《网络安全审查要点与应对策略》
第2章 审查触发条件
二、审查触发条件
网络安全审查并非对所有网络活动进行普遍审查，而是针对特定情形下的高风险行为启动的专项安全评估。根据《网络安全审查办法》及相关法律法规，触发网络安全审查的核心条件可归纳为以下三大类：
🔍 条件一：关键信息基础设施运营者采购网络产品和服务
关键信息基础设施运营者（CIIO）在采购网络产品和服务时，若该采购行为可能影响国家安全，则应当申报网络安全审查。这是审查制度中最核心、最基础的触发条件。
| 要素 | 具体说明 |
|---|---|
| 主体 | 关键信息基础设施运营者（CIIO）—— 即运营CII的单位和组织 |
| 行为 | 采购网络产品和服务（包括硬件、软件、云服务、运维服务等） |
| 后果 | 该采购行为影响或可能影响国家安全 |
🌐 条件二：影响或可能影响国家安全的情形
即使不属于CIIO，任何网络运营者（数据处理者）在开展数据处理活动时，若该活动影响或可能影响国家安全，同样应当申报网络安全审查。这是一个兜底性的触发条件。
📋 典型情形包括
- 涉及大量重要数据和个人信息的跨境处理
- 数据处理活动可能被外国政府访问或控制
- 数据处理活动影响关键信息基础设施安全
- 数据处理活动涉及国家核心数据
⚖️ 判断标准
- 数据的规模与敏感程度
- 数据处理活动的目的与方式
- 数据接收方的安全保护能力
- 对国家安全、公共利益、个人权益的潜在风险
📈 条件三：数据处理者赴国外上市
数据处理者（包括CIIO和非CIIO）若计划赴国外上市，且该上市行为可能影响国家安全，则必须申报网络安全审查。这是近年来监管关注的重点领域，尤其针对掌握大量个人信息和重要数据的平台型企业。
| 上市类型 | 审查要求 | 典型场景 |
|---|---|---|
| 直接上市 | 在境外证券交易所首次公开发行股票 | 赴美国纽交所、纳斯达克，或香港联交所上市 |
| 间接上市 | 通过VIE架构、红筹架构等方式实现境外上市 | 采用VIE架构赴美上市的中国互联网企业 |
| 再融资/二次上市 | 已在境外上市的企业进行再融资或二次上市 | 已在美股上市的企业回港二次上市 |
⚠️ 特别提示： 2022年修订的《网络安全审查办法》明确将"数据处理者赴国外上市"列为独立的审查触发条件，无论该数据处理者是否属于CIIO。掌握超过100万用户个人信息的数据处理者赴国外上市，必须申报网络安全审查。
📌 审查触发条件总结
条件一
CIIO采购网络产品和服务
CIIO采购网络产品和服务
条件二
影响或可能影响国家安全
影响或可能影响国家安全
条件三
数据处理者赴国外上市
数据处理者赴国外上市
⚡ 三个条件相互独立，满足任一条件即可能触发网络安全审查程序
专注课程资料整理