中国《网络安全法》

一、概述

《中华人民共和国网络安全法》于2016年11月7日经第十二届全国人民代表大会常务委员会第二十四次会议通过，2017年6月1日起正式施行。

该法共七章七十九条，是我国第一部全面规范网络空间安全管理的基础性法律。它与《数据安全法》《个人信息保护法》共同构成了中国网络与数据安全领域的基础性法律框架。

二、关键时间点

三、影响谁：适用范围与域外效力

（一）境内适用

在中华人民共和国境内建设、运营、维护和使用网络，以及网络安全的监督管理，适用本法。适用对象无内外商之别，只要在我国境内通过网络提供服务，内资和外资企业同等受制。

（二）域外效力（长臂管辖）

修订后的新法扩大了域外适用范围。旧法仅针对威胁我国关键信息基础设施的活动，新法则将从事危害我国网络安全活动的境外机构、组织、个人纳入适用范围。若造成重大后果，中国当局可决定实施资产冻结等制裁措施。

（三）监管体制

• 国家网信部门：负责统筹协调网络安全工作和相关监督管理工作

• 国务院电信主管部门、公安部门等：在各自职责范围内负责网络安全保护和监督管理工作

四、企业核心义务

（一）网络运营者的义务

1. 遵守网络安全等级保护制度

国家实行网络安全等级保护制度。网络运营者应当按照要求履行安全保护义务。

2. 采取技术措施保障网络安全

建设、运营网络或通过网络提供服务，应依照法律、行政法规和国家标准的强制性要求，采取技术措施和其他必要措施，保障网络安全、稳定运行，维护网络数据的完整性、保密性和可用性。

3. 建立内部管理制度

完善内部管理制度，明确责任人；履行网络安全保护义务，接受政府和社会的监督。

4. 建立应急处置机制

制定网络安全事件应急预案，有效应对网络安全事件。

5. 数据与个人信息保护

• 维护网络数据的完整性、保密性和可用性

• 处理个人信息应遵守本法和《民法典》《个人信息保护法》等规定

6. 安全认证与检测

不得销售或提供未经安全认证、安全检测或认证不合格的网络关键设备和网络安全专用产品。

7. 禁止行为

不得利用网络从事危害国家安全、荣誉和利益，传播暴力、淫秽色情信息，编造传播虚假信息扰乱经济秩序和社会秩序，以及侵害他人名誉、隐私、知识产权等合法权益等活动。

（二）关键信息基础设施运营者的额外义务

关键信息基础设施运营者还须履行以下额外义务：

• 采购安全保密义务：采购网络产品和服务可能影响国家安全的，应通过国家安全审查

• 定期安全检测评估：定期进行安全检测评估

• 存储要求：在境内运营中收集和产生的个人信息和重要数据应在境内存储

五、处罚：大幅升级的罚款体系

修订后的新法大幅强化了法律责任，引入了分级罚款体系。

（一）网络运营者

（二）直接负责的主管人员和其他直接责任人员

（三）其他处罚措施

• 资格罚：情节严重的，可责令暂停相关业务、停业整顿、吊销相关业务许可证或营业执照

• 没收违法所得：销售未经安全认证产品的，没收违法所得

六、2025年修订四大核心变化

2025年修订（2026年1月1日施行）是《网络安全法》施行以来的首次重大修订，核心变化包括：

七、最新动态（2025—2026年）

• 新法已正式施行：修订后的《网络安全法》于2026年1月1日起正式施行

• “千万级罚单”时代开启：新法首次引入最高1,000万元罚款

• 个人责任穿透：企业负责人的个人责任显著加重

• 执法缓释条款：新法创新引入执法缓释条款，为主动合规和及时整改的企业开辟责任减免空间

• 域外适用扩大：境外主体从事危害我国网络安全活动即可追责

八、企业行动建议

1. 立即评估新法适用情况：审查是否落入新法适用范围（包括域外适用情形）

2. 建立或完善网络安全管理制度：

• 建立全流程网络安全管理制度和操作规程

• 落实网络安全等级保护制度要求

• 明确高管及关键岗位人员的个人责任

3. 加强技术防护措施：

• 部署数据加密、访问控制、安全审计等技术措施

• 确保网络数据的完整性、保密性和可用性

4. 建立应急响应机制：

• 制定网络安全事件应急预案

• 建立与“危害后果”相匹配的应急响应与风险内控体系

5. 审查产品与服务安全认证：

• 确保网络关键设备和网络安全专用产品已通过安全认证或检测

• 关键信息基础设施运营者采购的网络产品和服务应通过国家安全审查

6. 关注AI合规：

• 如涉及AI相关业务，关注新法AI条款要求

• 在AI开发阶段校验训练数据的合法性与安全性

7. 全面梳理网络资产：

• 梳理并备案自身运营的全部网站及应用程序，确保均纳入网络安全管理制度范围

8. 持续关注配套法规：

• 关注国家相关部门出台的配套法规和标准

• 关注新法实施后的执法动态和典型案例