《国务院2019年立法工作计划》明确的
立法项目及负责起草的单位

二、拟制定、修订的行政法规（42件）

23.关键信息基础设施安全保护条例（网信办、工业和信息化部、公安部起草）

《关键信息基础设施安全保护条例》

(征求意见稿）

 

第一章 总则

    第一条 为了保障关键信息基础设施安全，根据《中华人民共和国网络安全法》，制定本条例。

    第二条 在中华人民共和国境内规划、建设、运营、维护、使用关键信息基础设施，以及开展关键信息基础设施的安全保护，适用本条例。

    第三条 关键信息基础设施安全保护坚持顶层设计、整体防护，统筹协调、分工负责的原则，充分发挥运营主体作用，社会各方积极参与，共同保护关键信息基础设施安全。

    第四条 国家行业主管或监管部门按照国务院规定的职责分工，负责指导和监督本行业、本领域的关键信息基础设施安全保护工作。

    国家网信部门负责统筹协调关键信息基础设施安全保护工作和相关监督管理工作。国务院公安、国家安全、国家保密行政管理、国家密码管理等部门在各自职责范围内负责相关网络安全保护和监督管理工作。

    县级以上地方人民政府有关部门按照国家有关规定开展关键信息基础设施安全保护工作。

    第五条 关键信息基础设施的运营者（以下称运营者）对本单位关键信息基础设施安全负主体责任，履行网络安全保护义务，接受政府和社会监督，承担社会责任。

    国家鼓励关键信息基础设施以外的网络运营者自愿参与关键信息基础设施保护体系。

    第六条 关键信息基础设施在网络安全等级保护制度基础上，实行重点保护。

    第七条 任何个人和组织发现危害关键信息基础设施安全的行为，有权向网信、电信、公安等部门以及行业主管或监管部门举报。

    收到举报的部门应当及时依法作出处理；不属于本部门职责的，应当及时移送有权处理的部门。

    有关部门应当对举报人的相关信息予以保密，保护举报人的合法权益。

 

第二章 支持与保障

    第八条 国家采取措施，监测、防御、处置来源于中华人民共和国境内外的网络安全风险和威胁，保护关键信息基础设施免受攻击、侵入、干扰和破坏，依法惩治网络违法犯罪活动。

    第九条 国家制定产业、财税、金融、人才等政策，支持关键信息基础设施安全相关的技术、产品、服务创新，推广安全可信的网络产品和服务，培养和选拔网络安全人才，提高关键信息基础设施的安全水平。

    第十条 国家建立和完善网络安全标准体系，利用标准指导、规范关键信息基础设施安全保护工作。

    第十一条 地市级以上人民政府应当将关键信息基础设施安全保护工作纳入地区经济社会发展总体规划，加大投入，开展工作绩效考核评价。

    第十二条 国家鼓励政府部门、运营者、科研机构、网络安全服务机构、行业组织、网络产品和服务提供者开展关键信息基础设施安全合作。

    第十三条 国家行业主管或监管部门应当设立或明确专门负责本行业、本领域关键信息基础设施安全保护工作的机构和人员，编制并组织实施本行业、本领域的网络安全规划，建立健全工作经费保障机制并督促落实。

    第十四条 能源、电信、交通等行业应当为关键信息基础设施网络安全事件应急处置与网络功能恢复提供电力供应、网络通信、交通运输等方面的重点保障和支持。

    第十五条 公安机关等部门依法侦查打击针对和利用关键信息基础设施实施的违法犯罪活动。

    第十六条 任何个人和组织不得从事下列危害关键信息基础设施的活动和行为：

    （一）攻击、侵入、干扰、破坏关键信息基础设施；

    （二）非法获取、出售或者未经授权向他人提供可能被专门用于危害关键信息基础设施安全的技术资料等信息；

    （三）未经授权对关键信息基础设施开展渗透性、攻击性扫描探测；

    （四）明知他人从事危害关键信息基础设施安全的活动，仍然为其提供互联网接入、服务器托管、网络存储、通讯传输、广告推广、支付结算等帮助；

    （五）其他危害关键信息基础设施的活动和行为。

    第十七条 国家立足开放环境维护网络安全，积极开展关键信息基础设施安全领域的国际交流与合作。

 

第三章 关键信息基础设施范围

    第十八条 下列单位运行、管理的网络设施和信息系统，一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的，应当纳入关键信息基础设施保护范围：

    （一）政府机关和能源、金融、交通、水利、卫生医疗、教育、社保、环境保护、公用事业等行业领域的单位；

    （二）电信网、广播电视网、互联网等信息网络，以及提供云计算、大数据和其他大型公共信息网络服务的单位；

    （三）国防科工、大型装备、化工、食品药品等行业领域科研生产单位；

    （四）广播电台、电视台、通讯社等新闻单位；

    （五）其他重点单位。

    第十九条 国家网信部门会同国务院电信主管部门、公安部门等部门制定关键信息基础设施识别指南。

    国家行业主管或监管部门按照关键信息基础设施识别指南，组织识别本行业、本领域的关键信息基础设施，并按程序报送识别结果。

    关键信息基础设施识别认定过程中，应当充分发挥有关专家作用，提高关键信息基础设施识别认定的准确性、合理性和科学性。

    第二十条 新建、停运关键信息基础设施，或关键信息基础设施发生重大变化的，运营者应当及时将相关情况报告国家行业主管或监管部门。

    国家行业主管或监管部门应当根据运营者报告的情况及时进行识别调整，并按程序报送调整情况。

 

第四章 运营者安全保护

    第二十一条 建设关键信息基础设施应当确保其具有支持业务稳定、持续运行的性能，并保证安全技术措施同步规划、同步建设、同步使用。

    第二十二条 运营者主要负责人是本单位关键信息基础设施安全保护工作第一责任人，负责建立健全网络安全责任制并组织落实，对本单位关键信息基础设施安全保护工作全面负责。

    第二十三条 运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障关键信息基础设施免受干扰、破坏或者未经授权的访问，防止网络数据泄漏或者被窃取、篡改：

    （一）制定内部安全管理制度和操作规程，严格身份认证和权限管理；

    （二）采取技术措施，防范计算机病毒和网络攻击、网络侵入等危害网络安全行为；

    （三）采取技术措施，监测、记录网络运行状态、网络安全事件，并按照规定留存相关的网络日志不少于六个月；

    （四）采取数据分类、重要数据备份和加密认证等措施。

    第二十四条 除本条例第二十三条外，运营者还应当按照国家法律法规的规定和相关国家标准的强制性要求，履行下列安全保护义务：

    （一）设置专门网络安全管理机构和网络安全管理负责人，并对该负责人和关键岗位人员进行安全背景审查；

    （二）定期对从业人员进行网络安全教育、技术培训和技能考核；

    （三）对重要系统和数据库进行容灾备份，及时对系统漏洞等安全风险采取补救措施；

    （四）制定网络安全事件应急预案并定期进行演练；