关键信息基础设施保护100问

原创

计算机与网络安全
计算机与网络安全

计算机与网络安全

2026年11月10日 07:57
山东

去阅读

关键信息基础设施保护100问

本问答以《网络安全法》（2025年修正，2026年1月1日施行）、《数据安全法》、《个人信息保护法》、《密码法》、《关键信息基础设施安全保护条例》（国务院令第745号，2021年9月1日施行）、《网络安全审查办法》、《数据出境安全评估办法》、《关键信息基础设施商用密码使用管理规定》（2025年8月1日施行）以及GB/T 39204—2022《信息安全技术 关键信息基础设施安全保护要求》等现行法律、行政法规、部门规章和国家标准为依据，兼顾在研标准与监管实践趋势。

一、基础概念与定位

1. 什么是关键信息基础设施？

关键信息基础设施，是指公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务、国防科技工业等重要行业和领域的，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的重要网络设施、信息系统等。

2. “关键信息基础设施”与“网络安全等级保护”是什么关系？

两者是并行但衔接的制度。等级保护是面向全社会的基线制度，关基保护是在等级保护基础之上，对识别出的关基对象施加的增强性、专门性保护。关基通常须先落实等级保护要求，再叠加关基的识别、专责机构、年度检测评估、密码应用、供应链审查等更高要求。

3. 关基保护的法律定位是什么？

关基是“网络安全的重中之重”。关基保护制度是《网络安全法》确立的专门制度，《条例》是其基础性配套行政法规，在网络安全法律体系中处于承上启下的关键位置。

4. 关基保护的核心原则有哪些？

《条例》确立的原则包括：综合协调、分工负责、依法保护；强化和落实运营者主体责任；充分发挥政府及社会各方面作用。GB/T 39204—2022进一步提炼为三项原则：以关键业务为核心的整体防控、以风险管理为导向的动态防护、以信息共享为基础的协同联防。

5. 关基保护的“六大环节”是什么？

GB/T 39204—2022将关基安全保护工作划分为六个环节：分析识别、安全防护、检测评估、监测预警、主动防御、事件处置。关基标准体系框架也围绕这六个方面展开，并增加“基础类”，形成七个方面。

6. 关基保护与普通网络运营者保护的主要区别在哪里？

主要区别体现在：专门安全管理机构与负责人背景审查、年度网络安全检测评估、密码应用“三同步一评估”、采购可能影响国家安全的网络产品和服务须经网络安全审查、数据出境须申报安全评估、事件报告义务更严格、法律责任更重等方面。

7. 关基保护中“运营者”指的是谁？

关基运营者是指经保护工作部门认定并通知的、对关基设施负有安全保护主体责任的组织。认定结果由保护工作部门通知运营者，并向国务院公安部门通报。

8. 关基保护是否仅限于“被认定”的设施？

保护义务以被认定为关基的对象为核心，但运营者的安全管理体系、供应链管理、数据保护等实践往往需要覆盖关联系统和支撑网络。运营者不应将保护范围机械地限缩为“被点名”的单一系统，而应以关键业务为主线识别关联资产和依赖关系。

二、法规与标准体系

9. 关基保护领域的基础性法律是哪一部？

《网络安全法》。2017年6月1日施行的《网络安全法》首次正式确立关基概念和原则要求；2025年10月28日全国人大常委会通过修改决定，修正后的《网络安全法》自2026年1月1日起施行。

10. 2025年《网络安全法》修正对关基保护有哪些直接影响？

最直接的改变是大幅提高罚则：明确造成关基丧失主要功能等特别严重危害网络安全后果的，处二百万元以上一千万元以下罚款；同时对关基安全责任设置了更为严格的处罚标准，并强化了与《数据安全法》《个人信息保护法》等法律的衔接协调。

11. 《关键信息基础设施安全保护条例》的法律位阶和结构是什么？

《条例》是国务院行政法规，2021年8月17日公布，2021年9月1日施行。全文共六章五十一条，涵盖总则、关基认定、运营者责任义务、保障和促进、法律责任、附则。

12. 关基保护中“监督管理体制”是如何安排的？

在国家网信部门统筹协调下，国务院公安部门负责指导监督关基安全保护工作；国务院电信主管部门和其他有关部门在各自职责范围内负责保护和监督管理；省级人民政府有关部门依据职责实施保护和监督管理。

13. 关基认定权限在哪个机关？

关基认定权限在行业和领域的保护工作部门。保护工作部门根据本行业、本领域认定规则，综合考量网络设施、信息系统对关键核心业务的重要程度、破坏后的危害程度以及关联性影响，认定后通知运营者并向国务院公安部门通报。

14. 目前关基保护领域最重要的国家标准是哪一项？

GB/T 39204—2022《信息安全技术 关键信息基础设施安全保护要求》，2022年10月12日发布，是关基安全保护领域首项国家标准，规定了分析识别、安全防护、检测评估、监测预警、主动防御、事件处置六个方面的安全要求，包含111条具体安全要求。

15. 关基标准体系目前包含哪些在研标准？

在GB/T 39204—2022基础上，正在加快推进6项标准：《关键信息基础设施边界识别方法》《关键信息基础设施安全保护能力指标体系》《关键信息基础设施安全监测预警实施指南》《关键信息基础设施安全主动防御实施指南》《关键信息基础设施信息技术产品供应链安全要求》《关键信息基础设施安全检测评估方法》，覆盖边界确定、能力评价、监测预警、主动防御、供应链安全和检测评估等环节。

16. 关基安全检测评估是否有专门的行业标准？

有。公安部技术监督委员会发布了GA/T 2182—2024《关键信息基础设施安全测评要求》行业标准，自2025年5月1日起实施，内容涵盖安全测评的多个控制点。

17. 《数据安全法》对关基运营者有哪些特别约束？

关基运营者在数据处理活动中除遵守一般数据安全义务外，还须履行更严格的管理义务。不履行相关数据安全保护义务的，可处五万元以上五十万元以下罚款，对直接负责人员可处一万元以上十万元以下罚款。

18. 《个人信息保护法》对关基运营者是否有专门规定？

关基运营者处理个人信息同样受《个人信息保护法》约束；当其向境外提供个人信息时，还触发《数据出境安全评估办法》下的申报义务，须通过省级网信部门向国家网信部门申报安全评估。

19. 《密码法》与关基保护如何衔接？

《密码法》确立商用密码应用安全性评估制度；2025年8月1日施行的《关键信息基础设施商用密码使用管理规定》将其具体化为关基场景下的“三同步一评估”制度，是密码法与关基保护制度衔接的核心规范。

20. 关基保护是否涉及“网络安全审查”制度？

涉及。关基运营者采购网络产品和服务，影响国家安全的，应当依照《网络安全审查办法》进行网络安全审查；这是关基供应链安全的核心事前控制机制。

三、认定与范围

21. 关基认定的基本逻辑是什么？

认定以“关键业务”为起点：先识别本行业、本领域的关键核心业务，再识别支撑该业务持续运行所必需的网络设施和信息系统，进而评估一旦遭到破坏、丧失功能或数据泄露可能造成的危害后果，达到法定严重程度的，纳入关基范围。

22. 哪些行业和领域属于关基认定的重点范围？

《条例》列举的重点行业和领域包括：公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务、国防科技工业。列举并非穷尽，其他行业和领域一旦符合法定危害后果标准的，同样可能被认定。

23. 认定中“危害后果”的判断维度有哪些？

主要包括：对国家安全的影响、对国计民生的影响、对公共利益的影响，以及与其他行业和领域的关联性影响。关联性影响意味着一个设施可能因“连锁效应”而被认定，而不仅因其自身直接功能。

24. 运营者如何知道自己是否被认定为关基？

保护工作部门作出认定后，将认定结果通知运营者。运营者收到通知即产生相应的法定义务。未被通知但业务性质可能符合标准的，应主动与保护工作部门沟通确认。

25. 关基认定是“一次认定、永久有效”吗？

不是。关基认定结果实行动态调整。当关基发生较大变化、可能影响认定结果时，运营者负有及时报告保护工作部门的义务；保护工作部门也会根据技术发展、业务变化和国家安全需求对认定结果进行评估更新。

26. 关基发生“较大变化”时运营者应做什么？

运营者应在关基发生较大变化、可能影响认定结果时，及时将相关情况报告保护工作部门。未及时报告的，可依据《条例》第三十九条处以罚款。

27. 运营者合并、分立、解散时，关基如何处置？

发生合并、分立、解散等情况，运营者应及时报告保护工作部门，并按照保护工作部门的要求对关基进行处置。未及时报告或未按要求处置的，同样触发《条例》第三十九条的罚则。

28. 云平台、数据中心是否可能被认定为关基？

可能。关基的对象是“重要网络设施、信息系统”，不限于传统自建机房。承载关键业务的大型云平台、数据中心，如果其破坏或丧失功能达到法定危害程度，可以纳入认定范围。在研的《关键信息基础设施边界识别方法》也从信息流和资产依赖角度为此类场景提供识别方法。

29. 工业互联网平台、人工智能基础设施是否在关基视野内？

从保护制度和标准演进看，新兴数字基础设施的保护需求日益受到重视。工业互联网平台、人工智能基础设施、大数据中心等承载关键业务和大量数据的新型设施，在满足认定标准时具有被纳入关基保护范围的可能性。但具体认定仍须以保护工作部门的认定结论为准，不能仅凭设施类型自行“对号入座”。

30. 关基认定是否会公开名单？

关基具体认定结果通常不向社会公开，而是由保护工作部门通知运营者，并向国务院公安部门通报。运营者基于通知获得明确身份，并据此履行义务。

四、运营者主体责任

31. 关基运营者的“第一责任人”定位是什么？

关基运营者是关基安全保护的第一责任人，对本单位关基安全保护负主体责任。这一主体责任不因采购了第三方服务、使用了云平台或委托了安全运维而转移或免除。

32. 运营者必须设置什么样的专门机构？

运营者应当设置专门安全管理机构，具体负责本单位关基安全保护工作。该机构不是挂靠或兼职机构，而是承担关基保护组织协调、制度落实、风险评估、事件报告等职责的实体性机构。

33. 专门安全管理机构的负责人和关键岗位人员有什么特殊要求？

运营者应当对专门安全管理机构负责人和关键岗位人员进行安全背景审查，审查时公安机关、国家安全机关应当予以协助。未进行安全背景审查的，构成《条例》第三十九条项下的违法情形。

34. 哪些事项的决策必须有专门安全管理机构参与？

开展与网络安全和信息化有关的决策，应当有专门安全管理机构人员参与。未做到的，可依据《条例》第三十九条处罚。

35. 专门安全管理机构未履行职责的后果是什么？

专门安全管理机构未履行《条例》第十五条规定职责的，构成违法情形，可对运营者处十万元以上一百万元以下罚款，对直接负责的主管人员处一万元以上十万元以下罚款。

36. 运营者需要建立哪些基本制度？

至少应包括：网络安全保护制度和责任制、安全监测制度、风险评估制度、事件报告制度、供应链安全管理制度、密码使用管理制度、数据分类分级保护制度、安全培训制度、应急演练制度等。制度应当与关基的业务特点和安全需求相匹配，避免“有制度无执行”。

37. 关基安全保护措施“三同步”要求是什么？

安全保护措施应当与关基同步规划、同步建设、同步使用。未做到“三同步”的，依据《条例》第三十九条处罚。这是关基保护的基础性要求，贯穿设施全生命周期。

38. 运营者对安全检测评估中发现的问题负有什么义务？

运营者应当对发现的安全问题及时整改，并按照保护工作部门要求报送情况。未整改或未按要求报送的，构成违法情形。

39. 运营者是否必须每年进行网络安全检测评估？

是。运营者应当对关基每年至少进行一次网络安全检测和风险评估。这是法定的最低频次要求，运营者可根据风险状况和业务重要性提高频次。

40. 运营者配合监督检查的义务包括什么？

运营者对保护工作部门开展的关基网络安全检查检测工作，以及公安、国家安全、保密行政管理、密码管理等有关部门依法开展的检查工作，应当予以配合。不予配合且拒不改正的，可处五万元以上五十万元以下罚款，对直接责任人员处一万元以上十万元以下罚款。

五、商用密码应用

41. 关基商用密码使用的核心制度是什么？

“三同步一评估”：同步规划、同步建设、同步运行密码保障系统，并每年至少开展一次商用密码应用安全性评估（密评）。

……

关键信息基础设施保护100问 完整内容查看 👇

点击加入「商密信创等保关保」查看全文

📁（等级保护、商用密码、信创、关保）相关资料，已收录于「商密信创等保关保」，每天更新，成员可随时下载/查看。

加入网络安全AI安全群

-