3. 安全治理的法律法规与政策体系

关键信息基础设施（CII）的安全治理不是从技术选型开始的，而是从法律义务的识别与分解开始的。运营者面对的第一类问题往往不是“买什么设备”，而是“我受哪几部法约束、每部法要求我做什么、谁在监管我、做到什么程度算合规”。本节围绕“三法一条例”这一核心规范群，梳理法规之间的层次关系、监管职责分工，并给出可落地的合规基线拆解方法。

一、规范体系的层次：法律、行政法规、部门规章与标准

我国CII安全治理的规范体系呈金字塔结构。顶层是《网络安全法》《数据安全法》《个人信息保护法》三部法律，它们确立基本原则与法律责任；其下是《关键信息基础设施安全保护条例》这一行政法规，把网络安全法中的CII保护要求具体化为可执行义务；再往下是部门规章与国家标准，如《网络安全审查办法》《数据出境安全评估办法》，以及GB/T 22239、GB/T 39204等标准，提供技术与管理落地的度量尺度。

理解层次关系的关键在于：法律设定“必须做”，条例明确“谁来做、做什么”，标准回答“做到什么程度”。合规实践中，只读法律会无从下手，只读标准又可能遗漏法定义务，必须自上而下逐层映射。

二、四部核心法规的义务要点

《网络安全法》是基础性法律，对CII运营者提出三项硬性要求：一是设置专门安全管理机构和安全管理负责人，并对负责人进行安全背景审查；二是对重要系统和数据库进行容灾备份；三是制定网络安全事件应急预案并定期演练。此外，第二十一条确立的等级保护制度是所有网络运营者的普遍义务，CII运营者在此基础上叠加更严格要求。

《数据安全法》建立数据分类分级保护制度，要求对重要数据实行更严格管理。对CII运营者而言，关键点在于：重要数据的处理者应明确数据安全负责人和管理机构，定期开展风险评估并报送风险评估报告。该法还确立数据安全审查制度，与网络安全审查形成衔接。

《个人信息保护法》虽以个人信息为对象，但CII系统往往处理海量个人信息，因此其义务直接叠加。核心要求包括：处理个人信息应取得同意（法定情形除外）、进行个人信息保护影响评估（PIA）、发生泄露时立即采取补救并通知履行个人信息保护职责的部门和个人。对CII运营者，处理敏感个人信息或利用个人信息进行自动化决策时，影响评估是强制前置动作。

《关键信息基础设施安全保护条例》是CII治理最直接的依据。它明确了运营者的具体义务：建立网络安全责任制、保障人力与经费投入、开展年度检测评估、发生重大网络安全事件时按规定报告等。条例还规定，CII运营者采购网络产品和服务可能影响国家安全的，应通过网络安全审查。

三、监管职责分工：谁管什么

CII安全监管不是单一部门负责，而是“统筹协调+分行业监管+专项监管”的格局。国家网信部门负责统筹协调；公安部门负责网络安全等级保护监督；工业和信息化部门负责通信与互联网行业；能源、金融、交通、水利等行业主管部门负责本行业CII的识别认定与安全保护。此外，保密、密码管理等部门在各自职责范围内承担相应监管。

运营者需要建立“监管接口清单”，明确每个监管机构对应的报送对象、报送内容与时限。例如，网络安全事件报告需向保护工作部门、公安机关报告；数据出境需向网信部门申报安全评估；商用密码应用需接受密码管理部门检查。把监管要求落到具体岗位和流程，才能避免“出了事不知道报给谁”。

四、合规基线：从法条到可执行控制项

合规基线不是把法条抄一遍，而是把法律义务拆解为可执行、可验证的控制项。建议按“义务—控制项—证据—责任人”四列建立合规矩阵。以下给出一个示例片段，参数与字段为教学示例，实际应结合本单位CII认定结果调整。

建立基线后，还需定期做“合规差距分析”：对照法规更新、监管通报和标准修订，检查现有控制项是否仍覆盖义务。差距分析的结果应形成整改计划，明确优先级、资源投入和完成时限。对于CII运营者，年度检测评估和风险评估是两条必须闭环的主线，评估发现的问题若未整改，在监管检查中会被视为未履行义务。

综上，CII安全治理的法规体系需要“自上而下映射、自下而上验证”。运营者应先厘清三法一条例的义务边界，再按监管分工建立接口清单，最后把义务拆成可执行控制项并保留证据。这样形成的合规基线，既能应对监管检查，也能真正支撑安全治理的持续运行。