网络安全法2025年修正的合规影响，人工智能条款、法律责任加重与义务清单变化

一、结论先行：五项核心变化与一个时间节点

《全国人民代表大会常务委员会关于修改〈中华人民共和国网络安全法〉的决定》于2025年10月28日由第十四届全国人民代表大会常务委员会第十八次会议通过，自2026年1月1日起施行。修正后的《网络安全法》共七章七十四条。对企业合规而言，需要重点把握五项变化：

1. 人工智能首次入法。新增关于人工智能安全与发展的专门条款，一方面支持人工智能基础理论研究、关键技术研发与基础设施建设，另一方面要求完善人工智能伦理规范，加强风险监测评估和安全监管。
2. 法律责任体系重构。构建与危害后果挂钩的精细化分级处罚体系，关键信息基础设施运营者的罚款上限由一百万元提升至一千万元，并新增「大量数据泄露」为违法情形。
3. 分类施策、区分义务主体。对关键信息基础设施运营者设定更严格的安全防护要求，对一般网络运营者设置相对较低的处罚档次，避免一刀切。
4. 与个人信息保护法、数据安全法的衔接。明确网络运营者处理个人信息应当同时遵守《民法典》《个人信息保护法》等法律、行政法规的规定，实现多法协同。
5. 增设网络设备供应链罚则与柔性执法机制。对销售或者提供未经安全认证、安全检测或者认证检测不合格的网络关键设备和网络安全专用产品设置专门处罚；同时明确具有《行政处罚法》规定的从轻、减轻或者不予处罚情形的，依照其规定处理。

二、修正的基本情况与法律定位

《网络安全法》是网络安全领域的基础性法律，2017年6月1日起施行。本次修正被列入十四届全国人大常委会立法规划和全国人大常委会2025年度立法工作计划，并作为一类立法项目重点推进。修正的背景是数字经济深度融入社会生活、网络平台成为连接用户与社会的关键枢纽，原有法律责任制度存在「违法成本低、守法成本高」的失衡。

修正后的《网络安全法》在指导原则部分进一步明确了党对网络安全工作的领导，并首次在法律层面规定「推进网络强国建设」的重大目标。

需要明确《网络安全法》《数据安全法》《个人信息保护法》三部法律的分工：《网络安全法》侧重网络运行安全、网络信息安全与关键信息基础设施保护；《数据安全法》侧重数据分类分级保护与数据处理活动的安全；《个人信息保护法》侧重个人信息权益保护与处理规则。本次修正着力加强三部法律之间的衔接，企业不能用其中一部法律的合规工作替代另外两部。

三、人工智能条款：支持发展与安全监管并重

本次修正首次将人工智能发展与安全纳入基础性法律框架，新增专门条款，包含两方面内容：

1. 支持方面：支持人工智能基础理论研究、算法等关键技术研发与基础设施建设，促进人工智能应用和健康发展。
2. 规范方面：要求完善人工智能伦理规范，加强风险监测评估和安全监管。

这一条款的意义在于确立了「安全护航发展」的立法导向，回应了人工智能算法安全、训练数据泄露等新挑战。对企业而言，需要关注三类与之衔接的具体义务：一是训练数据来源的合法性（涉及《个人信息保护法》与数据合规审计）；二是人工智能生成合成内容的标识义务；三是生成式人工智能服务的训练数据、内容标识、安全评估与算法备案要求。这三类义务各有其配套规定，本次修正在法律层面提供了上位法依据。

需要注意的是，修正后的条款是原则性规定，具体的合规动作仍需依据现行有效的部门规章、国家标准与备案要求执行，不能仅凭该条款判断自身义务边界。

四、法律责任重构：罚款上限与分级处罚

本次修正的核心是完善法律责任制度，通过提高违法成本、细化责任体系与创新激励机制压实平台网络安全责任。已有的公开解读可以归纳为三个层次的调整：

从这张表可以看出，修正后的责任制度有三个特征：按主体分类、按后果分级、按情节分档。这意味着企业自查的重点不是「有没有违法」，而是「一旦发生安全事件，自己的主体类型与后果等级落在哪个处罚区间」。

同时，修正后明确：违反本法规定，具有《行政处罚法》规定的从轻、减轻或者不予处罚情形的，依照其规定从轻、减轻或者不予处罚。这一规定落实了过罚相当、惩教结合的原则，为主动整改保留了空间。

五、与个人信息保护法、数据安全法的衔接

修正后的规定明确，网络运营者处理个人信息，应当遵守本法和《中华人民共和国民法典》《中华人民共和国个人信息保护法》等法律、行政法规的规定；收集和使用个人信息应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意；不得收集与其提供的服务无关的个人信息，不得违反法律、行政法规的规定和双方的约定收集、使用个人信息。

这一衔接条款的意义在于消除「多头立法、责任真空」的误解。企业处理个人信息的合规依据依然主要是《个人信息保护法》及其配套规定，包括告知同意规则、单独同意情形、个人信息保护影响评估、合规审计、数据出境的三条路径（安全评估、标准合同、保护认证）等。《网络安全法》修正后的作用是在网络安全义务层面叠加责任——同一行为可能同时触发两部法律的责任，不构成「一事不再罚」的抗辩事由（不同法律关系下的责任形式各自独立）。

数据出境方面，关键信息基础设施运营者向境外提供个人信息或者重要数据的，需要申报数据出境安全评估；未评估即传输属于违法行为，在修正后的责任体系下处罚幅度显著提高。企业应当依据《促进和规范数据跨境流动规定》确认自身是否落入应当申报安全评估、订立标准合同或者通过保护认证的范围，并核实现有的豁免情形是否适用。

六、网络设备供应链罚则与柔性执法

本次修正针对网络关键设备和网络安全专用产品「带病入市」问题，明确对销售或者提供未经安全认证、安全检测或者安全认证不合格、安全检测不符合要求的网络关键设备和网络安全专用产品的行为设置专门处罚，情节严重者可吊销营业执照。

这项变化直接影响采购与供应链管理：企业在采购网络关键设备与网络安全专用产品时，应当核验产品的安全认证、安全检测证明是否齐备且在有效期内，并在采购合同中将该核验义务与违约责任明确落地。对外包运维、系统集成亦应作同样要求，避免因上游供应商的产品问题承担自身责任。

柔性执法方面，修正后明确援引《行政处罚法》关于从轻、减轻和不予处罚的规定。企业发现违法行为后，主动消除或者减轻违法行为危害后果、配合调查、及时整改这类动作在裁量中具有实际意义，因此建立可留痕的整改机制（整改台账、整改报告、复测记录）比事后补充说明更为有效。

七、企业对照整改清单与常见问题

对照整改清单（以修正后条文为基准）：

1. 确认本企业是否属于关键信息基础设施运营者。属于的，按更严格的安全防护要求逐项核查，并建立专门的安全管理机构与责任人制度。
2. 落实网络安全责任制，明确主要负责人的责任与内部问责机制，形成可查的责任文件。
3. 完善数据泄露与网络安全事件的监测、报告与应急处置流程，明确报告路径与时限。
4. 核查个人信息处理活动的合法性基础、告知同意文本、单独同意情形与影响评估记录。
5. 核查数据出境活动是否已履行安全评估申报、标准合同订立或者保护认证，并留存评估报告。
6. 核查所有网络关键设备与网络安全专用产品的安全认证、安全检测证明，并在采购与外包合同中固化核验义务。
7. 建立内部整改机制，确保发现问题后能够「主动消除危害后果」并留痕。

问：修正后是不是所有违法行为的罚款都提高了？

不是一概提高，而是分级提额。处罚幅度与主体类型（是否关键信息基础设施运营者）、违法情节（是否拒不改正、情节是否严重）以及后果（是否造成大量数据泄露、关键信息基础设施是否丧失功能）挂钩，不同情形落入不同档次。

问：人工智能条款是否意味着现在就要做 AI 合规？

该条款属于原则性依据。具体义务仍取决于企业是否提供生成式人工智能服务、是否使用算法推荐、是否处理个人信息训练模型，对应《生成式人工智能服务管理暂行办法》《互联网信息服务算法推荐管理规定》及人工智能生成合成内容标识相关要求。建议按其适用性逐项判断，而非笼统对标。

问：企业主动整改能否免罚？

修正后明确，具有《行政处罚法》规定的从轻、减轻或者不予处罚情形的，依照其规定处理。主动消除危害后果、及时改正且未造成危害后果等情形在裁量中影响明显，但具体是否免罚需由执法机关依法认定。

问：修正后的法律与《数据安全法》《个人信息保护法》冲突怎么办？

三部法律各有调整范围，修正后的《网络安全法》明确要求网络运营者处理个人信息同时遵守《民法典》《个人信息保护法》等规定。实务中应按最严格的标准执行，并分别留存各自的合规记录。

问：修正是否涉及境外机构的管辖？

《网络安全法》原有的境外危害我国网络安全活动的法律责任与制裁措施规定在本次修正后继续保留，具体条文序号因修正发生位移，需以官方公布文本核对。

八、法条与依据核验

法条与依据核验：《全国人民代表大会常务委员会关于修改〈中华人民共和国网络安全法〉的决定》（2025年10月28日第十四届全国人民代表大会常务委员会第十八次会议通过，自2026年1月1日起施行）；修正后的《中华人民共和国网络安全法》（共七章七十四条）关于坚持党的领导与推进网络强国建设的规定、第二十条（人工智能安全与发展）、第四十二条（网络运营者处理个人信息应遵守本法和《民法典》《个人信息保护法》等规定，合法、正当、必要原则，公开规则、明示目的方式和范围并经同意）、第六十一条（关键信息基础设施运营者法律责任与罚款上限提升）、第六十三条（网络关键设备和网络安全专用产品专门罚则）、第六十七条（细化责任标准，与《关键信息基础设施安全保护条例》衔接）；《中华人民共和国行政处罚法》关于从轻、减轻和不予处罚的规定；《中华人民共和国个人信息保护法》第六条、第十三条、第二十八条、第二十九条、第五十五条、第六十六条；《促进和规范数据跨境流动规定》（国家互联网信息办公室令第16号，2024年3月22日公布施行）关于应当申报数据出境安全评估、订立个人信息出境标准合同或者通过个人信息保护认证的范围与豁免情形。特别说明：本文所引条文序号均按修正后的现行有效版本标注；《网络安全法》经本次修正后条文序号发生位移，引用修正前文本的条号会导致指向错误，办理具体事项时应以中国人大网、国家网信办公布的现行文本核对。本文第四节所列罚款幅度的归纳来自国家网信办公开发布的修法解读，具体适用应以后续配套规定与执法裁量基准为准；第五节关于境外机构管辖规定的具体条文序号本文未能核实，已在正文作相应说明；本文不引用任何具体案号，企业整改方案应结合自身主体类型、数据处理活动与安全事件风险等级制定，并请以官方公布文本为准。