贝拉比专栏 | 区块链企业将如何适用《网络安全审查办法》？

作者按：在《网络安全审查办法》下，相关区块链企业可能构成关键信息基础设施运营者或网络产品和服务提供者，其不仅需要了解该法已经规定的内容，还需要知晓其中尚待明确的事项，并应关注未来的立法进展，以做好应对工作。

2020年4月27日，包括国家网信办、发改委、工信部、公安部、安全部、财政部、商务部、央行、市场监督管理局、广电部门、保密局、密码管理局在内的12个政府部门联合发布了《网络安全审查办法》（“《办法》”）。该办法将于6月1日起实施。

《办法》是2016年11月出台的《网络安全法》（“《网安法》”）的配套规定，将取代网信办在2017年5月发布的《网络产品和服务安全审查办法（试行）》（“试行办法”），旨在进一步确保关键信息基础设施供应链安全，维护国家安全。《办法》本身虽然内容不多，却意义重大，将严格规范相关关键信息基础设施运营者和网络产品和服务提供者的购销行为。

然而，《办法》虽然在试行办法的基础上，搭建了更为完善的审查框架，但是在一些核心概念（如“关键信息基础设施”、“网络产品和服务”）的界定上仍有不甚明确的地方，可能导致法规适用上的不确定性。

对于从事区块链相关业务的企业而言，如果其落入《办法》下的关键信息基础设施运营者或网络产品和服务提供者的范围，并且相关购销行为将影响或可能影响国家安全的，则也需遵守《办法》的规定。为合规开展业务之目的，该等区块链企业也有必要了解自身是否属于《办法》所规范的关键信息基础设施服务运营者、或网络产品和服务提供者，以及作为该等主体需要履行的主要义务等。

一、   认定是否属于关键信息基础设施服务运营者

《办法》未对“关键信息基础设施运营者”进行定义，而是规定由关键信息基础设施保护工作部门认定。但是，认定的标准是什么？《办法》没有明确规定。

网信办有关负责人就《办法》相关问题答记者问时，提到了电信、广播电视、能源、金融、公路水路运输、铁路、民航、邮政、水利、应急管理、卫生健康、社会保障、国防科技工业等重要网络和信息系统的运营者。[1]但是，其回答仅是对相关行业领域的列举，而且还有“等”字做兜底，并没有直接回答上述问题。并且，其在答记者问中引用的规定《关于关键信息基础设施安全保护工作有关事项的通知》也未在公开渠道发布。

关于“关键信息基础设施”概念和认定标准，目前可以参考的是2016年6月中央网络安全和信息化领导小组办公室制定的《国家网络安全检查操作指南》（“《操作指南》”；效力级别低）、2016年11月全国人大常委会发布的《网安法》（为法律，位阶高）、网信办会同相关部门起草并在2017年7月公开征求意见的《关键信息基础设施安全保护条例（征求意见稿）》（“《条例草稿》”，目前尚未出台；根据《网安法》授权制定）。总体而言，该等法律规范均采用了行业标准（即，列举相关行业领域）和后果标准（即，是否可能严重危害国家安全、国计民生、公共利益）这两项基本标准，但是行业范围有所不同。

其中，《操作指南》所规定的“关键信息基础设施”的行业范围最广，[2]网站类（如企业网站）、平台类（如即时通信、网上支付、网上购物、搜索引擎）、生产业务类（如大数据中心、云计算平台等）都可能成为关键信息基础设施。

而《网安法》作为基础法律，其规定最为原则，列举了公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，并授权国务院制定关键信息基础设施的具体范围。[3]

《条例草稿》则主要更新和细化了《网安法》下的行业标准，以“列举+兜底”方式新增了国防科工、大装备等行业类别，且将“公共通信和信息服务”细化为“电信网、广播电视网、互联网等信息网络，以及提供云计算、大数据和其他大公共信息网络服务的单位”，而且还有“其他重点单位”的兜底条款，并规定国家网信办会同国务院电信主管部门、公安部门等部门制定关键信息基础设施识别指南（“识别指南”）。总体看来，《条例草稿》所规定的关键信息基础设施范围也比较宽泛，除了网信办负责人在答记者问中列举的几个行业领域外，还包括互联网、云计算、大数据及其他大信息网络服务企业。[4]

由于《办法》未对关键信息基础设施的范围作出明确规定，《网安法》规定比较原则、《操作指南》位阶较低，而《条例草稿》尚未生效，其中规定的识别指南也未出台，相关区块链企业（如在供应链金融、电子政务中采用的联盟链系统、区块链跨境支付、区块链即服务（BaaS）平台等）是否会构成“关键信息基础设施运营者”，存在不确定性。相关区块链企业需关注《条例草稿》、识别指南等规范的立法进展。

二、   判断是否属于网络产品和服务提供者

根据《办法》，“网络产品和服务”主要指核心网络设备、高性能计算机和服务器、大容量存储设备、大数据库和应用软件、网络安全设备、云计算服务，以及其他对关键信息基础设施安全有重要影响的网络产品和服务。

虽然《办法》以列举的方式规定了“网络产品和服务”的概念，但是，该概念一些界定的定性上仍然缺乏明确的标准（比如“核心”如何认定？“高性能”是多高？“大容量”和“大”是多大？），并且，“其他对关键信息基础设施安全有重要影响的网络产品和服务”的兜底性内容也使得产品和服务的范围过于宽泛，可能导致实践中因缺乏判定标准而难以确定适用范围，给采购商和供应商都带来认定上的不确定性。

对于业务涉及提供宽泛意义上的网络产品和服务的区块链企业（如钱包等dApp、BaaS服务等）而言，同样会面临认定上的不确定性。笔者推测，相关部门未来应该会制定相关标准或提供相关产品和服务名录供企业参考，建议相关区块链企业关注立法进展。

三、了解作为关键信息基础设施服务运营者或网络产品和服务提供者的主要义务

1.作为关键信息基础设施服务运营者

(1)预判风险和申报审查

关键信息基础设施服务运营者应当预判该产品和服务投入使用后可能带来的国家安全风险。

运营者预判风险后认为影响或者可能影响国家安全的，运营者应当向网络安全审查办公室申报网络安全审查。

(2)了解网络产品和服务提供者本身的合规情况

网络安全审查重点评估运营者采购网络产品和服务可能带来的国家安全风险，主要考虑的因素一方面是采购的网络产品和服务的安全性、可控性，另一方面是网络产品和服务提供者本身遵守中国法律、行政法规、部门规章的情况。[5]

这对运营者遴选供应商提出了要求，如果预判采购行为可能需要网络安全审查，运营者需了解网络产品和服务提供者的本身的合法合规情况。如果产品和服务提供者存在合规性瑕疵（如作为区块链信息服务提供者未在网信部门进行备案、参与ICO等），可能导致运营者通不过网络安全审查。

(3)通过协议要求网络产品和服务提供者配合审查

运营者应通过采购文件、协议等要求网络产品和服务提供者配合网络安全审查，包括要求网络产品和服务提供者承诺不利用提**品和服务的便利条件非法获取用户数据、非法控制和操纵用户设备，无正当理由不中断产品供应或必要的技术支持服务等。

(4)督促产品和服务提供者遵守承诺

运营者应当敦促产品和服务提供者履行网络安全审查中作出的承诺。

2.作为网络产品和服务提供者

(1)确保本身业务合规

如上所述，网络安全审查的重点除了网络产品和服务的安全性、可控性外，还包括产品和服务提供者本身遵守中国法律、行政法规、部门规章的情况。

据此，如果相关区块链企业拟成为关键信息基础设施运营者的供应商，出于可能需要进行国家安全审查的考虑，除了需确保其产品和服务安全、可控外，还应注意本身的合规性状况。如果区块链企业存在相关违规情况（如未按网信办的要求进行区块链信息服务备案、参与ICO或变相发币等），将难以作为供应商，参与关键信息基础设施业务。

(2)在协议中作出相关承诺

如上所述，网络产品和服务提供者在与关键信息基础设施运营者所签署的相关采购文件、协议中，需要作出其不会利用提**品和服务的便利条件非法获取用户数据、非法控制和操纵用户设备，无正当理由不中断产品供应或必要的技术支持服务等。

(3)在审查过程中提供配合

根据《办法》，网络安全审查办公室在进行网络安全审查的过程中，要求提供补充材料的，网络产品和服务提供者也应当予以配合。

鉴于在现行法律框架下，网络安全审查的监管力度在加强，而关键信息基础设施运营者、网络产品和服务提供者的范围认定存在模糊性，建议相关区块链企业结合自身的业务领域，一方面参考现有的规定进行初步判断，另一方面密切关注立法进展，与行业主管部门做好沟通。如果预判可能落入《办法》下的义务主体的，为不影响业务发展，错失商业机会，应提前加强网络安全方面的合规工作（如作为采购商，修改遴选供应商的内部制度和采购协议范本等；作为供应商，加强产品和服务的安全性、纠正合规性瑕疵等）。

作者：张凌，瀚一律师事务所合伙人

声明：本文仅代表作者个人观点，不代表所在机构意见。文中内容不构成法律意见和投资建议。如需转载或引用本文的任何内容，请列明作者姓名。

本文注释：

[1] 网信办有关负责人就《办法》相关问题答记者问，

[2] 《操作指南》第3.1条规定：“关键信息基础设施”是指面向公众提供网络信息服务或支撑能源、通信、金融、交通、公用事业等重要行业运行的信息系统或工业控制系统，且这些系统一旦发生网络安全事故，会影响重要行业正常运行，对国家政治、经济、科技、社会、文化、国防、环境以及人民生命财产造成严重损失。关键信息基础设施包括网站类，如党政机关网站、企事业单位网站、新闻网站等；平台类，如即时通信、网上购物、网上支付、搜索引擎、电子邮件、论坛、地图、音视频等网络服务平台；生产业务类，如办公和业务系统、工业控制系统、大数据中心、云计算平台、电视转播系统等。

[3] 《网安法》第31条规定：国家对公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施，在网络安全等级保护制度的基础上，实行重点保护。关键信息基础设施的具体范围和安全保护办法由国务院制定。国家鼓励关键信息基础设施以外的网络运营者自愿参与关键信息基础设施保护体系。

[4] 《条例草稿》第18条规定：下列单位运行、管理的网络设施和信息系统，一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的，应当纳入关键信息基础设施保护范围：

（一）政府机关和能源、金融、交通、水利、卫生医疗、教育、社保、环境保护、公用事业等行业领域的单位；

（二）电信网、广播电视网、互联网等信息网络，以及提供云计算、大数据和其他大公共信息网络服务的单位；

（三）国防科工、大装备、化工、食品药品等行业领域科研生产单位；

（四）广播电台、电视台、通讯社等新闻单位；

（五）其他重点单位。

[5] 《办法》第9条规定：网络安全审查重点评估采购网络产品和服务可能带来的国家安全风险，主要考虑以下因素：

（一）产品和服务使用后带来的关键信息基础设施被非法控制、遭受干扰或破坏，以及重要数据被窃取、泄露、毁损的风险；

（二）产品和服务供应中断对关键信息基础设施业务连续性的危害；

（三）产品和服务的安全性、开放性、透明性、来源的多样性，供应渠道的可靠性以及因为政治、外交、贸易等因素导致供应中断的风险；

（四）产品和服务提供者遵守中国法律、行政法规、部门规章情况；

（五）其他可能危害关键信息基础设施安全和国家安全的因素。

本文链接：
转载请注明文章出处