王鳳嬌：《網絡安全審查辦法》開啟我國網絡安全審查新篇章

近日，國家互聯網信息辦公室等12部門正式發布了《網絡安全審查辦法》（以下簡稱《辦法》）。與2017年5月發布的《網絡產品和服務安全審查辦法（試行）》相比，新的《辦法》在適用范圍、審查主體及判定因素等方面都有顯著變化，更具戰略性、優先性和針對性，開啟了我國網絡安全審查的新篇章。

一、明確審查重點，適用范圍聚焦國家安全優先事項

作為網絡安全審查制度實施的基礎，《辦法》開篇即明確網絡安全審查制度是依據《國家安全法》第五十九條和《網絡安全法》第三十五條而建立的一項國家安全審查，對網絡安全審查工作定位的表述更準確。《辦法》從適應國際網絡安全新形勢、滿足維護國家安全新需要的角度出發，聚焦“確保關鍵信息基礎設施供應鏈安全”，對關鍵信息基礎設施運營者采購網絡產品和服務時影響或可能影響國家安全的風險進行審查。

《辦法》對審查的適用范圍進行了再聚焦，其中，第二十條對涉及的“關鍵信息基礎設施運營者”和當前重點關注的“網絡產品和服務”范圍給出了清晰界定，使網絡安全審查工作更具可操作性，既符合當前我國維護國家安全自身利益的需求，也符合WTO安全例外原則。

二、健全長效機制，審查主體調整突出關鍵信息基礎設施運營者的主體責任

《辦法》的一個重要變化是審查主體由原來的“網絡產品和服務提供者”調整為“關鍵信息基礎設施運營者”，將“關鍵信息基礎設施運營者”作為整個審查流程中連接各方的核心節點，承擔著“預判風險”、“通過采購文件等要求產品和服務提供者配合審查”“申報”“配合提供補充材料”“督促產品和服務提供者履行承諾”等責任。這一變化抓住了要害，厘清了整個審查機制和流程中各方的責任和義務，突出了審查工作需要各方協同配合、群策群力的特點，有助于健全網絡安全審查長效機制。其中，關鍵信息基礎設施運營者作為審查主體：

1.在采購網絡產品和服務時，將根據產品和服務的使用環境、場景等判斷其投入使用后可能帶來的國家安全風險，使得預判分析更科學、準確；

2.通過采購文件等要求產品和服務提供者配合網絡安全審查、做出相關承諾的要求，更具可行性；

3.負責申報，“運營者在采購產品和服務時，預判風險后對于影響或可能影響國家安全的情況應向網絡安全審查辦公室進行申報”是審查的主要啟動方式。

除應盡的責任外，關鍵信息基礎設施運營者也應積極參與關鍵信息基礎設施保護工作部門制定本行業、本領域預判指南的過程，結合自身關鍵功能、業務和場景的特點，為預判指南的制定提供參考，提高預判指南的適用性和針對性。

三、借鑒國際做法，判定因素新增非技術性因素考量

《辦法》在判定因素中增加了“供應商來源的多樣性和供應商的可靠性等非技術性因素導致供應中斷的風險”，是一個突出變化。

縱觀國際形勢，2018年以來，網絡空間風云變幻，很多國家紛紛出臺、修訂政策法規加強供應鏈安全的審查、評估，其中也不乏以國家安全為由實施商業禁令的例子。政治、外交、貿易等非技術因素導致供應中斷的可能性增強，供應商的來源和供應商的可靠性等非技術性因素，已經成為多個國家評估供應鏈安全風險的重要方面。與發達國家相比，我國的供應鏈安全面臨著更加嚴峻的風險挑戰，因此《辦法》在判定因素中增加了這方面的規定，體現了我國對國家安全新形勢、新問題與時俱進的考慮。

網絡安全審查制度的實施需要審查工作機制成員單位、關鍵信息基礎設施保護工作部門、關鍵信息基礎設施運營者的協同配合，需要企業、社會組織和廣大網民的共同參與，也需要在實踐中總結經驗和問題，適應維護國家安全的形勢需要，不斷完善審查制度。（作者：王鳳嬌，中國網絡安全審查技術與認證中心副處長）