vivy-yi /csr-filing-advisor — China Mainland
法律背景与法规框架
《网络安全审查办法》（CSR办法）于2021年修订发布，2022年2月15日生效。该办法的核心机制是：关键信息基础设施运营者（CIIO）采购网络产品和服务，以及网络平台运营者开展数据处理活动，影响或可能影响国家安全的，须进行网络安全审查。2022年《数据出境安全评估办法》与CSR办法形成联动：数据出境安全评估中若发现可能影响国家安全的，也会触发网络安全审查。
审查重点包括：产品和服务的安全性、可控性（是否存在后门/供应链风险）、数据处理活动的国家安全影响、以及外国政府对中国数据资源的非正当访问风险。审查由网络安全审查办公室（设在国家网信办）会同12个部委组成的工作机制负责。审查期限通常为45个工作日，情况复杂可延长至90个工作日。
工作流程
第一步：触发条件判断
检查是否满足以下任一触发条件。满足任一条件即可能需要申报：
触发条件A — CIIO采购网络产品和服务
├─ 条件1：已收到CII认定通知
│ └─ 是 → 采购核心网络设备/重要通信设备/高性能计算/云服务
│ └─ 是 → 须申报
├─ 条件2：虽未收到CII认定通知但很可能被认定为CII
│ └─ 参照critical-infrastructure-checker进行预评估
│ └─ 高可能性 → 建议主动申报
└─ 条件3：CIIO采购数据处理服务/在线平台服务
└─ 涉及个人信息处理 → 建议申报
触发条件B — 网络平台运营者数据处理活动
├─ 条件1：赴国外上市且处理100万人以上个人信息
│ └─ 是 → 必须申报（CSR办法 第7条）
├─ 条件2：赴香港上市且处理100万人以上个人信息
│ └─ 是 → 建议申报（视具体情况）
├─ 条件3：数据处理活动影响国家安全（如重要数据泄露风险）
│ └─ 是 → 必须申报
└─ 条件4：被CSR工作机制办公室约谈或通知
└─ 是 → 必须申报
触发条件C — 特殊情形
├─ 外商投资/并购CIIO
│ └─ 外商投资安全审查+网络安全审查双重申报
└─ 境外政府要求提供中国境内数据
└─ 必须申报
第二步：申报材料准备
基础材料清单：
| 序号 | 材料 | 说明 |
|---|---|---|
| 1 | 网络安全审查申报表 | 含企业基本信息、拟申报产品/服务/活动描述 |
| 2 | 拟采购产品/服务的合同或意向协议 | 如为数据处理活动申报，提供活动说明 |
| 3 | 产品/服务安全风险评估报告 | 自评估或第三方评估 |
| 4 | 安全测试报告 | 第三方安全检测机构出具 |
| 5 | 供应链安全评估 | 含供应商信息、代码可控性等 |
| 6 | 数据安全保护措施说明 | 含数据分类分级、访问控制等 |
| 7 | 可能影响国家安全的分析报告 | 法律分析+安全分析 |
| 8 | 法人资格证明 | 营业执照等 |
特殊情形额外材料：
- 涉及上市：招股说明书中数据安全章节、监管问询回复
- 涉及外资：股权结构图、实际控制人说明
- 涉及数据出境：数据出境安全评估结果
第三步：申报与审查流程管理
申报流程时间线：
Day 0: 提交申报材料
Day 10内: 审查办公室初步审查
├─ 材料不齐全会要求补正（15个工作日内补正）
└─ 材料完整 → 正式受理
Day 45内: 完成审查（一般程序）
├─ 通过 → 发出审查通过通知
├─ 不通过 → 不得继续采购或开展数据处理活动
└─ 情况复杂 → 延长至90个工作日
└─ 特别审查程序 → 召开审查工作会议，报中央批准
审查中的配合义务：
- 如实回答审查人员的询问
- 按要求补充材料或说明情况
- 配合现场检查或技术测试
- 不得隐瞒或提供虚假材料
第四步：审查不通过的应对
审查不通过意味着不得继续采购相关产品/服务，或不得继续开展相关数据处理活动。
应对策略：
- 审查结论中通常会指出不安全因素
- 对不安全因素进行整改（如更换供应商/加强安全措施/调整业务模式）
- 整改完成后重新申报审查
- 在重新审查通过前，不得恢复相关活动
特别监督： 审查通过后，如发现申报材料不实或出现新的安全风险，审查工作机制可以撤销审查结论，要求重新审查。
第五步：输出申报评估报告
输出模板
═══════════════════════════════════════
网络安全审查申报评估
═══════════════════════════════════════
企业名称：[名称]
申报类型：[CIIO采购/数据处理活动/上市/外资并购]
触发条件：[条件描述]
═══════════════════════════════════════
## 申报必要性判断
[必须申报 / 建议申报 / 暂无需申报]
判断理由：
[具体分析]
## 风险预评估
🔴 HIGH RISK — [可能的审查风险点]
涉及：[具体描述]
建议：[提前准备的应对策略]
## 材料准备进度
| 材料 | 状态 | 责任人 |
|-----|------|-------|
| 申报表 | [待准备/已准备] | |
| 安全评估报告 | [待准备/已准备] | |
| ... | | |
## 升级建议
[如确定须申报，建议委托外部律所协助准备和提交]
升级决策门
以下情况须移交专业律师处理：
- 确定必须申报网络安全审查（须律所+安全机构联合准备）
- 涉及外资背景收购或控制CIIO（双重审查）
- 涉及境外上市且处理大量个人信息
- 审查中被要求补充材料或审查不通过
- 审查涉及国家秘密或敏感领域
- 申报材料涉及重大法律风险评估（如合同效力、控制权认定）
Greater China Legal — data-compliance csr-filing-advisor v1.0.0 [model] — 基于《网络安全审查办法》（2021）框架