关键信息基础设施运营者的安全保护义务与法律责任：认定规则、专门保护与罚则变化

一、结论先行：认定由部门主导，六项核心义务

关键信息基础设施（英文简称 CII）不是企业可以自行认定的概念。依《关键信息基础设施安全保护条例》第八条至第十条，由重要行业和领域的主管部门、监督管理部门作为保护工作部门，结合本行业、本领域实际制定认定规则并报国务院公安部门备案，再根据认定规则组织认定，及时将认定结果通知运营者，并通报国务院公安部门。

被认定为运营者后，核心义务可以归为六项：

1. 三同步。安全保护措施应当与关键信息基础设施同步规划、同步建设、同步使用（第十二条）。
2. 制度与责任制。建立健全网络安全保护制度和责任制，保障人力、财力、物力投入；运营者的主要负责人对关键信息基础设施安全保护负总责（第十三条）。
3. 专门机构与背景审查。设置专门安全管理机构，并对专门安全管理机构负责人和关键岗位人员进行安全背景审查，审查时公安机关、国家安全机关应当予以协助（第十四条）。
4. 经费人员保障与决策参与。保障专门安全管理机构的运行经费、配备相应人员；开展与网络安全和信息化有关的决策应当有专门安全管理机构人员参与（第十六条）。
5. 年度检测评估。自行或者委托网络安全服务机构，对关键信息基础设施每年至少进行一次网络安全检测和风险评估，对发现的安全问题及时整改，并按照保护工作部门要求报送情况（第十七条）。
6. 采购管理。优先采购安全可信的网络产品和服务；采购网络产品和服务可能影响国家安全的，应当按照国家网络安全规定通过安全审查（第十九条）；采购网络产品和服务应当按照国家有关规定与提供者签订安全保密协议，明确技术支持和安全保密义务与责任，并对履行情况进行监督（第二十条）。

另有两项经常被忽略的义务：关键信息基础设施发生较大变化、可能影响其认定结果时，运营者应当及时报告保护工作部门（第十一条）；发生合并、分立、解散等情况，应当及时报告保护工作部门，并按照保护工作部门的要求对关键信息基础设施进行处置，确保安全（第二十一条）。

二、认定规则：部门主导的三步机制

需要明确一点：企业不能通过自我评估得出「我不属于CII运营者」的结论并据此免除义务。判断依据是保护工作部门是否已将认定结果通知该运营者；未收到认定通知的，在形式上通常不属于CII运营者，但仍可能因处理重要数据、属于网络运营者身份而承担《数据安全法》《个人信息保护法》《网络安全法》项下的其他义务。

三、专门安全管理机构的八项职责

专门安全管理机构不是挂名机构。第十五条列举了八项具体职责，可以直接作为内部分工与考核的清单：

1. 建立健全网络安全管理、评价考核制度，拟订关键信息基础设施安全保护计划；
2. 组织推动网络安全防护能力建设，开展网络安全监测、检测和风险评估；
3. 按照国家及行业网络安全事件应急预案，制定本单位应急预案，定期开展应急演练，处置网络安全事件；
4. 认定网络安全关键岗位，组织开展网络安全工作考核，提出奖励和惩处建议；
5. 组织网络安全教育、培训；
6. 履行个人信息和数据安全保护责任，建立健全个人信息和数据安全保护制度；
7. 对关键信息基础设施设计、建设、运行、维护等服务实施安全管理；
8. 按照规定报告网络安全事件和重要事项。

这八项职责与第三十九条第七项形成对应：专门安全管理机构未履行第十五条规定的职责，属于可被处罚的情形。因此，机构设立之后必须有实际的履职记录，否则「设而不履职」本身即构成违法。

四、等级保护与CII保护的关系，以及漏洞探测的禁止

条例第六条明确：运营者依照本条例和有关法律、行政法规的规定以及国家标准的强制性要求，在网络安全等级保护的基础上，采取技术保护措施和其他必要措施，应对网络安全事件，防范网络攻击和违法犯罪活动，保障关键信息基础设施安全稳定运行，维护数据的完整性、保密性和可用性。也就是说，CII保护是等级保护之上的特别保护，两者不是替代关系，等级保护（含测评、备案）仍然要做。

条例第五条确立重点保护原则，并明确：任何个人和组织不得实施非法侵入、干扰、破坏关键信息基础设施的活动，不得危害关键信息基础设施安全。第三十一条进一步规定：未经国家网信部门、国务院公安部门批准或者保护工作部门、运营者授权，任何个人和组织不得对关键信息基础设施实施漏洞探测、渗透性测试等可能影响或者危害关键信息基础设施安全的活动；对基础电信网络实施漏洞探测、渗透性测试等活动，应当事先向国务院电信主管部门报告。

与此配套，第四十三条设定了人员资格限制：违反第五条第二款和第三十一条规定，受到治安管理处罚的人员，五年内不得从事网络安全管理和网络运营关键岗位的工作；受到刑事处罚的人员，终身不得从事网络安全管理和网络运营关键岗位的工作。

此外，第五十条规定了两项衔接义务：存储、处理涉及国家秘密信息的关键信息基础设施的安全保护，还应当遵守保密法律、行政法规的规定；关键信息基础设施中的密码使用和管理，还应当遵守相关法律、行政法规的规定。

五、个人信息与重要数据：境内存储与出境路径

《网络安全法》（2025年修正）第三十八条规定：关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在境内存储；因业务需要，确需向境外提供的，应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估；法律、行政法规另有规定的，依照其规定。

与此衔接的规范体系还包括《数据安全法》《个人信息保护法》与《数据出境安全评估办法》《促进和规范数据跨境流动规定》。其中《数据安全法》就重要数据出境作了分工性规定：关键信息基础设施运营者在境内运营中收集和产生的重要数据的出境安全管理，适用《网络安全法》的规定。《个人信息保护法》则就跨境提供规定了安全评估、个人信息保护认证与标准合同等路径，并对关键信息基础设施运营者以及处理个人信息达到国家网信部门规定数量的处理者提出了境内存储与安全评估要求。

六、法律责任：条例罚则与修正后网络安全法第六十一条的衔接

CII 相关法律责任可以分为三个层次。

第一层是条例第五章的罚则。第三十九条列举运营者的十项违法情形——对应第十一条的报告义务、第十二条的三同步、第十三条的制度与责任制、第十四条的专门机构与背景审查、第十六条的决策参与、第十五条的机构职责、第十七条的年度检测评估、第二十条的安全保密协议、第二十一条的合并分立处置——由有关主管部门依据职责责令改正、给予警告；拒不改正或者导致危害网络安全等后果的，处十万元以上一百万元以下罚款，对直接负责的主管人员处一万元以上十万元以下罚款。第四十条针对发生重大网络安全事件或者发现重大网络安全威胁时未按规定报告，同档处罚。第四十一条针对采购可能影响国家安全的网络产品和服务未按规定进行安全审查，处采购金额一倍以上十倍以下罚款。第四十二条针对不配合网络安全检查检测，拒不改正的处五万元以上五十万元以下罚款。

第二层是修正后《网络安全法》第六十一条。《全国人民代表大会常务委员会关于修改〈中华人民共和国网络安全法〉的决定》已于2025年10月28日通过，自2026年1月1日起施行。修正后，原第五十九条调整为第六十一条，规定：关键信息基础设施的运营者不履行本法第三十五条、第三十六条、第三十八条、第四十条规定的网络安全保护义务的，由有关主管部门责令改正，给予警告，可以处五万元以上十万元以下罚款；拒不改正或者导致危害网络安全等后果的，处十万元以上一百万元以下罚款，对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。该条第三款进一步分档：造成大量数据泄露、关键信息基础设施丧失局部功能等严重危害网络安全后果的，处五十万元以上二百万元以下罚款，对直接负责的主管人员和其他直接责任人员处五万元以上二十万元以下罚款；造成关键信息基础设施丧失主要功能等特别严重危害网络安全后果的，处二百万元以上一千万元以下罚款，对直接负责的主管人员和其他直接责任人员处二十万元以上一百万元以下罚款。

第三层是法律的衔接适用。修正后《网络安全法》第七十一条规定三类衔接情形：对侵害个人信息权益的行为，依照《个人信息保护法》及相关法律、行政法规的规定处罚；对关键信息基础设施的运营者违法在境外存储个人信息和重要数据，或者向境外提供个人信息和重要数据的行为，依照《个人信息保护法》《数据安全法》及相关法律、行政法规的规定处罚；对窃取或者以其他非法方式获取、非法出售或者非法向他人提供个人信息尚不构成犯罪的，由公安机关依照有关法律、行政法规的规定处罚。此外，条例第四十八条明确：电子政务关键信息基础设施的运营者不履行本条例规定的网络安全保护义务的，依照《网络安全法》有关规定予以处理。

七、可以直接对照的十项合规动作

1. 确认认定状态。向对应保护工作部门核实是否已被认定为CII运营者，取得书面通知或认定结果文件并归档。
2. 三同步落地。新建、改建、扩建项目的立项文件中即纳入安全保护措施，形成同步规划、同步建设、同步使用的书面记录。
3. 制度与责任制。制定网络安全保护制度与责任清单，书面明确主要负责人及其职责。
4. 设立专门安全管理机构。以正式文件设立，明确组成人员、归口部门与向主要负责人的汇报路径。
5. 实施安全背景审查。对机构负责人和关键岗位人员实施背景审查，留存审查记录与结果处理。
6. 落实决策参与。在网络安全与信息化相关决策的会议纪要中体现专门安全管理机构人员的参与。
7. 年度检测评估。每年至少一次网络安全检测与风险评估，形成报告、整改清单以及向保护工作部门报送的凭证。
8. 建立事件报告机制。明确重大网络安全事件与重大威胁向保护工作部门、公安机关报告的流程、时限与责任人。
9. 采购与安全审查。建立供应商准入与采购清单，对可能影响国家安全的网络产品和服务履行安全审查；与提供者签订安全保密协议并监督履行。
10. 变动与配合。发生较大变化时及时报告；合并、分立、解散时报告并按要求处置；配合保护工作部门及公安、国家安全、保密行政管理、密码管理等部门的检查检测。

八、常见问题与实务提示

问：企业可以自行判断自己是不是关键信息基础设施运营者吗？

不可以。依第八条至第十条，认定由保护工作部门依据认定规则组织进行，并将认定结果通知运营者。企业自我评估不能作为免责依据，也不宜以此替代对其他网络与数据义务的合规准备。

问：关键信息基础设施发生较大变化，需要做什么？

依第十一条，运营者应当及时将相关情况报告保护工作部门；保护工作部门自收到报告之日起三个月内完成重新认定，将认定结果通知运营者，并通报国务院公安部门。系统架构调整、业务范围重大变化都可能触发报告义务。

问：CII运营者的个人信息出境路径有什么不同？

依《网络安全法》第三十八条（2025年修正后条号，原为第三十六条），关键信息基础设施运营者在境内运营中收集和产生的个人信息和重要数据应当在境内存储；确需向境外提供的，应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估，即走安全评估路径，而不是直接采用标准合同或认证路径。

问：年度检测评估必须委托外部机构吗？

不必。依第十七条，可以自行进行，也可以委托网络安全服务机构进行；但必须每年至少一次，对发现的安全问题及时整改，并按照保护工作部门要求报送情况。

问：不配合网络安全检查会有什么后果？

依第四十二条，由有关主管部门责令改正；拒不改正的，处五万元以上五十万元以下罚款，对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款；情节严重的，依法追究相应法律责任。

问：出了重大网络安全事件要报告给谁？

依第十八条，运营者应当按有关规定向保护工作部门、公安机关报告。属于关键信息基础设施整体中断运行或者主要功能故障、国家基础信息以及其他重要数据泄露、较大规模个人信息泄露、造成较大经济损失、违法信息较大范围传播等特别重大网络安全事件的，保护工作部门还应当在收到报告后及时向国家网信部门、国务院公安部门报告。

问：条例的罚款与修正后《网络安全法》的罚款，以哪个为准？

就同一违法行为，法律与行政法规均有规定时应当依据《网络安全法》的规定处理。修正后《网络安全法》第六十一条对未履行CII安全保护义务设置了分档罚款，其中造成关键信息基础设施丧失主要功能等特别严重危害网络安全后果的，最高可处一千万元罚款；条例第三十九条至第四十二条的额度是否随之调整，建议以国务院后续公布的修订文本为准。

律师提示：CII 合规的推进顺序建议是：先确认身份（是否收到认定通知），再补齐组织（专门安全管理机构、背景审查、决策参与），然后固化运行（三同步、年度检测评估、事件报告），最后完善采购与出境（安全审查、安全保密协议、数据出境安全评估）。整个过程中最重要的是留痕——每项义务都要有可被调取的文件、记录与报送凭证，这既是履行义务的证明，也是发生网络安全事件后降低处罚幅度的关键依据。

法条与依据核验：《关键信息基础设施安全保护条例》（国务院令第745号，2021年4月27日国务院第133次常务会议通过，2021年7月30日公布，自2021年9月1日起施行）第二条、第三条、第四条、第五条、第六条（等级保护基础与技术保护措施）、第八条（保护工作部门）、第九条（认定规则与三项考虑因素）、第十条（组织认定、通知并通报）、第十一条（较大变化报告与三个月内重新认定）、第十二条（三同步）、第十三条（制度、责任制与主要负责人负总责）、第十四条（专门安全管理机构与安全背景审查）、第十五条（专门安全管理机构八项职责）、第十六条（经费人员保障与决策参与）、第十七条（年度检测评估与报送）、第十八条（重大网络安全事件报告）、第十九条（优先采购安全可信产品与安全审查）、第二十条（安全保密协议）、第二十一条（合并、分立、解散的报告与处置）、第三十一条（漏洞探测、渗透性测试的禁止）、第三十九条至第四十二条（运营者违法情形的罚则）、第四十三条（人员从业限制）、第四十八条（电子政务关键信息基础设施依照《网络安全法》处理）、第五十条（涉密与密码管理的衔接）、第五十一条（施行日期）；《中华人民共和国网络安全法》（2025年10月28日修正，自2026年1月1日起施行）第三十三条、第三十五条、第三十六条、第三十八条（境内存储与安全评估）、第四十条、第六十一条（罚则及三档罚款）、第七十一条（与《个人信息保护法》《数据安全法》的衔接适用）；《中华人民共和国数据安全法》；《中华人民共和国个人信息保护法》；《数据出境安全评估办法》；《促进和规范数据跨境流动规定》。新旧法对照说明：《网络安全法》2025年修正后，原第五十九条调整为第六十一条，原第三十一条调整为第三十三条、原第三十三条调整为第三十五条、原第三十四条调整为第三十六条、原第三十六条调整为第三十八条、原第三十八条调整为第四十条、原第七十条调整为第七十一条，引用旧条号时须作对照。特别说明：本文第六节关于条例罚则是否随《网络安全法》2025年修正作相应调整的表述，已在正文作相应说明，应以国务院后续公布的修订文本与主管部门执法依据为准。请以全国人大常委会、国务院、国家网信部门官方公布文本为准。