4月27日下午，國家互聯(lián)網(wǎng)信息辦公室、國家發(fā)改委等12個部門聯(lián)合發(fā)布了《網(wǎng)絡安全審查辦法》（以下簡稱“《辦法》”），確認國家互聯(lián)網(wǎng)信息辦公室下設的網(wǎng)絡安全審查辦公室作為網(wǎng)絡安全審查的監(jiān)管部門，負責制定網(wǎng)絡安全審查相關制度規(guī)范，組織網(wǎng)絡安全審查，而被審查主體關鍵信息基礎設施運營者（或簡稱“運營者”）則對其采購網(wǎng)絡產(chǎn)品和服務負有預判風險、提前申報審查的義務?！掇k法》將于2020年6月1日正式實施，《網(wǎng)絡產(chǎn)品和服務安全審查辦法（試行）》（以下簡稱“《施行辦法》”）同時廢止。

 《辦法》與《試行辦法》相比，針對性更為突出，也更具有操作性。從適用范圍，到審查對象、審查機構、審查流程等，都有更加明確和詳細的規(guī)定。然而，筆者認為，《辦法》最大的價值在于塑造一種新的網(wǎng)絡安全觀。在復雜的國際大背景下，規(guī)范關鍵信息基礎設施運營者采購網(wǎng)絡產(chǎn)品和服務，維護網(wǎng)絡空間的基礎安全架構。

 一、制度價值目標的完善與“新網(wǎng)絡安全觀”的構建

 在《試行辦法》中，核心的價值觀念目標側(cè)重于技術安全，而《辦法》則更加側(cè)重供應鏈安全和關鍵網(wǎng)絡設備的自主可控。

《試行辦法》第一條開宗明義規(guī)定“為提高網(wǎng)絡產(chǎn)品和服務安全可控水平，防范網(wǎng)絡安全風險…制定本辦法?！薄对囆修k法》雖然提到了全面安全的觀念，但在更加偏重技術風險和信息安全風險，對供應鏈安全風險規(guī)定較為簡單。如《試行辦法》其第四條規(guī)定：網(wǎng)絡安全審查重點審查網(wǎng)絡產(chǎn)品和服務的安全性、可控性，主要包括 （一）產(chǎn)品和服務自身的安全風險，以及被非法控制、干擾和中斷運行的風險；（二）產(chǎn)品及關鍵部件生產(chǎn)、測試、交付、技術支持過程中的供應鏈安全風險； （三）產(chǎn)品和服務提供者利用提供產(chǎn)品和服務的便利條件非法收集、存儲、處理、使用用戶相關信息的風險；（四）產(chǎn)品和服務提供者利用用戶對產(chǎn)品和服務的依賴，損害網(wǎng)絡安全和用戶利益的風險。其中僅有第（二）項涉及供應鏈安全。與美國美國參議院于2020年2月27日批準的《安全和可信電信網(wǎng)絡法》（Secure and Trusted Telecommunications Networks Act）相比，技術性更強，而保護供應鏈安全的屬性則偏弱。《試行辦法》與美國《安全和可信電信網(wǎng)絡法》對于電信及網(wǎng)絡產(chǎn)品準入安全審查采用的價值判斷標準是不同的，中國偏重于從技術標準認定準入標準，客觀性更強；而美國則以認定企業(yè)是否威脅國家安全作為準入標準，主觀性更強。

 《辦法》對于《試行辦法》的上述局限性做出了修正?！掇k法》第一條開宗明義的規(guī)定：“為了確保關鍵信息基礎設施供應鏈安全…制定本辦法?！迸c《試行辦法》相比，表述有明顯差異，從“提高網(wǎng)絡產(chǎn)品和服務安全可控水平，防范網(wǎng)絡安全風險”到“關鍵信息基礎設施供應鏈安全”，其所展現(xiàn)的價值目標差異顯而易見。

 在《辦法》第九條則規(guī)定，網(wǎng)絡安全審查重點評估采購網(wǎng)絡產(chǎn)品和服務可能帶來的國家安全風險，主要考慮以下因素：(一)產(chǎn)品和服務使用后帶來的關鍵信息基礎設施被非法控制、遭受干擾或破壞，以及重要數(shù)據(jù)被竊取、泄露、毀損的風險；(二)產(chǎn)品和服務供應中斷對關鍵信息基礎設施業(yè)務連續(xù)性的危害；(三)產(chǎn)品和服務的安全性、開放性、透明性、來源的多樣性，供應渠道的可靠性以及因為政治、外交、貿(mào)易等因素導致供應中斷的風險；(四)產(chǎn)品和服務提供者遵守中國法律、行政法規(guī)、部門規(guī)章情況。

 《辦法》在進行國家安全風險審查時，將“產(chǎn)品和服務供應中斷對關鍵信息基礎設施業(yè)務連續(xù)性的危害”以及“供應渠道的可靠性以及因為政治、外交、貿(mào)易等因素導致供應中斷的風險”，作為安全風險審查的重要內(nèi)容，特別強調(diào)對于產(chǎn)品與服務“供應中斷”風險的審查。而《辦法》對于“供應渠道的可靠性”規(guī)定，應該是與商務部的 “不可靠實體清單”制度相對應的。

 從上述規(guī)定可以看出，《辦法》的頒布，意味著網(wǎng)絡安全觀從更加側(cè)重技術性規(guī)則到更加側(cè)重核心供應鏈“自主可控”。

 二、審查對象的安全判斷維度清晰、聚焦

 與《試行辦法》相比，《辦法》所涉及的審查維度，更加清晰聚焦。兩個辦法對于安全的審查，都涉及“主體”和“網(wǎng)路產(chǎn)品與服務（簡稱“產(chǎn)品”）”兩個安全判斷維度?！对囆修k法》對于這兩個維度的界定不夠清晰，操作性和針對性均較差。

 1、審查對象的主體維度

 《辦法》第二條明確了被審查的主體為關鍵信息基礎設施運營者，第二十條確認了關鍵信息基礎設施運營者是指經(jīng)關鍵信息基礎設施保護工作部門認定的運營者。

 《試行辦法》對于被審查主體的界定不夠清晰，有被擴大理解的空間。如《試行辦法》第二條規(guī)定：“關系國家安全的網(wǎng)絡和信息系統(tǒng)采購的重要網(wǎng)絡產(chǎn)品和服務，應當經(jīng)過網(wǎng)絡安全審查。”在這一規(guī)定中，由于“國家安全”這一界定缺乏必要的標準，似乎所有的信息系統(tǒng)的采購，無論采購方是否屬于關鍵信息基礎設施運營者，都需要實施網(wǎng)絡安全審查?！对囆修k法》第十條規(guī)定：“ 公共通信和信息服務、能源、交通、水利、金融、公共服務、電子政務等重要行業(yè)和領域，以及其他關鍵信息基礎設施的運營者采購網(wǎng)絡產(chǎn)品和服務，可能影響國家安全的，應當通過網(wǎng)絡安全審查。產(chǎn)品和服務是否影響國家安全由關鍵信息基礎設施保護工作部門確定?！眲t提出了“重要行業(yè)和領域”以及“其他關鍵信息基礎設施的運營者”，這兩個表述是否具有同一性？《暫行辦法》的界定并不清晰。《辦法》將審查的對象明確界定為“關鍵信息技術設施運營者”，有利于在執(zhí)法中統(tǒng)一標準，也有利于相關主體對于規(guī)則的準確理解。

 鑒于《網(wǎng)絡安全法》第三十一條規(guī)定關鍵基礎設施的具體范圍和安全保護辦法由國務院制定，且目前尚未正式發(fā)布關鍵信息基礎設施的具體認定細則，對于《辦法》中關鍵信息基礎設施運營者范圍的界定尚未有明確的法規(guī)規(guī)定。針對這一問題，國家互聯(lián)網(wǎng)信息辦公室有關負責人在就《辦法》答記者問中，明確了《辦法》中規(guī)定的應當預判風險申報網(wǎng)絡安全審查的義務主體為“電信、廣播電視、能源、金融、公路水路運輸、鐵路、民航、郵政、水利、應急管理、衛(wèi)生健康、社會保障、國防科技工業(yè)等行業(yè)領域的重要網(wǎng)絡和信息系統(tǒng)運營者”。在關鍵信息基礎設施的具體認定細則正式出臺之前，上述范圍內(nèi)的運營者將作為《辦法》的被審查主體承擔申報審查的義務。

 2、審查對象的產(chǎn)品維度

 對于納入安全審查的網(wǎng)絡產(chǎn)品和服務，《辦法》的規(guī)定也更加突出網(wǎng)絡基礎安全層面?！掇k法》第二十條規(guī)定：“本辦法所稱網(wǎng)絡產(chǎn)品和服務主要指核心網(wǎng)絡設備、高性能計算機和服務器、大容量存儲設備、大型數(shù)據(jù)庫和應用軟件、網(wǎng)絡安全設備、云計算服務，以及其他對關鍵信息基礎設施安全有重要影響的網(wǎng)絡產(chǎn)品和服務。”

 《試行辦法》對于納入安全審查的產(chǎn)品和服務的規(guī)定則較為籠統(tǒng)，僅規(guī)定“重要網(wǎng)絡安全與服務”。該界定不夠清晰和具體，可能會產(chǎn)生擴大適用的情況，從而影響正常的網(wǎng)絡產(chǎn)品及服務采購。

  從《辦法》的規(guī)定可以看出，納入產(chǎn)品審查范圍的設施界定更加清晰，從網(wǎng)絡結(jié)構角度看，涉及到了網(wǎng)絡系統(tǒng)的物理層、數(shù)據(jù)鏈路層、網(wǎng)絡層、傳輸層等基礎層面。從功能角度看，涉及到了信息傳輸、運算、存儲、網(wǎng)絡安全、數(shù)據(jù)庫、云計算等各個重要方面。

 《辦法》在我國開啟“新基建”的關鍵時期發(fā)布，具有積極的規(guī)范意義。從新基建的角度看，毫無疑問，關鍵信息基礎設施運營者將成為“新基建”的主要建設任務承擔者，而對關鍵信息基礎設施安全有重要影響的網(wǎng)絡產(chǎn)品和服務，無疑是保障“新基建”基礎設施安全、可控的基礎。因此，將安全審查聚焦于“關鍵信息基礎設施運營者”采購“對安全有重要影響的網(wǎng)絡產(chǎn)品和服務”，在“新基建”與國際上圍繞信息網(wǎng)絡安全所展開的大博弈背景下，其意義可謂深遠。

 主體與產(chǎn)品兩個維度，其關系具體如下圖示：

 三、審查主體全面覆蓋

 《辦法》第四條規(guī)定：“在中央網(wǎng)絡安全和信息化委員會領導下，國家互聯(lián)網(wǎng)信息辦公室會同中華人民共和國國家發(fā)展和改革委員會、中華人民共和國工業(yè)和信息化部、中華人民共和國公安部、中華人民共和國國家安全部、中華人民共和國財政部、中華人民共和國商務部、中國人民銀行、國家市場監(jiān)督管理總局、國家廣播電視總局、國家保密局、國家密碼管理局建立國家網(wǎng)絡安全審查工作機制?！?/p>

 由上述規(guī)定可以看出，網(wǎng)絡安全審查機制中，中央網(wǎng)絡安全和信息化委員會是領導機構，但并不直接參與審核，而是領導和協(xié)調(diào)審查機制的建立。

 參與審查機制的機構則包括國家互聯(lián)網(wǎng)信息辦公室，以及十一個中央政府職能部門，參與主體職能分布相當廣泛。

 為什么要這樣設立審查機制呢？其核心仍是“新網(wǎng)絡安全觀”的體現(xiàn)。

 網(wǎng)絡產(chǎn)品和服務的采購，必然涉及國家產(chǎn)業(yè)政策、網(wǎng)絡系統(tǒng)維護與管理、網(wǎng)絡系統(tǒng)的信息安全、國家安全、財政資金的使用和劃撥、對外貿(mào)易政策的制定與調(diào)整、金融安全與金融支持、市場秩序的維護與清理、新聞發(fā)布與傳播、保守國家秘密、以及密碼體系的安全與可靠。這些功能，任何一個部門均無法單獨完成，為了避免在安全審查上的漏洞和標準不一，需要建立多部門的強力協(xié)同機制。

 相較之下，《試行辦法》的規(guī)定過于簡單， 僅在第五條規(guī)定，國家互聯(lián)網(wǎng)信息辦公室會同有關部門成立網(wǎng)絡安全審查委員會，負責審議網(wǎng)絡安全審查的重要政策，統(tǒng)一組織網(wǎng)絡安全審查工作，協(xié)調(diào)網(wǎng)絡安全審查相關重要問題。該規(guī)定，對于如何形成安全審查委員會，并沒有制度性的安排，不利于發(fā)揮審查制度的作用。

 四、“多樣、可控”新理念

 具體而言，《辦法》第九條規(guī)定了網(wǎng)絡安全審查過程中，對于國家安全影響的重要考量因素。其中第（三）款的規(guī)定特別值得關注，“產(chǎn)品和服務的安全性、開放性、透明性、來源的多樣性，供應渠道的可靠性以及因為政治、外交、貿(mào)易等因素導致供應中斷的風險?！痹摋l款的關鍵詞包括“來源的多樣性”以及“供應渠道的可靠性”。應該說，這一規(guī)則有深刻的國際信息技術博弈的大背景。近幾年來，中國的網(wǎng)絡設備與服務領域面臨巨大的不確定性，對于國家安全形成一定壓力。如美國政府對于納入“實體清單”的中國企業(yè)或其他機構，在采購美國相關網(wǎng)絡產(chǎn)品或服務時，設置了諸多審查或限制，而這些限制往往與政治、外交、貿(mào)易沖突等背景緊密相關。同時，由于在諸多核心技術領域，中國對于境外供應商的依賴度較高，來源過于集中。一旦受到其他因素影響“斷供”，對于網(wǎng)絡安全與正常運營將帶來巨大沖擊。

 “渠道單一化”一旦遭遇“供應渠道的不可靠”，其疊加效果將會非常巨大。因此，通過對“來源的多樣性”以及“供應渠道的可靠性”進行規(guī)定，并作為審查的重要內(nèi)容，有利于促成企業(yè)選擇多元產(chǎn)品和更為“可靠”的渠道。通過企業(yè)的選擇，可以進一步培育“多元化”的供應鏈。

 某種意義上講，“來源的多樣性”以及“供應渠道的可靠性”并不是一個傳統(tǒng)意義上的網(wǎng)絡安全技術審核標準，而是一個供應鏈安全的標準。這一標準的設立，不僅有利于國際間網(wǎng)絡信息技術的均衡分布于合理流動，也有利于國內(nèi)相關網(wǎng)絡產(chǎn)品及服務提供者的長期發(fā)展。

 五、不同主體面的合規(guī)策略選擇

 總體而言，《辦法》是一部體現(xiàn)全面網(wǎng)絡安全觀的規(guī)范。在強調(diào)技術帶來的網(wǎng)絡安全風險的同時，對于產(chǎn)品于服務來源單一、供應渠道不可靠性等供應鏈安全風險也提升到了重要的位置。對于《辦法》，企業(yè)也應順勢而為：

 1、關鍵信息基礎設施運營者

 關鍵信息基礎設施運營者，應充分讀懂《辦法》所蘊含的深層含義與審查措施，并積極規(guī)劃自身的合規(guī)方案，在源頭采購環(huán)節(jié)就應采用全面安全觀指導自己的采購行為。簡單的技術風險容易解決，而產(chǎn)品組合不合理帶來的供應鏈風險，則不僅難以解決，而且成本巨大。

 2、網(wǎng)絡產(chǎn)品與服務的供應商

 除常規(guī)的技術能力外，供應商需要考慮的是，如何證明“供應渠道的可靠性”以及如何避免被納入“因為政治、外交、貿(mào)易等因素導致供應中斷的風險”中。

 境外供應商，對于可靠性問題的考量通常更為復雜，因為不僅要受制于中國的法律規(guī)范，還要受制于其所在國的法律規(guī)范。如何減少所在國法律、政治、貿(mào)易政策對于設備與服務出口造成影響，成為其首先應考量的合規(guī)策略。