《網(wǎng)絡(luò)安全審查辦法》金融機(jī)構(gòu)合規(guī)要點(diǎn)解讀

《網(wǎng)絡(luò)安全審直辦法》金融機(jī)構(gòu)合規(guī)要點(diǎn)解讀

2022年1月4日，修訂的《網(wǎng)絡(luò)安全審查辦法》（“《網(wǎng)安辦法》"）正式發(fā)布并將自

2022年2月15日起施行。此前，國(guó)家互聯(lián)網(wǎng)信息辦公室（“網(wǎng)信辦”）等部門(mén)曾于2020

年4月13日發(fā)布原《網(wǎng)絡(luò)安全審查辦法》（“原《辦法》”），2021年7月16日，網(wǎng)信

辦就《網(wǎng)絡(luò)安全審查辦法（修訂草案征求意見(jiàn)稿）》（“《意見(jiàn)稿》”）公開(kāi)征求意見(jiàn)，擬

對(duì)網(wǎng)絡(luò)安全審查制度進(jìn)行修訂和補(bǔ)充?！兑庖?jiàn)稿》增加了2021年發(fā)布的《數(shù)據(jù)安全法》作

為其主要法律依據(jù)之一，在強(qiáng)化關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者（“關(guān)基運(yùn)營(yíng)者”）網(wǎng)絡(luò)安全審查

要求的基礎(chǔ)上，也將數(shù)據(jù)處理者開(kāi)展影響或可能影響國(guó)家安全的數(shù)據(jù)處理活動(dòng)納入網(wǎng)絡(luò)安全

審查范圍。《網(wǎng)安辦法》基本保留了《意見(jiàn)稿》提出的制度框架，同時(shí)明確了涉及的審查部

門(mén)、內(nèi)部的工作機(jī)制以及若干關(guān)鍵問(wèn)題。

一、金融機(jī)構(gòu)需關(guān)注《網(wǎng)安辦法》的原因

根據(jù)《網(wǎng)安辦法》第二條，關(guān)基運(yùn)營(yíng)者和掌握超過(guò)100萬(wàn)用戶信息赴國(guó)外上市的網(wǎng)絡(luò)平

臺(tái)運(yùn)營(yíng)者為網(wǎng)絡(luò)安全審查的兩類主要主體。根據(jù)《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》，關(guān)鍵

信息基礎(chǔ)設(shè)施是指公共通信和信息服務(wù)、能源、交通、水利、金融、公共服務(wù)、電子政務(wù)、

國(guó)防科技工北等重要行、也和領(lǐng)域的，以及其他一口.遭到破壞、喪失功能或者數(shù)據(jù)泄露，可能

嚴(yán)重危害國(guó)家安全、國(guó)計(jì)民生、公共利益的重要網(wǎng)絡(luò)設(shè)施、信息系統(tǒng)等；保護(hù)工作部門(mén)應(yīng)根

據(jù)認(rèn)定規(guī)則組織認(rèn)定本行業(yè)、本領(lǐng)域的關(guān)基并及時(shí)將認(rèn)定結(jié)果通知運(yùn)營(yíng)者。因此，對(duì)于已經(jīng)

被認(rèn)定的金融機(jī)構(gòu)關(guān)基運(yùn)營(yíng)者應(yīng)當(dāng)關(guān)注《網(wǎng)安辦法》的要求。目前中國(guó)銀行已經(jīng)根據(jù)《網(wǎng)絡(luò)

安全法》、原《網(wǎng)安辦法》制定了《中國(guó)銀行網(wǎng)絡(luò)安全審查工作管理辦法》。

金融機(jī)構(gòu)也可能成為被規(guī)制的網(wǎng)絡(luò)平臺(tái)運(yùn)營(yíng)者，盡管既有的法律法規(guī)中暫時(shí)仍沒(méi)有很清

晰的“網(wǎng)絡(luò)平臺(tái)運(yùn)營(yíng)者”的定義和范圍，但相關(guān)規(guī)定中有許多近似的定義，如《網(wǎng)絡(luò)數(shù)據(jù)安

全管理?xiàng)l例（征求意見(jiàn)稿）》中互聯(lián)網(wǎng)平臺(tái)運(yùn)營(yíng)者是指為用戶斃供信息發(fā)布、社交、交易、

支付、視聽(tīng)等互聯(lián)網(wǎng)平臺(tái)服務(wù)的數(shù)據(jù)處理者：《互聯(lián)網(wǎng)平臺(tái)落實(shí)主體貢任指南（征求意見(jiàn)稿）》

中互聯(lián)網(wǎng)平臺(tái)/平臺(tái)經(jīng)營(yíng)者平臺(tái)經(jīng)營(yíng)者，是指向自然人、法人及其他市場(chǎng)主體提供經(jīng)營(yíng)場(chǎng)所、

交易撮合、信息發(fā)布等互聯(lián)網(wǎng)平臺(tái)服務(wù)的法人及非法人組織。通過(guò)互聯(lián)網(wǎng)等信息網(wǎng)絡(luò)從事銷

售商品或者提供服務(wù)的自建網(wǎng)站經(jīng)營(yíng)者，可參照平臺(tái)經(jīng)營(yíng)者適用木指南。因此對(duì)于平臺(tái)的定

義不僅僅應(yīng)當(dāng)局限于我們認(rèn)知內(nèi)的電子商務(wù)平臺(tái)，而應(yīng)該廣義的理解為包括金融機(jī)構(gòu)自建的

APP、小程序或可以進(jìn)行交易、支付的PC端或移動(dòng)端網(wǎng)站?！痘ヂ?lián)網(wǎng)平臺(tái)分類分級(jí)指南（征

求意見(jiàn)稿）》依據(jù)平臺(tái)的連接對(duì)象和主要功能將平臺(tái)分為了六大類，其中對(duì)于金融服務(wù)類平

臺(tái)認(rèn)定為提供連接人與資金起到融資功能的平臺(tái)。結(jié)合網(wǎng)絡(luò)數(shù)據(jù)安全管理?xiàng)l例（征求意見(jiàn)

稿）》（“《數(shù)安條例草案》"）第13條規(guī)定，匯聚掌握大量關(guān)系國(guó)家安全、經(jīng)濟(jì)發(fā)展、

公共利益的數(shù)據(jù)資源的互聯(lián)網(wǎng)平臺(tái)運(yùn)營(yíng)者實(shí)施合并、重組、分立，影響或者可能影響國(guó)家安

全的，應(yīng)當(dāng)申報(bào)網(wǎng)絡(luò)安全審查。盡管《網(wǎng)安辦法》并未將該等情形列入需申報(bào)網(wǎng)絡(luò)安全審查

的場(chǎng)景，最終這種情況是否會(huì)受限于網(wǎng)絡(luò)安全審查制度的要求還有待《數(shù)安條例草案》定稿

后進(jìn)?步予以明確，時(shí)于可能無(wú)法構(gòu)成關(guān)其運(yùn)營(yíng)者的金融機(jī)構(gòu)而言也可能成為網(wǎng)絡(luò)平臺(tái)運(yùn)營(yíng)

者從而適用本《網(wǎng)安辦法》。

二、網(wǎng)絡(luò)安全審查的觸發(fā)情形

《網(wǎng)安辦法》從主動(dòng)申報(bào)和被動(dòng)申報(bào)角度規(guī)定了以下兩種網(wǎng)絡(luò)安全審查的啟動(dòng)方式:

主動(dòng)申報(bào)網(wǎng)絡(luò)安全審查。關(guān)基運(yùn)營(yíng)者采購(gòu)網(wǎng)絡(luò)產(chǎn)品和服務(wù)，預(yù)判認(rèn)為該行為影響或者可

能影響國(guó)家安全的，應(yīng)當(dāng)向網(wǎng)絡(luò)安全審查辦公室申報(bào)網(wǎng)絡(luò)安全審查（第5條）。掌握超過(guò)

100萬(wàn)用戶個(gè)人信息的網(wǎng)絡(luò)平臺(tái)運(yùn)營(yíng)者赴國(guó)外上市，必須向網(wǎng)絡(luò)安全審查辦公室申報(bào)網(wǎng)絡(luò)安

全審查（第7條）。

對(duì)于境外上市是否需要網(wǎng)安審查，在《數(shù)安條例草案》中對(duì)赴香港和境外上市有著更清

晰的區(qū)分及細(xì)致的規(guī)定。在《數(shù)安條例草案》中處理一百萬(wàn)人以上個(gè)人信息的數(shù)據(jù)處理者赴

國(guó)外上市，需主動(dòng)申報(bào)進(jìn)行網(wǎng)安審查。其中對(duì)于申報(bào)主體，不局限于網(wǎng)絡(luò)平臺(tái)運(yùn)營(yíng)者，而是

運(yùn)用了“數(shù)據(jù)處理者一一在數(shù)據(jù)處理活動(dòng)中自主決定處理目的和處理方式的個(gè)人和組織”這

一范圍更廣的主體。同時(shí)處理二字為法律用語(yǔ)，包含著“收集、存儲(chǔ)、使用、加工、傳輸、

提供、公開(kāi)、刪除"各個(gè)環(huán)節(jié)，使得除需要經(jīng)營(yíng)業(yè)務(wù)需要收集信息的業(yè)務(wù)經(jīng)營(yíng)者外，對(duì)業(yè)務(wù)

中涉及一百萬(wàn)以上的個(gè)人信息的金融機(jī)構(gòu)甚至可能都需要在境外上市中主動(dòng)申報(bào)進(jìn)行安全

審查。但《網(wǎng)安辦法》中所用的“掌握”二字卻沒(méi)有明確的法律定義與之對(duì)應(yīng)。對(duì)于金融機(jī)

構(gòu)而言為降低合規(guī)風(fēng)險(xiǎn)，可將掌握等同于處理，在金融機(jī)構(gòu)經(jīng)營(yíng)過(guò)程中如涉及超過(guò)100萬(wàn)的

個(gè)人信息，在境外上市時(shí)都需履行事先中報(bào)義務(wù)。盡管《數(shù)安條例草案》目前僅在征求意見(jiàn)

階段，但在法律位階上條例為國(guó)務(wù)院制定的行政法規(guī)而辦法僅為部門(mén)規(guī)章，《數(shù)安條例草案》

中體現(xiàn)出的對(duì)于數(shù)據(jù)出境的細(xì)致全面的監(jiān)管態(tài)勢(shì)不容忽視。

被動(dòng)申報(bào)，包括依職權(quán)啟動(dòng)及社會(huì)舉報(bào)。成員單位認(rèn)為影響或者可能影響國(guó)家安全的網(wǎng)

絡(luò)產(chǎn)品和服務(wù)以及數(shù)據(jù)處理活動(dòng)，由網(wǎng)絡(luò)安全審查辦公室按程序報(bào)中央網(wǎng)絡(luò)安全和信息化委

員會(huì)批準(zhǔn)后，依照本辦法的規(guī)定進(jìn)行審查（第16條）?！毒W(wǎng)安辦法》增加“中國(guó)證券監(jiān)督

管理委員會(huì)”作為第13個(gè)網(wǎng)絡(luò)安全審查工作機(jī)制成員單位，這一點(diǎn)與第7條所增加的赴國(guó)

外上市可能觸發(fā)網(wǎng)絡(luò)安全審查直接相關(guān)。

在2021年12月24日證監(jiān)會(huì)有關(guān)負(fù)責(zé)人關(guān)于《境外上市管理規(guī)定》和《境外上市備案

辦法》答記者問(wèn)時(shí)，提到“為保障備案管理順利實(shí)施，證監(jiān)會(huì)將與境內(nèi)有關(guān)行業(yè)和領(lǐng)域主管

部門(mén)建立監(jiān)管協(xié)作機(jī)制，加強(qiáng)政策銜接、信息共享和監(jiān)管協(xié)同，不會(huì)要求企業(yè)到多個(gè)部門(mén)拿

路條、跑審批，盡可能減輕企業(yè)監(jiān)管負(fù)擔(dān)”，以及如下的說(shuō)明：

“首先，對(duì)特定行業(yè)領(lǐng)域主管部門(mén)以制度規(guī)則明確要求企業(yè)境外上市前履行監(jiān)管程序的，

企業(yè)提交備案申請(qǐng)前應(yīng)當(dāng)取得主管部門(mén)出具的監(jiān)管意見(jiàn)、備案或核準(zhǔn)等文件。比如，根據(jù)《中

資商業(yè)銀行行政許可事項(xiàng)實(shí)施辦法》等規(guī)定，中資商業(yè)銀行境外上市前須履行銀行業(yè)主管部

門(mén)的審批程序。

其次，根據(jù)《管理規(guī)定》,證監(jiān)會(huì)將牽頭建立企業(yè)境外上市跨部門(mén)監(jiān)管協(xié)調(diào)機(jī)制，在收

到企業(yè)備案申請(qǐng)材料后，主動(dòng)與有關(guān)主管部門(mén)加強(qiáng)溝通或征求意見(jiàn)，以提高備案效率。同時(shí)，

證監(jiān)會(huì)將配合推動(dòng)有關(guān)主管部門(mén)明晰相關(guān)領(lǐng)域的監(jiān)管制度規(guī)則，提高政策可預(yù)期性一

最后，對(duì)涉及外商投資安全審查、網(wǎng)絡(luò)安全審查等法律法規(guī)規(guī)定范圍內(nèi)的企業(yè)境外上市，

在提交備案申請(qǐng)前，企業(yè)應(yīng)當(dāng)依法申報(bào)安全審查?！?/p>

證監(jiān)會(huì)的備案機(jī)制適用于所有擬境外上市企業(yè)。雖然在關(guān)于《境外上市管理規(guī)定》和《境

外上市備案辦法》答記者問(wèn)中對(duì)網(wǎng)絡(luò)安全審查的口徑均為“按照其他法律法規(guī)”執(zhí)行，但是

實(shí)踐中為了避免企業(yè)完成證監(jiān)會(huì)備案后甚至實(shí)質(zhì)啟動(dòng)上市程序后，其他網(wǎng)絡(luò)安全審查工作機(jī)

制單位因持有不同的意見(jiàn)而決定依職權(quán)對(duì)企業(yè)發(fā)起網(wǎng)絡(luò)安全審查，證監(jiān)會(huì)也可能會(huì)與國(guó)家網(wǎng)

信部門(mén)等部委建立內(nèi)部協(xié)調(diào)機(jī)制，對(duì)擬境外上市的企業(yè)（特別走影響或者可能影響國(guó)家安全

的企業(yè)擬港股上市、或者是不掌握100萬(wàn)用戶個(gè)人信息的企業(yè)擬赴國(guó)外上市）在完成證監(jiān)會(huì)

備案的同時(shí)進(jìn)行網(wǎng)絡(luò)安全審查工作機(jī)制成員單位內(nèi)部的討論以及審查。

13家政府主管機(jī)關(guān)涉及到網(wǎng)絡(luò)安全的主要方面，包括國(guó)家互聯(lián)網(wǎng)信息辦公室、國(guó)家發(fā)

展和改革委、工業(yè)和信息化部、公安部、國(guó)家安全部、財(cái)政部、商務(wù)部、中國(guó)人民銀行、國(guó)

家市場(chǎng)監(jiān)督管理總局、國(guó)家廣播電視總局、中國(guó)證券監(jiān)督管理委員會(huì)、國(guó)家保密局和國(guó)家密

碼管理局，從不同的側(cè)面監(jiān)管網(wǎng)絡(luò)安全。企業(yè)的赴國(guó)外上市行為是否影響國(guó)家安全的審查，

除網(wǎng)信辦外，還需要由證券監(jiān)管部門(mén)針對(duì)該行為本身履行監(jiān)管職能。同時(shí)，《網(wǎng)安辦法》將

企業(yè)擬提交的首次公開(kāi)募股（IP0）等上市申請(qǐng)文件納入申報(bào)材料范圍（第8條），賦予了

證券監(jiān)管部門(mén)主動(dòng)通過(guò)網(wǎng)絡(luò)安全審查的方式對(duì)擬赴國(guó)外上市企業(yè)擬提交的IP0材料進(jìn)行審

查的權(quán)利（第16條）。

三、審查流程及期限

第8條規(guī)定了運(yùn)營(yíng)者申報(bào)網(wǎng)絡(luò)安全審查應(yīng)提交的材料；第9、IL14條明確了整個(gè)網(wǎng)絡(luò)

安全審查的具體流程與時(shí)長(zhǎng)，整體上形成了由網(wǎng)絡(luò)安全審查辦公室、網(wǎng)絡(luò)安全審查工作機(jī)制

成員單位、中央網(wǎng)絡(luò)安全和信息化委員會(huì)構(gòu)成的三級(jí)審查機(jī)制,具體審查流程詳見(jiàn)下圖：

在《網(wǎng)安辦法》的規(guī)定下，一般情形的網(wǎng)絡(luò)安全審查將在啟動(dòng)后60個(gè)工作日（45+15）

內(nèi)完成，進(jìn)入特別審查程序的周期則可能長(zhǎng)達(dá)7個(gè)月（45+15+90）。此外，網(wǎng)絡(luò)安全審查辦

公室要求提交補(bǔ)充材料的時(shí)間不計(jì)入審查時(shí)間，實(shí)踐中應(yīng)對(duì)網(wǎng)絡(luò)安全審查的實(shí)際期限將更加

漫長(zhǎng)。

四、對(duì)金融機(jī)構(gòu)的合規(guī)提示

1、已經(jīng)被認(rèn)定為關(guān)基運(yùn)營(yíng)者的金融機(jī)構(gòu)在構(gòu)建云計(jì)算、大數(shù)據(jù)、人工智能，形成“多

地多中心”基礎(chǔ)設(shè)施布局時(shí)需注意在采購(gòu)硬件或服務(wù)時(shí)的安全審杳義務(wù)。

2、擬赴國(guó)外上市的金融機(jī)構(gòu)應(yīng)將可能觸發(fā)網(wǎng)絡(luò)安全審查的期限充分考慮在商業(yè)計(jì)劃的

時(shí)間表內(nèi)，特別是