一、结论先行：三类必须申报的情形
网络安全审查不是所有企业都要做的常规备案，而是针对特定主体、特定行为的国家安全审查。结论先行，三类情形触发申报义务：
- 关键信息基础设施运营者采购网络产品和服务，影响或者可能影响国家安全的，应当申报（《网络安全审查办法》第五条）。
- 网络平台运营者开展数据处理活动，影响或者可能影响国家安全的，应当进行审查（《网络安全审查办法》第二条）。
- 掌握超过100万用户个人信息的网络平台运营者赴国外上市，必须申报（《网络安全审查办法》第七条）。这是最明确、最容易触发的一条。
第三类之所以关键，在于它把「用户规模」和「上市地」两个客观事实作为唯一标准，不要求企业自行判断是否影响国家安全。达到标准的，申报是义务，不是选择题。
制度依据上，《中华人民共和国数据安全法》第二十四条建立了数据安全审查制度，明确对影响或者可能影响国家安全的数据处理活动进行国家安全审查，并规定依法作出的审查决定为最终决定。
二、适用范围：两类主体的区分
《网络安全审查办法》第二条把审查对象分为两类，义务来源并不相同。
关键信息基础设施运营者（CIIO）。其义务来自「采购」行为。CIIO采购网络产品和服务时，应当预判该产品和服务投入使用后可能带来的国家安全风险；影响或者可能影响国家安全的，应当申报。判断是否属于CIIO，依据《关键信息基础设施安全保护条例》及保护工作部门的认定，认定结果通常不公开告知企业以外的第三方，企业应主动与行业主管部门确认。
网络平台运营者。其义务来自「数据处理活动」与「赴国外上市」。数据处理活动包括数据的收集、存储、使用、加工、传输、提供、公开等全流程。这里的「网络平台」并未设定统一的用户量或者营收门槛，但第七条另行规定了100万用户的明确标准。
三、100万用户与「赴国外上市」的范围
第七条的表述是「掌握超过100万用户个人信息的网络平台运营者赴国外上市」。三个要素需要逐一判断：
- 「掌握」不限于自有平台直接收集。通过SDK、小程序、合作方回传等方式实际控制的用户个人信息，通常也应计入。
- 「超过100万」指用户数量，不是个人信息条数。同一用户的多项信息不重复计算人数。
- 「赴国外上市」不限于首次公开发行。通过特殊目的公司并购（SPAC）、反向收购（RTO）、直接上市（DPO）等方式进行的，以及已上市企业赴国外二次上市、双重主要上市的，均属于新的「赴国外上市」活动，符合标准的应主动申报。
一个常见的误解是「去香港上市不用申报」。第七条的字面表述确为「国外」，但审查机制保留了依职权审查的入口：网络安全审查工作机制成员单位认为影响或者可能影响国家安全的网络产品和服务以及数据处理活动，由网络安全审查办公室按程序进行审查（《网络安全审查办法》第十六条）。因此赴香港上市虽不当然触发第七条的强制申报，仍需评估第十六条的依职权审查风险。
四、申报材料与流程时限
| 环节 | 时限 | 依据与要点 |
|---|---|---|
| 提交申报材料 | 向国外证券监管机构提出上市申请之前 | 申报书、国家安全影响分析报告、采购文件或上市申请文件等（第八条） |
| 确定是否需要审查 | 收到符合要求的材料起10个工作日内书面通知 | 第九条。材料不齐的，补齐后重新起算 |
| 审查实施 | 办法未统一规定固定期限，实践中按程序推进 | 审查期间当事人应配合提供材料 |
| 审查结论 | 三种结果：无需审查；不影响国家安全，可继续上市；影响国家安全，不得上市 | 结论具有终局性（《数据安全法》第二十四条） |
需要说明的是，上表「审查实施」一栏未给出固定天数，是因为《网络安全审查办法》对审查实施期限的规定与一般行政许可的期限设计不同，具体期限以受理通知与审查办公室的要求为准，不宜按「20个工作日」之类的通用期限推算。
五、审查考量因素
《网络安全审查办法》第十条列举了重点评估的国家安全风险因素，主要包括：产品和服务使用后关键信息基础设施被非法控制、遭受干扰或者破坏的风险；供应中断对业务连续性的危害；产品和服务的开放性、透明性、来源多样性以及因政治、外交、贸易因素导致供应中断的风险；产品和服务提供者遵守中国法律、行政法规、部门规章的情况；核心数据、重要数据或者大量个人信息被窃取、泄露、毁损以及非法利用、非法出境的风险；以及上市活动涉及的数据被外国政府影响、控制、恶意利用的风险等。
对企业而言，这份清单实际上是申报材料的写作大纲：分析报告应逐项回应上述风险，并说明已有的减缓措施，而不是笼统表态「不影响国家安全」。
六、未申报的后果与合规衔接
应当申报而未申报，可能面临两类后果：一是上市进程受阻，境外监管机构与境内监管部门的信息共享机制使未申报事实难以隐藏；二是行政处罚与信用惩戒，依《数据安全法》《网络安全法》的相关规定处理。
合规衔接上，网络安全审查与另外三项制度容易被混为一谈，实际功能不同：
- 数据出境安全评估：针对数据向境外提供的行为，判断是否达到申报门槛。
- 个人信息保护影响评估：针对处理敏感个人信息、自动化决策、委托处理等特定场景的内部评估义务。
- 算法备案：针对具有舆论属性或者社会动员能力的算法推荐服务。
四者可能同时触发，不能相互替代。企业应当建立一张「触发条件对照表」，在上市、重大采购、新产品上线三个节点分别核查。
七、常见问题
问：用户数刚好100万，需要申报吗？
第七条的标准是「超过100万」，恰好100万不落入该条的强制申报范围。但用户数是动态的，且仍可能因第二条、第十六条被审查，不宜据此认为安全。
问：只在境内上市，需要申报吗？
第七条不适用。但若属于CIIO采购或者数据处理活动影响国家安全，仍应依第二条、第五条申报。
问：已经完成境外上市的公司，还需要补申报吗？
办法施行前已在国外上市的运营者，不需要因既有上市行为补申报。但赴国外二次上市、双重主要上市属于新的上市活动，符合标准的应主动申报。
问：申报后一定会被实质审查吗？
不一定。审查办公室在10个工作日内确定是否需要审查，相当一部分申报以「无需审查」结案。但「无需审查」也是审查结论，不能省略申报程序。
问：审查不通过，还能通过重组、剥离业务再上市吗？
可以评估，但剥离必须真实、彻底，且剥离后的主体仍需重新判断是否触发申报义务。以形式剥离规避审查的做法，风险很高。
问：100万用户是指注册用户还是活跃用户？
办法未作细化，实践中通常按实际掌握的个人信息所对应的用户数量计算，注册用户与活跃用户均可能被纳入。具体口径待监管部门明确，建议按从严原则准备。
法条与依据核验：《网络安全审查办法》（国家互联网信息办公室等十三部门2021年12月28日公布，2022年2月15日起施行，共二十三条）第二条（审查范围）、第五条（CIIO采购的预判与申报）、第六条（要求提供者配合审查）、第七条（掌握超过100万用户个人信息的网络平台运营者赴国外上市必须申报）、第八条（申报材料）、第九条（10个工作日内确定是否需要审查）、第十条（国家安全风险考量因素）、第十六条（依职权审查）；《中华人民共和国数据安全法》第二十四条（数据安全审查制度及审查决定的终局性）；《中华人民共和国网络安全法》《中华人民共和国个人信息保护法》相关义务条款；《关键信息基础设施安全保护条例》关于CIIO认定的规定。特别说明：本文未标注《数据安全法》《网络安全法》具体罚则条号，援引时应核对现行文本；《网络安全审查办法》未对审查实施环节规定统一的固定期限，文中已明确不作期限推算。100万用户的计算口径（注册用户抑或活跃用户）、赴香港上市的申报义务判断，监管口径尚未完全明确，实务中存在争议，文中已作相应说明。请以国家互联网信息办公室官方公布文本为准。
