2019年5月24日，国家互联网信息办公室发布了与国家发展和改革委员会、工业和信息化部、公安部、国家安全部、商务部、财政部、中国人民银行、国家市场监督管理总局、国家广播电视总局、国家保密局、国家密码管理局等12个部委局联合起草的《网络安全审查办法（征求意见稿）》（以下简称《办法》），向社会公开征求意见。《办法》通过后将替代2017年6月1日实施的《网络产品和服务安全审查办法（试行）》。本文对两个办法的条文进行了比对（附后），并对新《办法》涉及的六大重要变化进行评述。具体如下：

　　新办法在适用范围上的重大变化是：明确办法只规范关键信息基础设施运营者采购网络产品和服务的行为（第一条、第二条），与现行办法规定的三层制度相比更为聚焦，这三层分别是：第一层是针对所有网络产品和服务；第二层是关系国家安全的网络和信息系统采购的重要网络产品和服务；第三层是重要行业和领域以及关键信息基础设施的运营者采购网络产和服务，可能影响国家安全的。

　　新办法对审查时应当考虑的原则进行了详细规定。包括：防范网络安全风险与促进先进技术应用、增强公正透明与保护知识产权“两个相统一”、坚持事前审查与持续监管、企业承诺与社会监督“两个相结合”和从产品和服务安全性、可能对国家安全带来的风险隐患等“多方面综合分析”（第三条），与现行办法规定的“三个相结合”和“两个审查”相比更为科学、周全。

　　新办法一是删除了现有办法规定的“国家互联网信息办公室会同有关部门成立网络安全审查委员会”制度，改为建立了“统一领导”制度，明确中央网络安全和信息化委员会统一领导网络安全审查工作（第四条）；二是明确了现行办法中的“会同有关部门”具体是指国家互联网信息办公室、国家发展和改革委员会、工业和信息化部等12家单位建立工作机制，明确了职责（第五条）；三是明确将网络安全审查办公室设在国家互联网信息办公室，并规定了办公室的职责，除了现行办法规定的组织实施网络安全审查以外，还新增了制定网络安全审查相关制度规定和工作程序、监督审查决定的实施等职责（实际上是承继了原网络安全审查委员会的职责）（第五条）。

　　新办法改变了现行办法“集中+分散”的管理体系，删除了老办法中由各主管部门对金融、电信、能源、交通等重点行业和领域分别组织开展审查工作的规定，明确对于所有的网络安全审查工作，统一按照第四条中央网络安全和信息化委员会统一领导网络安全审查工作的规定进行办理，建立了统一的管理体系，不再对是否属于金融、电信、能源、交通等重点行业或者领域进行区分，对于网络安全审查的管理更为集中、有力。

　　一是删除了现行办法中的第三方评价、专家委员会评估等程序；二是在第八条、第九条、第十一条、第十二条、第十三条、第十四条新增了对网络安全审查程序的规定，对于审查时限、要提供的材料作了明确规定，方便运营者申报网络安全审查，也防止审查久拖不决；三是新增了两种启动审查的理由：一是关键信息基础设施运营者自己评估后主动向向网络安全审查办公室申报网络安全审查启动审查程序（第六条）；二是网络安全审查工作机制成员单位认为影响或可能影响国家安全的网络产品和服务采购活动、信息技术服务活动，网络安全审查办公室按程序报中央网络安全和信息化委员会批准后启动审查程序（第十九条）。

　　新办法规定了七项网络安全审查中应当考虑的因素，新增了导致大量个人信息和重要数据泄露、丢失、毁损、出境等的可能性；因为政治、外交、贸易等非技术因素导致产品和服务供应中断的可能性；对国防军工、关键信息基础设施相关技术和产业的影响；产品和服务提供者受外国政府资助、控制等情况等多项考虑因素。与老办法相比新办法网络安全审查主要考虑因素更为全面，尤其是对于实践中出现的新情况新问题进行了归纳和提升。

　　此外，考虑到2017年6月1日实施的《网络产品和服务安全审查办法（试行）》是以规范性文件的形式发布，而《办法（征求意见稿）》目前在国务院部门规章草案公开征求意见系统公开征求意见，按照立法程序，后续将可能以联合部门规章的形式发布。具有规章形式的《办法》无疑将具有更高的权威，将作为我国网络安全审查领域的首部专门立法，发挥重要作用。

　　第一条 为提高网络产品和服务安全可控水平，防范网络安全风险，维护国家安全，依据《中华人民共和国国家安全法》《中华人民共和国网络安全法》等法律法规，制定本办法。

　　第一条 为提高关键信息基础设施安全可控水平，维护国家安全，依据《中华人民共和国国家安全法》《中华人民共和国网络安全法》等法律法规，制定本办法。

　　第二条 关系国家安全的网络和信息系统采购的重要网络产品和服务，应当经过网络安全审查。

　　第二条 关键信息基础设施运营者（以下简称运营者）采购网络产品和服务，影响或可能影响国家安全的，应当按照本办法进行网络安全审查。法律、行政法规另有规定的，依照其规定。

　　第三条 坚持企业承诺与社会监督相结合，第三方评价与政府持续监管相结合，实验室检测、现场检查、在线监测、背景调查相结合，对网络产品和服务及其供应链进行网络安全审查。

　　第三条 网络安全审查坚持防范网络安全风险与促进先进技术应用、增强公正透明与保护知识产权相统一，坚持事前审查与持续监管、企业承诺与社会监督相结合，从产品和服务安全性、可能对国家安全带来的风险隐患等方面进行综合分析评判。

　　第四条 网络安全审查重点审查网络产品和服务的安全性、可控性，主要包括： （一）产品和服务自身的安全风险，以及被非法控制、干扰和中断运行的风险； （二）产品及关键部件生产、测试、交付、技术支持过程中的供应链安全风险； （三）产品和服务提供者利用提供产品和服务的便利条件非法收集、存储、处理、使用用户相关信息的风险； （四）产品和服务提供者利用用户对产品和服务的依赖，损害网络安全和用户利益的风险； （五）其他可能危害国家安全的风险。

　　第五条 国家互联网信息办公室会同有关部门成立网络安全审查委员会，负责审议网络安全审查的重要政策，统一组织网络安全审查工作，协调网络安全审查相关重要问题。 网络安全审查办公室具体组织实施网络安全审查。

　　第五条 国家互联网信息办公室会同国家发展和改革委员会、工业和信息化部、公安部、国家安全部、商务部、财政部、中国人民银行、国家市场监督管理总局、国家广播电视总局、国家保密局、国家密码管理局建立国家网络安全审查工作机制。网络安全审查办公室设在国家互联网信息办公室，负责组织制定网络安全审查相关制度规定和工作程序、组织网络安全审查、监督审查决定的实施。

　　第六条 网络安全审查委员会聘请相关专家组成网络安全审查专家委员会，在第三方评价基础上，对网络产品和服务的安全风险及其提供者的安全可信状况进行综合评估。

　　第六条 运营者采购网络产品和服务时，应预判产品和服务上线运行后带来的潜在安全风险，形成安全风险报告。可能导致以下情况的，应当向网络安全审查办公室申报网络安全审查： （一）关键信息基础设施整体停止运转或主要功能不能正常运行； （二）大量个人信息和重要数据泄露、丢失、毁损或出境； （三）关键信息基础设施运行维护、技术支持、升级更新换代面临供应链安全威胁； （四）其他严重危害关键信息基础设施安全的风险隐患。

　　第七条 国家依法认定网络安全审查第三方机构，承担网络安全审查中的第三方评价工作。

　　第七条 对于申报网络安全审查的采购活动，运营者应通过采购文件、合同或其他有约束力的手段要求产品和服务提供者配合网络安全审查，并与产品和服务提供者约定网络安全审查通过后合同方可生效。

　　第八条 网络安全审查办公室按照国家有关要求、根据全国性行业协会建议和用户反映等，按程序确定审查对象，组织第三方机构、专家委员会对网络产品和服务进行网络安全审查，并发布或在一定范围内通报审查结果。

　　第八条 运营者申报网络安全审查时，应当提交以下材料： （一）申报书； （二）本办法第六条中的安全风险报告； （三）采购合同、协议等； （四）网络安全审查办公室要求的其他材料。

　　第九条 金融、电信、能源、交通等重点行业和领域主管部门，根据国家网络安全审查工作要求，组织开展本行业、本领域网络产品和服务安全审查工作。

　　第九条 网络安全审查办公室受理网络安全审查后，应在30个工作日内完成初步审查，情况复杂的可延长15个工作日。

　　第十条公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他关键信息基础设施的运营者采购网络产品和服务，可能影响国家安全的，应当通过网络安全审查。产品和服务是否影响国家安全由关键信息基础设施保护工作部门确定。

　　第十条 网络安全审查重点评估采购活动可能带来的国家安全风险，主要考虑以下因素： （一）对关键信息基础设施持续安全稳定运行的影响，包括关键信息基础设施被控制、被干扰和业务连续性被损害的可能性； （二）导致大量个人信息和重要数据泄露、丢失、毁损、出境等的可能性； （三）产品和服务的可控性、透明性以及供应链安全，包括因为政治、外交、贸易等非技术因素导致产品和服务供应中断的可能性； （四）对国防军工、关键信息基础设施相关技术和产业的影响； （五）产品和服务提供者遵守国家法律与行政法规情况，以及承诺承担的责任和义务； （六）产品和服务提供者受外国政府资助、控制等情况； （七）其他可能危害关键信息基础设施安全和国家安全的因素。

　　第十一条 承担网络安全审查的第三方机构，应当坚持客观、公正、公平的原则，按照国家有关规定，参照有关标准，重点从产品和服务及其供应链的安全性、可控性，安全机制和技术的透明性等方面进行评价，并对评价结果负责。

　　第十一条 网络安全审查办公室完成初步审查后，应形成审查结论建议，并送网络安全审查工作机制成员单位征求意见。审查结论建议包括通过审查、附条件通过审查、未通过审查三种情况。 网络安全审查工作机制成员单位应在15个工作日内书面回复意见。网络安全审查工作机制成员单位意见一致的，网络安全审查办公室以书面形式将审查结论反馈运营者；意见不一致的，进入特别审查程序并通知运营者。

　　第十二条 网络产品和服务提供者应当对网络安全审查工作予以配合，并对提供材料的真实性负责。 第三方机构等相关单位和人员对审查工作中获悉的信息等承担安全保密义务，不得用于网络安全审查以外的目的。

　　第十二条 进入特别审查程序的，网络安全审查办公室应进一步听取相关部门、专业机构、专家意见，进行深入分析评估，形成审查结论建议，征求网络安全审查工作机制成员单位意见后，按程序报中央网络安全和信息化委员会批准。

　　第十四条 网络产品和服务提供者认为第三方机构等相关单位和人员有失客观公正，或未能对审查工作中获悉的信息承担安全保密义务的，可以向网络安全审查办公室或者有关部门举报。

　　第十四条 网络安全审查办公室要求提供补充材料等，运营者应予以配合。审查时间从提交补充材料之日起计算。 运营者应对所提供材料的真实性负责。在审查过程中拒绝按要求提供材料或故意提供虚假材料的，按未通过安全审查处理。

　　第十五条 参与网络安全审查的人员对审查工作中获悉的信息等承担保密义务，不得用于审查以外的目的。

　　第十六条 运营者加强安全管理，督促产品和服务提供者认真履行网络安全审查中作出的承诺。 网络安全审查办公室通过抽查、接受举报等形式加强事中事后监管。

　　第十七条 运营者违反本办法规定的，依照《中华人民共和国网络安全法》第六十五条的规定处理。

　　第十八条 本办法中关键信息基础设施运营者是指经关键信息基础设施保护工作部门认定的运营者。 安全可控是指产品和服务提供者不得利用提供产品和服务的便利条件非法获取用户数据、非法控制和操纵用户设备，不得利用用户对产品和服务的依赖性牟取不正当利益或者迫使用户更新换代等。

　　第十九条 网络安全审查工作机制成员单位认为影响或可能影响国家安全的网络产品和服务采购活动、信息技术服务活动，网络安全审查办公室按程序报中央网络安全和信息化委员会批准，依照本办法进行审查。

　　第二十一条 本办法自 年 月 日起实施，《网络产品和服务安全审查办法（试行）》同时废止。