UTO:區塊鏈企業將如何適用《網絡安全審查辦法》？_AutoFarm

作者按：在《網絡安全審查辦法》下，相關區塊鏈企業可能構成關鍵信息基礎設施運營者或網絡產品和服務提供者，其不僅需要了解該法已經規定的內容，還需要知曉其中尚待明確的事項，并應關注未來的立法進展，以做好應對工作。

2020年4月27日，包括國家網信辦、發改委、工信部、部、安全部、財政部、商務部、央行、市場監督管理局、廣電部門、保密局、密碼管理局在內的12個政府部門聯合發布了《網絡安全審查辦法》。該辦法將于6月1日起實施。

《辦法》是2016年11月出臺的《網絡安全法》的配套規定，將取代網信辦在2017年5月發布的《網絡產品和服務安全審查辦法》，旨在進一步確保關鍵信息基礎設施供應鏈安全，維護國家安全。《辦法》本身雖然內容不多，卻意義重大，將嚴格規范相關關鍵信息基礎設施運營者和網絡產品和服務提供者的購銷行為。

然而，《辦法》雖然在試行辦法的基礎上，搭建了更為完善的審查框架，但是在一些核心概念的界定上仍有不甚明確的地方，可能導致法規適用上的不確定性。

對于從事區塊鏈相關業務的企業而言，如果其落入《辦法》下的關鍵信息基礎設施運營者或網絡產品和服務提供者的范圍，并且相關購銷行為將影響或可能影響國家安全的，則也需遵守《辦法》的規定。為合規開展業務之目的，該等區塊鏈企業也有必要了解自身是否屬于《辦法》所規范的關鍵信息基礎設施服務運營者、或網絡產品和服務提供者，以及作為該等主體需要履行的主要義務等。

金山云在美遞交IPO文件 公司通過與區塊鏈等提供多行業解決方案:4月17日晚間，雷軍旗下金山云在美遞交了IPO的F-1文件，尋求在納斯達克交易所上市，代碼為“KC”。IPO文件顯示，公司通過與人工智能、大數據、物聯網、區塊鏈、邊緣計算、AR/VR等優勢技術的有機結合，提供適用于政務、金融、AIoT、醫療、工業、傳媒、視頻、游戲、教育、互聯網等行業的解決方案。（每日經濟新聞）[2020/4/19]

一、認定是否屬于關鍵信息基礎設施服務運營者

《辦法》未對“關鍵信息基礎設施運營者”進行定義，而是規定由關鍵信息基礎設施保護工作部門認定。但是，認定的標準是什么？《辦法》沒有明確規定。

網信辦有關負責人就《辦法》相關問題答記者問時，提到了電信、廣播電視、能源、金融、公路水路運輸、鐵路、民航、郵政、水利、應急管理、衛生健康、社會保障、國防科技工業等重要網絡和信息系統的運營者。但是，其回答僅是對相關行業領域的列舉，而且還有“等”字做兜底，并沒有直接回答上述問題。并且，其在答記者問中引用的規定《關于關鍵信息基礎設施安全保護工作有關事項的通知》也未在公開渠道發布。

關于“關鍵信息基礎設施”概念和認定標準，目前可以參考的是2016年6月中央網絡安全和信息化領導小組辦公室制定的《國家網絡安全檢查操作指南》、2016年11月全國人大常委會發布的《網安法》、網信辦會同相關部門起草并在2017年7月公開征求意見的《關鍵信息基礎設施安全保護條例》。總體而言，該等法律規范均采用了行業標準和后果標準這兩項基本標準，但是行業范圍有所不同。

聲音 | 河北省省長：促進區塊鏈技術應用及產業發展:據中證網消息，1月7日，河北省十三屆人大三次會議召開，河北省省長許勤代表河北省人民政府作政府工作報告。工作報告指出，將加快推進京津冀大數據綜合試驗區、張家口可再生能源示范區、石家莊高端生物醫藥產業聚集區等5個國家級、31個省級戰略性新興產業示范基地建設，推動數字河北建設，促進人工智能、區塊鏈技術應用及產業發展，加快布局5G基站、物聯網、IPv6等新型基礎設施。[2020/1/7]

其中，《操作指南》所規定的“關鍵信息基礎設施”的行業范圍最廣，網站類、平臺類、生產業務類都可能成為關鍵信息基礎設施。

而《網安法》作為基礎法律，其規定最為原則，列舉了公共通信和信息服務、能源、交通、水利、金融、公共服務、電子政務等重要行業和領域，并授權國務院制定關鍵信息基礎設施的具體范圍。

《條例草稿》則主要更新和細化了《網安法》下的行業標準，以“列舉+兜底”方式新增了國防科工、大型裝備等行業類別，且將“公共通信和信息服務”細化為“電信網、廣播電視網、互聯網等信息網絡，以及提供云計算、大數據和其他大型公共信息網絡服務的單位”，而且還有“其他重點單位”的兜底條款，并規定國家網信辦會同國務院電信主管部門、部門等部門制定關鍵信息基礎設施識別指南。總體看來，《條例草稿》所規定的關鍵信息基礎設施范圍也比較寬泛，除了網信辦負責人在答記者問中列舉的幾個行業領域外，還包括互聯網、云計算、大數據及其他大型信息網絡服務企業。

聲音 | 長沙市委書記：要制定區塊鏈等新興領域的人才政策:金色財經報道，湖南省委常委、長沙市委書記胡衡華要求，切實保障企業人才需求，制定人工智能、物聯網、大數據、區塊鏈等新興領域的人才政策，切實做好企業人才保障和服務工作，努力為企業營造良好的發展環境。[2019/12/19]

由于《辦法》未對關鍵信息基礎設施的范圍作出明確規定，《網安法》規定比較原則、《操作指南》位階較低，而《條例草稿》尚未生效，其中規定的識別指南也未出臺，相關區塊鏈企業平臺等）是否會構成“關鍵信息基礎設施運營者”，存在不確定性。相關區塊鏈企業需關注《條例草稿》、識別指南等規范的立法進展。

二、判斷是否屬于網絡產品和服務提供者

根據《辦法》，“網絡產品和服務”主要指核心網絡設備、高性能計算機和服務器、大容量存儲設備、大型數據庫和應用軟件、網絡安全設備、云計算服務，以及其他對關鍵信息基礎設施安全有重要影響的網絡產品和服務。

雖然《辦法》以列舉的方式規定了“網絡產品和服務”的概念，但是，該概念一些界定的定性上仍然缺乏明確的標準，并且，“其他對關鍵信息基礎設施安全有重要影響的網絡產品和服務”的兜底性內容也使得產品和服務的范圍過于寬泛，可能導致實踐中因缺乏判定標準而難以確定適用范圍，給采購商和供應商都帶來認定上的不確定性。

對于業務涉及提供寬泛意義上的網絡產品和服務的區塊鏈企業而言，同樣會面臨認定上的不確定性。筆者推測，相關部門未來應該會制定相關標準或提供相關產品和服務名錄供企業參考，建議相關區塊鏈企業關注立法進展。

聲音 | Autodesk首席執行官建議用區塊鏈減少建筑行業的腐敗:全球設計軟件巨頭Autodesk的首席執行官表示，他相信區塊鏈技術的引入將是遏制建筑行業腐敗、減少行業內參與者之間缺乏信任的重大機遇。[2018/11/19]

三、了解作為關鍵信息基礎設施服務運營者或網絡產品和服務提供者的主要義務

1.作為關鍵信息基礎設施服務運營者

(1)預判風險和申報審查

關鍵信息基礎設施服務運營者應當預判該產品和服務投入使用后可能帶來的國家安全風險。

運營者預判風險后認為影響或者可能影響國家安全的，運營者應當向網絡安全審查辦公室申報網絡安全審查。

(2)了解網絡產品和服務提供者本身的合規情況

網絡安全審查重點評估運營者采購網絡產品和服務可能帶來的國家安全風險，主要考慮的因素一方面是采購的網絡產品和服務的安全性、可控性，另一方面是網絡產品和服務提供者本身遵守中國法律、行政法規、部門規章的情況。

這對運營者遴選供應商提出了要求，如果預判采購行為可能需要網絡安全審查，運營者需了解網絡產品和服務提供者的本身的合法合規情況。如果產品和服務提供者存在合規性瑕疵，可能導致運營者通不過網絡安全審查。

(3)通過協議要求網絡產品和服務提供者配合審查

動態 | 英國金融委員會將成立區塊鏈專家委員會:據financemagnates報道，與零售外匯或合約市場不同，加密貨幣交易中如果出現糾紛，交易者沒有太多的追索權。為此英國金融委員會周四宣布，將成立區塊鏈專家委員會(BEC)，以解決區塊鏈交易中可能出現的問題。該委員會由加密貨幣和區塊鏈行業的專業人士組成，將中立、公正的向金融委員會提供協商、反饋和建議，以解決問題。[2018/8/24]

運營者應通過采購文件、協議等要求網絡產品和服務提供者配合網絡安全審查，包括要求網絡產品和服務提供者承諾不利用提供產品和服務的便利條件非法獲取用戶數據、非法控制和操縱用戶設備，無正當理由不中斷產品供應或必要的技術支持服務等。

(4)督促產品和服務提供者遵守承諾

運營者應當敦促產品和服務提供者履行網絡安全審查中作出的承諾。

2.作為網絡產品和服務提供者

(1)確保本身業務合規

如上所述，網絡安全審查的重點除了網絡產品和服務的安全性、可控性外，還包括產品和服務提供者本身遵守中國法律、行政法規、部門規章的情況。

據此，如果相關區塊鏈企業擬成為關鍵信息基礎設施運營者的供應商，出于可能需要進行國家安全審查的考慮，除了需確保其產品和服務安全、可控外，還應注意本身的合規性狀況。如果區塊鏈企業存在相關違規情況，將難以作為供應商，參與關鍵信息基礎設施業務。

(2)在協議中作出相關承諾

如上所述，網絡產品和服務提供者在與關鍵信息基礎設施運營者所簽署的相關采購文件、協議中，需要作出其不會利用提供產品和服務的便利條件非法獲取用戶數據、非法控制和操縱用戶設備，無正當理由不中斷產品供應或必要的技術支持服務等。

(3)在審查過程中提供配合

根據《辦法》，網絡安全審查辦公室在進行網絡安全審查的過程中，要求提供補充材料的，網絡產品和服務提供者也應當予以配合。

鑒于在現行法律框架下，網絡安全審查的監管力度在加強，而關鍵信息基礎設施運營者、網絡產品和服務提供者的范圍認定存在模糊性，建議相關區塊鏈企業結合自身的業務領域，一方面參考現有的規定進行初步判斷，另一方面密切關注立法進展，與行業主管部門做好溝通。如果預判可能落入《辦法》下的義務主體的，為不影響業務發展，錯失商業機會，應提前加強網絡安全方面的合規工作。

作者：張凌，瀚一律師事務所合伙人

聲明：本文僅代表作者個人觀點，不代表所在機構意見。文中內容不構成法律意見和投資建議。如需轉載或引用本文的任何內容，請列明作者姓名。

本文注釋：

網信辦有關負責人就《辦法》相關問題答記者問，http://www.cac.gov.cn/2020-04/27/c_1589535446378477.htm

《操作指南》第3.1條規定：“關鍵信息基礎設施”是指面向公眾提供網絡信息服務或支撐能源、通信、金融、交通、公用事業等重要行業運行的信息系統或工業控制系統，且這些系統一旦發生網絡安全事故，會影響重要行業正常運行，對國家、經濟、科技、社會、文化、國防、環境以及人民生命財產造成嚴重損失。關鍵信息基礎設施包括網站類，如黨政機關網站、企事業單位網站、新聞網站等；平臺類，如即時通信、網上購物、網上支付、搜索引擎、電子郵件、論壇、地圖、音視頻等網絡服務平臺；生產業務類，如辦公和業務系統、工業控制系統、大型數據中心、云計算平臺、電視轉播系統等。

《網安法》第31條規定：國家對公共通信和信息服務、能源、交通、水利、金融、公共服務、電子政務等重要行業和領域，以及其他一旦遭到破壞、喪失功能或者數據泄露，可能嚴重危害國家安全、國計民生、公共利益的關鍵信息基礎設施，在網絡安全等級保護制度的基礎上，實行重點保護。關鍵信息基礎設施的具體范圍和安全保護辦法由國務院制定。國家鼓勵關鍵信息基礎設施以外的網絡運營者自愿參與關鍵信息基礎設施保護體系。

《條例草稿》第18條規定：下列單位運行、管理的網絡設施和信息系統，一旦遭到破壞、喪失功能或者數據泄露，可能嚴重危害國家安全、國計民生、公共利益的，應當納入關鍵信息基礎設施保護范圍：

政府機關和能源、金融、交通、水利、衛生醫療、教育、社保、環境保護、公用事業等行業領域的單位；

電信網、廣播電視網、互聯網等信息網絡，以及提供云計算、大數據和其他大型公共信息網絡服務的單位；

國防科工、大型裝備、化工、食品藥品等行業領域科研生產單位；

廣播電臺、電視臺、通訊社等新聞單位；

其他重點單位。

《辦法》第9條規定：網絡安全審查重點評估采購網絡產品和服務可能帶來的國家安全風險，主要考慮以下因素：

產品和服務使用后帶來的關鍵信息基礎設施被非法控制、遭受干擾或破壞，以及重要數據被竊取、泄露、毀損的風險；

產品和服務供應中斷對關鍵信息基礎設施業務連續性的危害；

產品和服務的安全性、開放性、透明性、來源的多樣性，供應渠道的可靠性以及因為、外交、貿易等因素導致供應中斷的風險；

產品和服務提供者遵守中國法律、行政法規、部門規章情況；

其他可能危害關鍵信息基礎設施安全和國家安全的因素。

本文鏈接：https://www.8btc.com/article/589604

轉載請注明文章出處

Tags：區塊鏈人工智能TODUTO區塊鏈dapp開發框架人工智能就業方向及前景BTODAutoFarm

火幣APP下載