vivy-yi /critical-infrastructure-checker — China Mainland
法律背景与法规框架
《网络安全法》（CSL）第31条首次在立法层面引入了关键信息基础设施（CII）概念，要求对可能危害国家安全、国计民生、公共利益的关键信息基础设施实行重点保护。2021年8月施行的《关键信息基础设施安全保护条例》（CII条例）进一步细化了CII的认定标准、运营者安全保护义务和监督管理机制。2021年修订的《网络安全审查办法》明确规定，CII运营者采购网络产品和服务、数据处理者开展数据处理活动，影响或可能影响国家安全的，须进行网络安全审查。
CII认定不是自动的，而是由行业主管部门（如工信部、央行、卫健委等）根据认定规则主动识别并通知运营者。但企业在被正式通知前，应当主动进行自查：如果自身的业务领域和系统特性很可能符合CII标准，则应主动开展合规建设，不可等待正式认定后再启动。
工作流程
第一步：领域与行业判断
CII认定的第一个维度是行业领域。根据CII条例第8条，以下行业属于CII重点范围：
| 行业领域 | 主管认定部门 | 常见CII系统 |
|---|---|---|
| 电信和互联网 | 工信部 / 省级通信管理局 | 骨干网、数据中心、云平台 |
| 能源（电力/石油/天然气） | 国家能源局 | 电网调度、油气管控 |
| 交通运输 | 交通运输部 | 航空管制、轨道交通、ETC |
| 水利 | 水利部 | 水文监测、水利枢纽 |
| 金融 | 央行/银保监会/证监会 | 支付清算、证券交易 |
| 公共服务（社保/医疗/教育） | 各自主管部门 | 社保系统、医保平台 |
| 电子政务 | 国家网信办 | 政务云、政务数据平台 |
| 国防科工 | 国防科工局 | 军工信息系统 |
判断： 如果企业所属行业不在上述清单中，则被认定为CII的可能性较低。但若企业为上述行业提供关键信息化服务（如云服务商为金融行业提供核心系统），可能成为CII。
第二步：系统关键性评估
即使属于上述行业，被认定为CII还需满足"一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益"的条件。评估标准：
系统关键性评估
├─ 1. 是否可能危害国家安全？
│ ├─ 系统承载国防/外交/重大政务数据 → 高风险
│ └─ 否 → 继续
├─ 2. 是否可能危害国计民生？
│ ├─ 服务用户数 > 100万 或 支撑关键行业运行 → 高风险
│ └─ 否 → 继续
├─ 3. 是否可能危害公共利益？
│ ├─ 导致大规模数据泄露 (>100万人) 或公共服务中断 → 高风险
│ └─ 否 → 较低风险
└─ 综合：同时满足1+2+3中任一条件 → 很可能被认定为CII
等保等级参考： 一般来说，安全保护等级为第三级及以上的系统是CII的重点候选对象，但不是唯一判断标准。
第三步：网络安全审查判断
如果企业被认定为CII运营者（或被正式通知），须检查以下情况是否需要申报网络安全审查：
CII运营者采购场景
├─ 采购网络产品和服务 → 判断是否影响国家安全
│ ├─ 采购核心网络设备、重要安全设备 → 建议申报
│ ├─ 采购云计算服务 → 须通过安全评估
│ └─ 采购数据处理服务（涉及个人信息）→ 建议申报
├─ 数据处理活动（非采购）→ 判断是否影响国家安全
│ ├─ 处理100万人以上个人信息 → 建议申报
│ ├─ 处理重要数据 → 建议申报
│ └─ 数据出境 → 参见data-export-assessment
└─ 发生以下变化 → 重新审查
├─ 股权结构变化（外资收购/控制）
└─ 上市（特别是赴海外上市）
第四步：CII运营者合规义务清单
一旦被认定为CII运营者，须履行以下主要义务：
安全保护义务：
- 设置专门安全管理机构（CII条例 第13条）
- 对关键岗位人员进行安全背景审查（第14条）
- 制定安全保护制度和操作规程
- 对系统进行安全监测和风险评估（每半年至少一次）
- 制定网络安全事件应急预案并定期演练（每年至少一次）
- 将安全事件报告公安机关（第17条）
- 每年至少进行一次安全检测评估（第18条）
数据保护义务：
- CII运营者的个人信息原则上应境内存储（CSL 第37条）
- 数据出境须通过安全评估（不可用SCC或认证替代）
- 采购产品和服务的网络安全审查（第19条）
- 重要数据和核心数据的分类分级保护
第五步：输出认定结论与合规建议
输出模板
═══════════════════════════════════════
关键信息基础设施（CII）认定评估报告
═══════════════════════════════════════
企业名称：[名称]
所属行业：[行业]
评估日期：[日期]
═══════════════════════════════════════
## 认定评估结论
[很可能属于CII / 可能属于CII / 暂不属于CII]
判断依据：
1. 所属行业：[属于/不属于] CII重点行业
2. 系统关键性：[满足/不满足] 关键性条件
3. 其他因素：[说明]
## 合规差距分析
| 义务项 | 当前状态 | 差距 | 建议优先级 |
|-------|---------|------|-----------|
| 专门安全管理机构 | [已设立/未设立] | [差距说明] | [高/中/低] |
| 安全背景审查 | [已/否] | ... | ... |
| 安全检测评估 | [已/否] | ... | ... |
| 应急预案 | [有/无] | ... | ... |
| 境内存储 | [是/否] | ... | ... |
| 采购安全审查 | [已/否] | ... | ... |
## 升级建议
[如属于CII但尚未采取合规措施，或涉及网络安全审查申报]
升级决策门
以下情况须移交专业律师处理：
- 企业已被主管部门通知认定为CII运营者但未落实合规义务
- 涉及CII采购网络安全审查申报（须与网信办沟通）
- CII数据出境安全评估申报
- 涉及外资收购CII运营者股权
- CII运营者赴海外上市或变更控制权
- 发生CII安全事件（须立即向公安机关和行业主管部门报告）
Greater China Legal — data-compliance critical-infrastructure-checker v1.0.0 [model] — 基于CSL第31/37条、CII条例、网络安全审查办法框架