三、关保核心要求解析

3.1 《关键信息基础设施安全保护条例》要点

《关键信息基础设施安全保护条例》（以下简称《关保条例》）于2021年9月1日正式施行，是我国网络安全法律体系中的核心行政法规。以下从保护对象、责任主体、核心义务三个维度进行要点解析。

3.1.1 保护对象与识别机制

维度	核心要点	说明
行业范围	公共通信、能源、交通、水利、金融、公共服务、电子政务、国防科技工业等	由行业主管部门制定认定规则
认定标准	一旦遭到破坏、丧失功能或数据泄露，可能严重危害国家安全、国计民生、公共利益	强调“后果导向”而非“资产导向”
运营者责任	落实安全保护主体责任，设置专门安全管理机构	主要负责人为第一责任人

3.1.2 运营者核心义务清单

设置专门安全管理机构：明确主要负责人，配备安全管理人员，对关键岗位人员进行安全背景审查。
落实“三同步”原则：安全保护措施与关键信息基础设施同步规划、同步建设、同步使用。
安全检测评估：每年至少进行一次安全检测评估，形成评估报告并报送保护工作部门。
数据安全保护：对重要数据和个人信息实施重点保护，建立数据安全管理制度。
供应链安全：优先采购安全可信的网络产品和服务，与供应商签订安全保密协议。
事件报告与处置：发生安全事件后立即启动应急预案，并向公安机关、保护工作部门报告。

3.2 关保保护工作流程

关保保护工作遵循“识别—防护—监测—响应—恢复”的闭环管理流程，具体分为以下五个阶段：

阶段	工作内容	输出成果	责任主体
① 识别认定	行业主管部门制定认定规则，运营者自行申报，专家评审确认	关基设施清单、认定报告	行业主管部门+运营者
② 安全防护	落实等级保护制度，实施安全加固，建立安全管理体系	安全建设方案、管理制度文档	运营者
③ 监测预警	建设安全监测平台，开展威胁情报共享，实施7×24小时监测	监测报告、预警通报	运营者+国家监测中心
④ 应急处置	制定应急预案，组织应急演练，发生事件后快速响应	应急预案、演练记录、事件报告	运营者+保护工作部门
⑤ 安全评估	每年至少一次安全检测评估，整改安全隐患	安全评估报告、整改计划	运营者+第三方评估机构

3.3 关保与等保的衔接点

《关保条例》明确要求“运营者应当依照国家法律法规和标准规范，落实等级保护制度”。等保是关保的基础，关保是等保的强化升级。两者在以下六个维度实现协同衔接：

3.3.1 衔接关系总览

衔接维度	等级保护（等保）	关基保护（关保）	协同要点
法律依据	《网络安全法》第21条	《网络安全法》第31条+《关保条例》	关保在等保基础上提出更高要求
保护对象	所有网络和信息系统（1-5级）	经认定的关键信息基础设施	关基必须已定级备案，且不低于三级
安全要求	等保2.0通用安全要求	等保通用要求+关保特殊要求	关保新增供应链安全、数据安全等专项要求
测评周期	三级每年一次，四级每半年一次	每年至少一次安全检测评估	可合并开展，但需覆盖关保特殊要求
监管主体	公安机关（网安部门）	行业主管部门+公安机关+国家网信部门	多部门协同监管，信息共享
处罚力度	警告、罚款、责令改正	罚款、吊销许可证、追究刑事责任	关保处罚力度显著加重

3.3.2 协同落地关键策略

策略一：定级备案协同——关基设施必须在等保定级基础上，额外完成关保认定申报，确保“双备案”机制落地。
策略二：安全要求融合——以等保2.0通用要求为基线，叠加关保特殊要求（如供应链安全、数据安全、密码应用），形成“通用+专项”的安全要求矩阵。
策略三：测评评估合一——将等保测评与关保安全检测评估合并实施，统一委托具备资质的测评机构，减少重复投入，但评估报告需分别满足两类监管要求。
策略四：监测预警联动——等保安全监测平台与关保态势感知平台数据互通，实现威胁情报共享、事件协同处置。
策略五：应急响应协同——等保应急预案与关保应急预案统一编制、统一演练，明确不同等级事件的报告路径和处置流程。
策略六：持续改进机制——建立“等保合规—关保强化—安全运营”三位一体的持续改进循环，每年同步开展安全评估与整改。

3.3.3 协同落地实施路径

第一步：完成等保定级备案（三级及以上）
    ↓
第二步：对照关保认定规则，提交关基认定申请
    ↓
第三步：基于等保2.0通用要求，补充关保特殊要求
    ↓
第四步：统一开展安全检测评估（等保测评+关保评估）
    ↓
第五步：根据评估结果，制定并落实整改计划
    ↓
第六步：建立常态化监测预警与应急响应机制
    ↓
第七步：每年循环执行，持续改进

—— 本节完 ——

📚 课程目录