中國(guó)的《網(wǎng)絡(luò)安全審查辦法》（以下簡(jiǎn)稱《審查辦法》）于2020年4月13日發(fā)布，同年6月1日生效。前身是從2017年開(kāi)始實(shí)施的《網(wǎng)絡(luò)產(chǎn)品和服務(wù)安全審查辦法（試行）》。從試行到成型，近三年間的實(shí)踐和摸索，最終揚(yáng)棄、濃縮、升華于新的規(guī)章之中。2021年7月，中央網(wǎng)信辦再次發(fā)布《網(wǎng)絡(luò)安全審查辦法（修訂草案征求意見(jiàn)稿）》，此次修訂的重點(diǎn)是落實(shí)《數(shù)據(jù)安全法》關(guān)于數(shù)據(jù)安全審查的相關(guān)內(nèi)容，但不可否認(rèn)的是，《審查辦法》的核心關(guān)切依然是關(guān)鍵信息基礎(chǔ)設(shè)施的供應(yīng)鏈安全。

　　《審查辦法》解決的核心事項(xiàng)是：產(chǎn)品或服務(wù)用于關(guān)鍵信息基礎(chǔ)設(shè)施中可能帶來(lái)的安全問(wèn)題。換句話說(shuō)，之所以發(fā)起審查，是因?yàn)榫唧w的關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者因采購(gòu)了特定的網(wǎng)絡(luò)產(chǎn)品和服務(wù)，可能因此給關(guān)鍵信息基礎(chǔ)設(shè)施帶來(lái)“脆弱性”，而非產(chǎn)品或服務(wù)自身內(nèi)在的安全問(wèn)題。后者主要由《網(wǎng)絡(luò)安全法》第二十二、二十三和三十六條及其配套制度所解決。沿著這個(gè)基本邏輯，就能很好地掌握中國(guó)《審查辦法》設(shè)立的審查制度的各個(gè)方面。

　　審查對(duì)象明確

　　在《審查辦法》中，安全審查的目標(biāo)是“為了確保關(guān)鍵信息基礎(chǔ)設(shè)施供應(yīng)鏈安全，維護(hù)國(guó)家安全”，將審查著眼于產(chǎn)品和服務(wù)在供應(yīng)鏈安全方面給關(guān)鍵信息基礎(chǔ)設(shè)施帶來(lái)的風(fēng)險(xiǎn)。因此，審查的對(duì)象始終是關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者所采購(gòu)的一個(gè)個(gè)具體的產(chǎn)品或服務(wù)。為此，《審查辦法》還明確了產(chǎn)品或服務(wù)的范圍，第二十一條規(guī)定：“本辦法所稱網(wǎng)絡(luò)產(chǎn)品和服務(wù)主要指核心網(wǎng)絡(luò)設(shè)備、高性能計(jì)算機(jī)和服務(wù)器、大容量存儲(chǔ)設(shè)備、大型數(shù)據(jù)庫(kù)和應(yīng)用軟件、網(wǎng)絡(luò)安全設(shè)備、云計(jì)算服務(wù)，以及其他對(duì)關(guān)鍵信息基礎(chǔ)設(shè)施安全有重要影響的網(wǎng)絡(luò)產(chǎn)品和服務(wù)?！睂?duì)關(guān)鍵信息基礎(chǔ)設(shè)施供應(yīng)商的審查，《審查辦法》主要考察其“遵守中國(guó)法律、行政法規(guī)、部門(mén)規(guī)章情況”。

　　歸納起來(lái)，中國(guó)的審查對(duì)象范圍明晰，審查對(duì)象以具體的產(chǎn)品或服務(wù)為主，供應(yīng)商為輔。對(duì)供應(yīng)商的審查，不能獨(dú)立于其提供的具體的產(chǎn)品或服務(wù)。因此，中國(guó)不存在主動(dòng)發(fā)起針對(duì)某一供應(yīng)商的獨(dú)立審查或風(fēng)險(xiǎn)評(píng)估。

　　評(píng)估要素具體

　　首先，《審查辦法》的核心在于考察“具體的產(chǎn)品或服務(wù)+具體的使用場(chǎng)景”。這體現(xiàn)了對(duì)安全的一種先進(jìn)認(rèn)識(shí)，即“網(wǎng)絡(luò)安全是相對(duì)的而不是絕對(duì)的”。同樣，產(chǎn)品和服務(wù)的安全性也是相對(duì)的。安不安全，很大程度上依賴于該產(chǎn)品和服務(wù)的使用主體、使用目的、使用方式以及產(chǎn)品供應(yīng)渠道的可靠程度等因素，并不存在衡量安全性的絕對(duì)、恒定的基準(zhǔn)。因此，《審查辦法》重點(diǎn)審查采購(gòu)、使用具體的產(chǎn)品和服務(wù)后，是否會(huì)造成以下兩方面后果。其一，關(guān)鍵信息基礎(chǔ)設(shè)施被非法控制、遭受干擾或破壞，以及重要數(shù)據(jù)被竊取、泄露、毀損的風(fēng)險(xiǎn)（第九條第一款）；其二，產(chǎn)品和服務(wù)供應(yīng)中斷對(duì)關(guān)鍵信息基礎(chǔ)設(shè)施業(yè)務(wù)連續(xù)性的危害（第十條第二項(xiàng)）。

　　其次，《審查辦法》第十條第三項(xiàng)審查“產(chǎn)品和服務(wù)的安全性、開(kāi)放性、透明性、來(lái)源的多樣性”。可大致做如下理解：安全性是指產(chǎn)品和服務(wù)本身被入侵、損毀、破壞、篡改、操控等風(fēng)險(xiǎn)；開(kāi)放性是指產(chǎn)品和服務(wù)的兼容性、互操作性問(wèn)題；透明性是指產(chǎn)品和服務(wù)內(nèi)部的工作原理、機(jī)制是否可為網(wǎng)絡(luò)運(yùn)營(yíng)人員所理解、干預(yù)或管控；來(lái)源的多樣性是指避免過(guò)度依賴問(wèn)題。

　　最后，《審查辦法》第十條第三項(xiàng)審查“供應(yīng)渠道的可靠性以及因?yàn)檎巍⑼饨?、貿(mào)易等因素導(dǎo)致供應(yīng)中斷的風(fēng)險(xiǎn)”的審查，實(shí)質(zhì)上是更進(jìn)一步審查各個(gè)可能造成供應(yīng)中斷的因素。例如，微軟停止對(duì)XP操作系統(tǒng)的安全更新服務(wù)，對(duì)大量使用XP系統(tǒng)的黨政機(jī)關(guān)信息系統(tǒng)的安全風(fēng)險(xiǎn)；又如，美國(guó)通過(guò)出口管制措施對(duì)芯片全球供應(yīng)鏈的控制能力，對(duì)特定關(guān)鍵信息基礎(chǔ)所采購(gòu)的某一款芯片，是否能夠持續(xù)供應(yīng)的潛在影響。

　　可見(jiàn)，中國(guó)的風(fēng)險(xiǎn)考量要素中并沒(méi)有國(guó)別因素。網(wǎng)絡(luò)安全審查的注意力始終在具體的產(chǎn)品和服務(wù)，以及該產(chǎn)品或服務(wù)用于具體的關(guān)鍵信息基礎(chǔ)設(shè)施后，可能引入的脆弱性問(wèn)題。可以說(shuō)，網(wǎng)絡(luò)安全審查主要是一種技術(shù)性、客觀性的評(píng)估。

　　審查由運(yùn)營(yíng)者主動(dòng)發(fā)起

　　在《審查辦法》中，審查啟動(dòng)的主要要件是“運(yùn)營(yíng)者采購(gòu)網(wǎng)絡(luò)產(chǎn)品和服務(wù)的，應(yīng)當(dāng)預(yù)判該產(chǎn)品和服務(wù)投入使用后可能帶來(lái)的國(guó)家安全風(fēng)險(xiǎn)。影響或者可能影響國(guó)家安全的，應(yīng)當(dāng)向網(wǎng)絡(luò)安全審查辦公室申報(bào)網(wǎng)絡(luò)安全審查”。審查申報(bào)的主體明確為作為采購(gòu)方的“關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者”。而且，采購(gòu)方主動(dòng)“預(yù)判產(chǎn)品或服務(wù)可能帶來(lái)的國(guó)家安全風(fēng)險(xiǎn)”并據(jù)此決定是否申報(bào)審查，成為其法定義務(wù)之一。采購(gòu)方應(yīng)主動(dòng)通過(guò)法律工作管理自身的供應(yīng)鏈風(fēng)險(xiǎn)，例如第七條所規(guī)定的：“應(yīng)通過(guò)采購(gòu)文件、協(xié)議等要求產(chǎn)品和服務(wù)提供者配合網(wǎng)絡(luò)安全審查，包括承諾不利用提供產(chǎn)品和服務(wù)的便利條件非法獲取用戶數(shù)據(jù)、非法控制和操縱用戶設(shè)備，無(wú)正當(dāng)理由不中斷產(chǎn)品供應(yīng)或必要的技術(shù)支持服務(wù)等”。

　　把上述法定義務(wù)結(jié)合起來(lái)，可以看到《審查辦法》對(duì)采購(gòu)方的角色定位：既然特定的產(chǎn)品和服務(wù)是采購(gòu)方自主選擇的，那采購(gòu)方應(yīng)當(dāng)成為責(zé)任主體（即所謂的權(quán)責(zé)一致原則），因此采購(gòu)方應(yīng)當(dāng)在力所能及的范圍內(nèi)，主動(dòng)管理和降低供應(yīng)鏈安全風(fēng)險(xiǎn)。此外，中國(guó)的制度安排極大地尊重了關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者結(jié)合自身運(yùn)營(yíng)場(chǎng)景的風(fēng)險(xiǎn)判斷和商業(yè)決策，避免了政府無(wú)差別、大規(guī)模地介入企業(yè)日常的采購(gòu)行為。換句話說(shuō)，只有當(dāng)某產(chǎn)品或服務(wù)在某個(gè)場(chǎng)景中的使用，所造成的安全風(fēng)險(xiǎn)超出了運(yùn)營(yíng)者的能力范圍，網(wǎng)絡(luò)安全審查機(jī)制才會(huì)啟動(dòng)。這樣的規(guī)定，反過(guò)來(lái)避免公權(quán)力主動(dòng)對(duì)網(wǎng)絡(luò)產(chǎn)品和服務(wù)的供應(yīng)市場(chǎng)提前介入，主動(dòng)對(duì)供應(yīng)商風(fēng)險(xiǎn)狀況、供應(yīng)商多樣性進(jìn)行評(píng)估，避免網(wǎng)絡(luò)產(chǎn)品和服務(wù)的供應(yīng)市場(chǎng)成為一個(gè)高計(jì)劃性、高管制的市場(chǎng)，從而失去市場(chǎng)活力和創(chuàng)新動(dòng)力。

　　審查結(jié)論審慎

　　由于《審查辦法》的核心在于考察“具體的產(chǎn)品或服務(wù)+具體的使用場(chǎng)景”。因此，審查所得出的結(jié)論是具體的產(chǎn)品或服務(wù)是否可以使用于某個(gè)具體的場(chǎng)景中。換句話說(shuō)，即便單次的網(wǎng)絡(luò)安全審查不通過(guò)，并不必然導(dǎo)致該產(chǎn)品或服務(wù)在其他關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者發(fā)起的網(wǎng)絡(luò)安全審查中不通過(guò)。在上述思路的指導(dǎo)下，為了避免對(duì)市場(chǎng)外界造成某個(gè)產(chǎn)品或服務(wù)不安全的整體印象，網(wǎng)絡(luò)安全審查的結(jié)果，多數(shù)情況下僅會(huì)“以書(shū)面形式將審查結(jié)論通知運(yùn)營(yíng)者”（第十二條），并不會(huì)向其他運(yùn)營(yíng)者或者社會(huì)各界公開(kāi)。之所以會(huì)有這樣的結(jié)論，還是因?yàn)椤秾彶檗k法》審查的對(duì)象始終是關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者所采購(gòu)的一個(gè)個(gè)具體的產(chǎn)品或服務(wù)。因此即便單次審查不通過(guò)，也不會(huì)造成該供應(yīng)商的全線產(chǎn)品或服務(wù)被所有關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者拒之門(mén)外，造成“一次審查不通過(guò)，滿盤(pán)皆輸”的局面。

　　總之，中國(guó)的網(wǎng)絡(luò)安全審查不把供應(yīng)商的風(fēng)險(xiǎn)狀況作為安全的邏輯起點(diǎn)，也不會(huì)“就事論事”，更不會(huì)造成“貼標(biāo)簽”的效應(yīng)。單次審查不通過(guò)僅僅意味著特定的關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者在某個(gè)場(chǎng)景或環(huán)節(jié)中不應(yīng)使用特定的產(chǎn)品或服務(wù)，不會(huì)同時(shí)影響該供應(yīng)商旗下的所有產(chǎn)品或服務(wù)，也就避免了“連帶損害”的效果。相關(guān)制度設(shè)計(jì)還通過(guò)尊重運(yùn)營(yíng)者的自主安全決策，反向激勵(lì)運(yùn)營(yíng)者提升安全水平。這樣有利于維護(hù)網(wǎng)絡(luò)產(chǎn)品和服務(wù)供應(yīng)市場(chǎng)的多樣性，鼓勵(lì)來(lái)自不同國(guó)家的網(wǎng)絡(luò)運(yùn)營(yíng)者相互競(jìng)爭(zhēng)和持續(xù)創(chuàng)新，為供應(yīng)市場(chǎng)持續(xù)發(fā)展提供源源不斷的動(dòng)力。