4月27日下午，國家互聯網信息辦公室、國家發改委等12個部門聯合發布了《網絡安全審查辦法》（以下簡稱“《辦法》”），確認國家互聯網信息辦公室下設的網絡安全審查辦公室作為網絡安全審查的監管部門，負責制定網絡安全審查相關制度規范，組織網絡安全審查，而被審查主體關鍵信息基礎設施運營者（或簡稱“運營者”）則對其采購網絡產品和服務負有預判風險、提前申報審查的義務。《辦法》將于2020年6月1日正式實施，《網絡產品和服務安全審查辦法（試行）》（以下簡稱“《施行辦法》”）同時廢止。

 《辦法》與《試行辦法》相比，針對性更為突出，也更具有操作性。從適用范圍，到審查對象、審查機構、審查流程等，都有更加明確和詳細的規定。然而，筆者認為，《辦法》最大的價值在于塑造一種新的網絡安全觀。在復雜的國際大背景下，規范關鍵信息基礎設施運營者采購網絡產品和服務，維護網絡空間的基礎安全架構。

 一、制度價值目標的完善與“新網絡安全觀”的構建

 在《試行辦法》中，核心的價值觀念目標側重于技術安全，而《辦法》則更加側重供應鏈安全和關鍵網絡設備的自主可控。

《試行辦法》第一條開宗明義規定“為提高網絡產品和服務安全可控水平，防范網絡安全風險…制定本辦法。”《試行辦法》雖然提到了全面安全的觀念，但在更加偏重技術風險和信息安全風險，對供應鏈安全風險規定較為簡單。如《試行辦法》其第四條規定：網絡安全審查重點審查網絡產品和服務的安全性、可控性，主要包括 （一）產品和服務自身的安全風險，以及被非法控制、干擾和中斷運行的風險；（二）產品及關鍵部件生產、測試、交付、技術支持過程中的供應鏈安全風險； （三）產品和服務提供者利用提供產品和服務的便利條件非法收集、存儲、處理、使用用戶相關信息的風險；（四）產品和服務提供者利用用戶對產品和服務的依賴，損害網絡安全和用戶利益的風險。其中僅有第（二）項涉及供應鏈安全。與美國美國參議院于2020年2月27日批準的《安全和可信電信網絡法》（Secure and Trusted Telecommunications Networks Act）相比，技術性更強，而保護供應鏈安全的屬性則偏弱。《試行辦法》與美國《安全和可信電信網絡法》對于電信及網絡產品準入安全審查采用的價值判斷標準是不同的，中國偏重于從技術標準認定準入標準，客觀性更強；而美國則以認定企業是否威脅國家安全作為準入標準，主觀性更強。

 《辦法》對于《試行辦法》的上述局限性做出了修正。《辦法》第一條開宗明義的規定：“為了確保關鍵信息基礎設施供應鏈安全…制定本辦法。”與《試行辦法》相比，表述有明顯差異，從“提高網絡產品和服務安全可控水平，防范網絡安全風險”到“關鍵信息基礎設施供應鏈安全”，其所展現的價值目標差異顯而易見。

 在《辦法》第九條則規定，網絡安全審查重點評估采購網絡產品和服務可能帶來的國家安全風險，主要考慮以下因素：(一)產品和服務使用后帶來的關鍵信息基礎設施被非法控制、遭受干擾或破壞，以及重要數據被竊取、泄露、毀損的風險；(二)產品和服務供應中斷對關鍵信息基礎設施業務連續性的危害；(三)產品和服務的安全性、開放性、透明性、來源的多樣性，供應渠道的可靠性以及因為政治、外交、貿易等因素導致供應中斷的風險；(四)產品和服務提供者遵守中國法律、行政法規、部門規章情況。

 《辦法》在進行國家安全風險審查時，將“產品和服務供應中斷對關鍵信息基礎設施業務連續性的危害”以及“供應渠道的可靠性以及因為政治、外交、貿易等因素導致供應中斷的風險”，作為安全風險審查的重要內容，特別強調對于產品與服務“供應中斷”風險的審查。而《辦法》對于“供應渠道的可靠性”規定，應該是與商務部的 “不可靠實體清單”制度相對應的。

 從上述規定可以看出，《辦法》的頒布，意味著網絡安全觀從更加側重技術性規則到更加側重核心供應鏈“自主可控”。

 二、審查對象的安全判斷維度清晰、聚焦

 與《試行辦法》相比，《辦法》所涉及的審查維度，更加清晰聚焦。兩個辦法對于安全的審查，都涉及“主體”和“網路產品與服務（簡稱“產品”）”兩個安全判斷維度。《試行辦法》對于這兩個維度的界定不夠清晰，操作性和針對性均較差。

 1、審查對象的主體維度

 《辦法》第二條明確了被審查的主體為關鍵信息基礎設施運營者，第二十條確認了關鍵信息基礎設施運營者是指經關鍵信息基礎設施保護工作部門認定的運營者。

 《試行辦法》對于被審查主體的界定不夠清晰，有被擴大理解的空間。如《試行辦法》第二條規定：“關系國家安全的網絡和信息系統采購的重要網絡產品和服務，應當經過網絡安全審查。”在這一規定中，由于“國家安全”這一界定缺乏必要的標準，似乎所有的信息系統的采購，無論采購方是否屬于關鍵信息基礎設施運營者，都需要實施網絡安全審查。《試行辦法》第十條規定：“ 公共通信和信息服務、能源、交通、水利、金融、公共服務、電子政務等重要行業和領域，以及其他關鍵信息基礎設施的運營者采購網絡產品和服務，可能影響國家安全的，應當通過網絡安全審查。產品和服務是否影響國家安全由關鍵信息基礎設施保護工作部門確定。”則提出了“重要行業和領域”以及“其他關鍵信息基礎設施的運營者”，這兩個表述是否具有同一性？《暫行辦法》的界定并不清晰。《辦法》將審查的對象明確界定為“關鍵信息技術設施運營者”，有利于在執法中統一標準，也有利于相關主體對于規則的準確理解。

 鑒于《網絡安全法》第三十一條規定關鍵基礎設施的具體范圍和安全保護辦法由國務院制定，且目前尚未正式發布關鍵信息基礎設施的具體認定細則，對于《辦法》中關鍵信息基礎設施運營者范圍的界定尚未有明確的法規規定。針對這一問題，國家互聯網信息辦公室有關負責人在就《辦法》答記者問中，明確了《辦法》中規定的應當預判風險申報網絡安全審查的義務主體為“電信、廣播電視、能源、金融、公路水路運輸、鐵路、民航、郵政、水利、應急管理、衛生健康、社會保障、國防科技工業等行業領域的重要網絡和信息系統運營者”。在關鍵信息基礎設施的具體認定細則正式出臺之前，上述范圍內的運營者將作為《辦法》的被審查主體承擔申報審查的義務。

 2、審查對象的產品維度

 對于納入安全審查的網絡產品和服務，《辦法》的規定也更加突出網絡基礎安全層面。《辦法》第二十條規定：“本辦法所稱網絡產品和服務主要指核心網絡設備、高性能計算機和服務器、大容量存儲設備、大型數據庫和應用軟件、網絡安全設備、云計算服務，以及其他對關鍵信息基礎設施安全有重要影響的網絡產品和服務。”

 《試行辦法》對于納入安全審查的產品和服務的規定則較為籠統，僅規定“重要網絡安全與服務”。該界定不夠清晰和具體，可能會產生擴大適用的情況，從而影響正常的網絡產品及服務采購。

  從《辦法》的規定可以看出，納入產品審查范圍的設施界定更加清晰，從網絡結構角度看，涉及到了網絡系統的物理層、數據鏈路層、網絡層、傳輸層等基礎層面。從功能角度看，涉及到了信息傳輸、運算、存儲、網絡安全、數據庫、云計算等各個重要方面。

 《辦法》在我國開啟“新基建”的關鍵時期發布，具有積極的規范意義。從新基建的角度看，毫無疑問，關鍵信息基礎設施運營者將成為“新基建”的主要建設任務承擔者，而對關鍵信息基礎設施安全有重要影響的網絡產品和服務，無疑是保障“新基建”基礎設施安全、可控的基礎。因此，將安全審查聚焦于“關鍵信息基礎設施運營者”采購“對安全有重要影響的網絡產品和服務”，在“新基建”與國際上圍繞信息網絡安全所展開的大博弈背景下，其意義可謂深遠。

 主體與產品兩個維度，其關系具體如下圖示：

 三、審查主體全面覆蓋

 《辦法》第四條規定：“在中央網絡安全和信息化委員會領導下，國家互聯網信息辦公室會同中華人民共和國國家發展和改革委員會、中華人民共和國工業和信息化部、中華人民共和國公安部、中華人民共和國國家安全部、中華人民共和國財政部、中華人民共和國商務部、中國人民銀行、國家市場監督管理總局、國家廣播電視總局、國家保密局、國家密碼管理局建立國家網絡安全審查工作機制。”

 由上述規定可以看出，網絡安全審查機制中，中央網絡安全和信息化委員會是領導機構，但并不直接參與審核，而是領導和協調審查機制的建立。

 參與審查機制的機構則包括國家互聯網信息辦公室，以及十一個中央政府職能部門，參與主體職能分布相當廣泛。

 為什么要這樣設立審查機制呢？其核心仍是“新網絡安全觀”的體現。

 網絡產品和服務的采購，必然涉及國家產業政策、網絡系統維護與管理、網絡系統的信息安全、國家安全、財政資金的使用和劃撥、對外貿易政策的制定與調整、金融安全與金融支持、市場秩序的維護與清理、新聞發布與傳播、保守國家秘密、以及密碼體系的安全與可靠。這些功能，任何一個部門均無法單獨完成，為了避免在安全審查上的漏洞和標準不一，需要建立多部門的強力協同機制。

 相較之下，《試行辦法》的規定過于簡單， 僅在第五條規定，國家互聯網信息辦公室會同有關部門成立網絡安全審查委員會，負責審議網絡安全審查的重要政策，統一組織網絡安全審查工作，協調網絡安全審查相關重要問題。該規定，對于如何形成安全審查委員會，并沒有制度性的安排，不利于發揮審查制度的作用。

 四、“多樣、可控”新理念

 具體而言，《辦法》第九條規定了網絡安全審查過程中，對于國家安全影響的重要考量因素。其中第（三）款的規定特別值得關注，“產品和服務的安全性、開放性、透明性、來源的多樣性，供應渠道的可靠性以及因為政治、外交、貿易等因素導致供應中斷的風險。”該條款的關鍵詞包括“來源的多樣性”以及“供應渠道的可靠性”。應該說，這一規則有深刻的國際信息技術博弈的大背景。近幾年來，中國的網絡設備與服務領域面臨巨大的不確定性，對于國家安全形成一定壓力。如美國政府對于納入“實體清單”的中國企業或其他機構，在采購美國相關網絡產品或服務時，設置了諸多審查或限制，而這些限制往往與政治、外交、貿易沖突等背景緊密相關。同時，由于在諸多核心技術領域，中國對于境外供應商的依賴度較高，來源過于集中。一旦受到其他因素影響“斷供”，對于網絡安全與正常運營將帶來巨大沖擊。

 “渠道單一化”一旦遭遇“供應渠道的不可靠”，其疊加效果將會非常巨大。因此，通過對“來源的多樣性”以及“供應渠道的可靠性”進行規定，并作為審查的重要內容，有利于促成企業選擇多元產品和更為“可靠”的渠道。通過企業的選擇，可以進一步培育“多元化”的供應鏈。

 某種意義上講，“來源的多樣性”以及“供應渠道的可靠性”并不是一個傳統意義上的網絡安全技術審核標準，而是一個供應鏈安全的標準。這一標準的設立，不僅有利于國際間網絡信息技術的均衡分布于合理流動，也有利于國內相關網絡產品及服務提供者的長期發展。

 五、不同主體面的合規策略選擇

 總體而言，《辦法》是一部體現全面網絡安全觀的規范。在強調技術帶來的網絡安全風險的同時，對于產品于服務來源單一、供應渠道不可靠性等供應鏈安全風險也提升到了重要的位置。對于《辦法》，企業也應順勢而為：

 1、關鍵信息基礎設施運營者

 關鍵信息基礎設施運營者，應充分讀懂《辦法》所蘊含的深層含義與審查措施，并積極規劃自身的合規方案，在源頭采購環節就應采用全面安全觀指導自己的采購行為。簡單的技術風險容易解決，而產品組合不合理帶來的供應鏈風險，則不僅難以解決，而且成本巨大。

 2、網絡產品與服務的供應商

 除常規的技術能力外，供應商需要考慮的是，如何證明“供應渠道的可靠性”以及如何避免被納入“因為政治、外交、貿易等因素導致供應中斷的風險”中。

 境外供應商，對于可靠性問題的考量通常更為復雜，因為不僅要受制于中國的法律規范，還要受制于其所在國的法律規范。如何減少所在國法律、政治、貿易政策對于設備與服務出口造成影響，成為其首先應考量的合規策略。