3.2 网络安全审查的主要内容

《网络安全审查办法》共二十二条，主要内容包括设立审查机构、完善法律法规、制定评估标准、开展第三方认证等，对于关键产品例如政府机构、交通、电力等领域的产品，从技术构成、安全性能、配套服务、交付方法等方面开展全面审查，排查安全风险和漏洞，降低安全隐患可能带来的风险。

3.2.1 适用主体和审查内容

《网络安全审查办法》第二条明确了审查的适用主体，即关键信息基础设施运营者采购网络产品和服务，影响或可能影响国家安全的，应当进行网络安全审查。关于关键信息基础设施的范围，请读者参考前面章节内容。

对于适用主体，我们需进一步深入理解。凡是运营的网络设备遭到破坏、丧失功能或者数据泄露后，可能严重危害到国家安全、国计民生、公共利益的，则这些单位都会被认定为关键信息基础设施运营者，不仅是国家行业，还包括民营企业。因此，在采购网络产品和服务时，如果所采购的产品或服务有可能影响到国家安全的，就需要开展审查。

关键信息基础设施运营者采购网络产品和服务如果可能带来下面的国家安全风险，则必须进行审查：

（一）产品和服务使用后带来的关键信息基础设施被非法控制、遭受干扰或破坏，以及重要数据被窃取、泄露、毁损的风险；

（二）产品和服务供应中断对关键信息基础设施业务连续性的危害；

（三）产品和服务的安全性、开放性、透明性、来源的多样性，供应渠道的可靠性，以及因为政治、外交、贸易等因素导致供应中断的风险；

（四）产品和服务提供者遵守中国法律、行政法规、部门规章情况；其他可能危害关键信息基础设施安全和国家安全的因素。

为了规避风险，建议采购列入目录的网络关键设备和网络安全专用产品。网络安全审查办法中所指的网络产品和服务主要指核心网络设备、高性能计算机和服务器、大容量存储设备、大型数据库和应用软件、网络安全设备、云计算服务，以及其他对关键信息基础设施安全有重要影响的网络产品和服务。

需要提醒的是，网络产品和服务与网络关键设备和网络安全专用产品的区别。网络关键设备和网络安全专用产品是由《网络安全法》首次提出的概念，但并未对其给出具体的定义，其前身是公安等部门要求进行检测认证的计算机信息系统安全专用产品。随后，国家互联网信息办公室会同工业和信息化部、公安部、国家认证认可监督管理委员会等部门颁布《网络关键设备和网络安全专用产品目录（第一批）》，首次明确了网络关键设备和网络安全专用产品的类型，包括路由器、交换机、服务器（机架式）、PLC设备等4种网络关键设备，以及数据备份一体机、防火墙、入侵检测系统等11种网络安全专用产品。具体产品或设备请查询国家网信办网站http：//www.cac.gov.cn/2017-06/09/c_1121113591.htm。

3.2.2 审查方式

网络安全审查方式包括民间审查和官方审查。

一是由关键信息基础设施运营者自行民间审查。《网络安全审查办法》第五条指出，“关键信息基础设施运营者采购网络产品和服务的，应当预判该产品和服务投入使用后可能带来的国家安全风险。影响或者可能影响国家安全的，应当向网络安全审查办公室申报网络安全审查”。也就是说，关键信息基础设施运营者在采购网络产品和服务时，通过自我预判认为所采购的产品和服务在投入使用后可能给国家带来安全风险，影响或者可能影响国家安全的，在制作安全风险报告后，向网络安全审查办公室进行申报，进入政府审查程序。同时，针对自查要求，关键信息基础设施保护工作部门需要制定本行业、本领域的预判指南，以更好地帮助主管的行业或企业把握风险，保障网络安全。

二是由网络安全审查工作机制成员单位启动官方审查。《网络安全审查办法》第四条确定了网络安全审查工作机制成员单位，即在中央网络安全和信息化委员会领导下，国家互联网信息办公室会同国家发展和改革委员会、工业和信息化部、公安部、国家安全部、财政部、商务部、中国人民银行、国家市场监督管理总局、国家广播电视总局、国家保密局、国家密码管理局建立国家网络安全审查工作机制。这些组成成员共同组成网络安全审查工作机制成员单位，当网络安全审查工作机制成员单位认为影响或可能影响国家安全的，网络安全审查办公室按照程序报中央网络安全和信息化委员会批准，启动审查程序。

无论民间审查还是官方审查，都是国家允许的方式。按照约定成俗的方式，民间审查会迁就与官方审查，一是避责，二是树立安全整体意识。这些方式都是评估以及预测关键信息基础设施运营者所采购的相关产品和服务在投产使用后，是否会对构成关键信息基础设施的网络造成破坏、攻击，或者由于安装了该产品、启用了相关服务后是否会存在其他安全隐患或者数据泄露的隐患，是否可能造成这些国家支柱企业、关键产业经济的业务造成不连续或者供应链中断，以及产品服务本身是否可靠，是否因其存在脆弱性、可攻击性、有限供应进而对整个关键信息基础设施的安全和稳定造成影响。

3.2.3 审查主体

通过分析《网络安全审查办法》可知，审查工作包括三类主体。

一是网络安全审查办公室。网络安全审查办公室则设在国家互联网信息办公室，负责制定网络安全审查的相关制度规范，并组织网络安全审查。

二是网络安全审查工作机制成员单位，包括所有发文机构，除了国家互联网信息办公室，另有国家发展和改革委员会、工业和信息化部、公安部、国家安全部、商务部、财政部、商务部、中国人民银行、国家市场监督管理总局、国家广播电视总局、国家保密局、国家密码管理局等11个国务院组成部门或直属机构。

三是相关关键信息基础设施保护工作部门，包括电信、广播电视、能源、金融、公路水路运输、铁路、民航、邮政、水利、应急管理、卫生健康、社会保障、国防科技工业等行业领域，具体参考前面章节界定的范围。

需要注意的是，网络产品和服务提供者需要配合审查主体开展工作，审查期间可能会产生附加的时间成本或经济成本。

3.2.4 审查原则

审查原则分为一个总原则、两个核心原则。

一个总原则是网络安全审查坚持防范网络安全风险与促进先进技术应用相结合、过程公正透明与知识产权保护相结合、事前审查与持续监管相结合、企业承诺与社会监督相结合的原则。

核心原则一是要保护知识产权。知识产权是产品和服务的灵魂，安全必须确保。因此，《网络安全审查办法》对参与网络安全审查的相关机构和人员应严格保护企业商业秘密和知识产权，对关键信息基础设施运营者、产品和服务提供者提交的未公开材料，以及审查工作中获悉的其他未公开信息承担保密义务。也就是说，未经信息提供方同意，不会向无关方披露或用于审查以外的目的。如果认为审查人员有失客观公正，或未能对审查工作中获悉的信息承担保密义务的，可以选择向网络安全审查办公室或有关部门举报。

核心原则二是要确保关键信息基础设施供应链安全。网络安全审查的目的是维护国家网络安全，不是要限制或歧视国外产品和服务。国外先进的、成熟的、稳定的产品和服务，只要保证我国在供应链上某环节的可控，也可以理解为确保关键信息基础设施供应链安全。

3.2.5 审查流程

1.审查申报时间

关键信息基础设施运营者要把握两个审查申报时间：一是要在与产品和服务提供方正式签署合同前进行申报；二是如在签署合同后申报，需要在合同中注明：此合同须在产品和服务采购通过网络安全审查后方可生效。

2.申报所需资料

申报所需资料主要包括申报书，关于影响或可能影响国家安全的分析报告，采购文件、协议、拟签订的合同等，以及网络安全审查工作需要的其他材料。在申报材料中，对于申报网络安全审查的采购活动，运营者应通过采购文件、协议等要求产品和服务提供者配合网络安全审查，包括承诺不利用提供产品和服务的便利条件非法获取用户数据、非法控制和操纵用户设备，无正当理由不中断产品供应或必要的技术支持服务等。

网络安全审查办公室要求提供补充材料的，运营者、产品和服务提供者应当予以配合。提交补充材料的时间不计入审查时间。

3.网络安全审查办公室审查

网络安全审查办公室应当自收到审查申报材料起，10个工作日内确定是否需要审查并书面通知运营者。网络安全审查办公室认为需要开展网络安全审查的，应当自向运营者发出书面通知之日起 30 个工作日内完成初步审查，包括形成审查结论建议和将审查结论建议发送网络安全审查工作机制成员单位、相关关键信息基础设施保护工作部门征求意见；情况复杂的，可以延长15个工作日。

4.意见回复

网络安全审查工作机制成员单位和相关关键信息基础设施保护工作部门应当自收到审查结论建议之日起 15 个工作日内书面回复意见。网络安全审查工作机制成员单位、相关关键信息基础设施保护工作部门意见一致的，网络安全审查办公室以书面形式将审查结论通知运营者；意见不一致的，按照特别审查程序处理，并通知运营者。

5.特别审查程序

对于特别审查程序处理网络安全审查，网络安全审查办公室应当听取相关部门和单位意见，进行深入分析评估，再次形成审查结论建议，并征求网络安全审查工作机制成员单位和相关关键信息基础设施保护工作部门意见，按程序报中央网络安全和信息化委员会批准后，形成审查结论并书面通知运营者。同时，特别审查程序一般应当在45个工作日内完成，情况复杂的可以适当延长。

这里的“适当延长”到什么时间，没有明确答复。网络安全审查具体流程参考图3-1 （来源于http：//news.mydrivers.com/1/686/686611.htm，在此表示感谢）。

国务院组成部门或直属机构认为网络产品和服务对国家安全有影响或可能造成影响的，由网络安全审查办公室按程序报中央网络安全和信息化委员会批准后，依办法进行审查。

当不同机构之间出现对所上报的内容有不同意见或者有冲突的情况时，有网络安全审查办公室进行决策，形成高度统一意见。统一意见可增加网络安全审查报告的公信度和效率水平，避免因联合决策机构一多而造成审批拖沓、相互推诿等情况。

当前，网络安全审查具体工作委托中国网络安全审查技术与认证中心承担。中国网络安全审查技术与认证中心在网络安全审查办公室的指导下，承担接收申报材料、对申报材料进行形式审查、具体组织审查工作等任务。

3.2.6 未申报未通过的后果

当存在应当申报网络安全审查而没有申报的，存在使用网络安全审查未通过的产品和服务的情况时，需要承担相应的后果。即由有关主管部门责令停止使用，处采购金额1倍以上10倍以下罚款，对直接负责的主管人员和其他直接责任人员处1万元以上10万元以下罚款。