条例 第一章总则 第一条为了保障关键信息基础设施安全，根据《中华人民共和国wang 络安全法》，制定本条例。 第二条在中华人民共和国境内规划、建设、运营、维护、使用关键信息基础设施，以及开展关键信息基础设施的安全保护，适用本条例。 第三条关键信息基础设施安全保护坚持顶层设计、整体防护，统筹协调、分工负责的原则，充分发挥运营主体作用，社会各方积极参与，共同保护关键信息基础设施安全。 第四条国家行业主管或监管部门按照国务院规定的职责分工，负责指导和监督本行业、本领域的关键信息基础设施安全保护工作。 国家wang信部门负责统筹协调关键信息基础设施安全保护工作和相关监督管理工作。国务院公安、国家安全、国家保密行政管理、国家密码管理等部门在各自职责范围内负责相关wang络安全保护和监督管理工作。 县级以上地方人民政府有关部门按照国家有关规定开展关键信息基础设施安全保护工作。 第五条关键信息基础设施的运营者（以下称运营者）对本单位关键信息基础设施安全负主体责任，履行wang络安全保护义务，接受政府和社会监督，承担社会责任。 国家鼓励关键信息基础设施以外的wang络运营者自愿参与关键信息基础设施保护体系。 第六条关键信息基础设施在wang络安全等级保护制度基础上，实行重点保护。 第七条任何个人和组织发现危害关键信息基础设施安全的行为，有权向wang信、电信、公安等部门以及行业主管或监管部门举报。 收到举报的部门应当及时依法作出处理；不属于本部门职责的，应当及时

移送有权处理的部门。 有关部门应当对举报人的相关信息予以保密，保护举报人的合法权益。 第二章支持与保障 第八条国家采取措施，监测、防御、处置来源于中华人民共和国境内外的wang络安全风险和威胁，保护关键信息基础设施免受攻击、侵入、干扰和破坏，依法惩治wang络违法犯罪活动。 第九条国家制定产业、财税、金融、人才等政策，支持关键信息基础设施安全相关的技术、产品、服务创新，推广安全可信的wang络产品和服务，培养和选拔wang络安全人才，提高关键信息基础设施的安全水平。 第十条国家建立和完善wang络安全标准体系，利用标准指导、规范关键信息基础设施安全保护工作。 第十一条地市级以上人民政府应当将关键信息基础设施安全保护工作纳入地区经济社会发展总体规划，加大投入，开展工作绩效考核评价。 第十二条国家鼓励政府部门、运营者、科研机构、wang络安全服务机构、行业组织、wang络产品和服务提供者开展关键信息基础设施安全合作。 第十三条国家行业主管或监管部门应当设立或明确专门负责本行业、本领域关键信息基础设施安全保护工作的机构和人员，编制并组织实施本行业、本领域的wang络安全规划，建立健全工作经费保障机制并督促落实。 第十四条能源、电信、交通等行业应当为关键信息基础设施wang络安全事件应急处置与wang络功能恢复提供电力供应、wang络通信、交通运输等方面的重点保障和支持。 第十五条公安机关等部门依法侦查打击针对和利用关键信息基础设施实施的违法犯罪活动。 第十六条任何个人和组织不得从事下列危害关键信息基础设施的活动和行为： （一）攻击、侵入、干扰、破坏关键信息基础设施； （二）非法获取、出售或者未经授权向他人提供可能被专门用于危害关键信息基础设施安全的技术资料等信息；

《网络安全法》解读系列之四——关键信息基础设施安全要求

网络安全法》解读系列之四--关键信息基础设施安全要求本系列针对关键信息基础设施安全条款和法律责任加以解读。这部分条款，提出了关键信息基础设施的范围，明确了与网络安全等级保护制度的关系，规定了关键信息基础设施保护的主要内容，以及在数据留存和提供方面的要求。 【第三十一条】 国家对公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施，在网络安全等级保护制度的基础上，实行重点保护。关键信息基础设施的具体范围和安全保护办法由国务院制定。 国家鼓励关键信息基础设施以外的网络运营者自愿参与关键信息基础设施保护体系。 解读 本条款定义了关键信息基础设施的范围，强调了必须落实网络安全等级保护制度，并进行重点保护。国务院将制定相应的关键信息基础设施安全保护办法。 【第三十二条】 按照国务院规定的职责分工，负责关键信息基础设施安全保护工作的部门分别编制并 组织实施本行业、本领域的关键信息基础设施安全规划，指导和监督关键信息基础设施运行安全保护工作。 解读 本条款说明了要制定关键信息基础设施安全规划，和谁来负责制定规划。

【第三十三条】建设关键信息基础设施应当确保其具有支持业务稳定、持续运行的性能，并保证安全技术措施同步规划、同步建设、同步使用。 解读： 本条款说明了如何建设关键信息基础设施，强调了安全技术实施的三同步原则。适用法律责任：【第五十九条】 【第三十四条】除本法第二十一条的规定外，关键信息基础设施的运营者还应当履行下列安全保护义务：（一）设置专门安全管理机构和安全管理负责人，并对该负责人和关键岗位的人员进行安全背景审查； （二）定期对从业人员进行网络安全教育、技术培训和技能考核； （三）对重要系统和数据库进行容灾备份； （四）制定网络安全事件应急预案，并定期进行演练； （五）法律、行政法规规定的其他义务。 解读：本条款规定了关键信息基础设施的保护要求高于第二十一条的网络安全等级保护制度要求；同时强调了背景审查、教育培训和考核、容灾备份、应急预案和演练。 适用法律责任：【第五十九条】 【第三十五条】关键信息基础设施的运营者采购网络产品和服务，可能影响国家安全的，应当通过国 家网信部门会同国务院有关部门组织的国家安全审查。 解读 本条款规定了采购网络产品和服务的非常态的国家安全审查要求。 适用法律责任：【第六十五条】 【第三十六条】

关键信息基础设施安全保护条例正式样本

文件编号：TP-AR-L2529 There Are Certain Management Mechanisms And Methods In The Management Of Organizations, And The Provisions Are Binding On The Personnel Within The Jurisdiction, Which Should Be Observed By Each Party. （示范文本） 编制：_______________ 审核：_______________ 单位：_______________ 关键信息基础设施安全 保护条例正式样本

关键信息基础设施安全保护条例正 式样本 使用注意：该管理制度资料可用在组织/机构/单位管理上，形成一定的管理机制和管理原则、管理方法以及管理机构设置的规范，条款对管辖范围内人员具有约束力需各自遵守。材料内容可根据实际情况作相应修改，请在使用时认真阅读。 第一章总则 第一条为了保障关键信息基础设施安全，根据 《中华人民共和国网络安全法》，制定本条例。 第二条在中华人民共和国境内规划、建设、运 营、维护、使用关键信息基础设施，以及开展关键信 息基础设施的安全保护，适用本条例。 第三条关键信息基础设施安全保护坚持顶层设 计、整体防护，统筹协调、分工负责的原则，充分发 挥运营主体作用，社会各方积极参与，共同保护关键 信息基础设施安全。

第四条国家行业主管或监管部门按照国务院规定的职责分工，负责指导和监督本行业、本领域的关键信息基础设施安全保护工作。 国家网信部门负责统筹协调关键信息基础设施安全保护工作和相关监督管理工作。国务院公安、国家安全、国家保密行政管理、国家密码管理等部门在各自职责范围内负责相关网络安全保护和监督管理工作。 县级以上地方人民政府有关部门按照国家有关规定开展关键信息基础设施安全保护工作。 第五条关键信息基础设施的运营者（以下称运营者）对本单位关键信息基础设施安全负主体责任，履行网络安全保护义务，接受政府和社会监督，承担社会责任。 国家鼓励关键信息基础设施以外的网络运营者自