CHA:區塊鏈企業將如何適用《網絡安全審查辦法》？

作者按：在《網絡安全審查辦法》下，相關區塊鏈企業可能構成關鍵信息基礎設施運營者或網絡產品和服務提供者，其不僅需要了解該法已經規定的內容，還需要知曉其中尚待明確的事項，并應關注未來的立法進展，以做好應對工作。

2020年4月27日，包括國家網信辦、發改委、工信部、部、安全部、財政部、商務部、央行、市場監督管理局、廣電部門、保密局、密碼管理局在內的12個政府部門聯合發布了《網絡安全審查辦法》。該辦法將于6月1日起實施。

《辦法》是2016年11月出臺的《網絡安全法》的配套規定，將取代網信辦在2017年5月發布的《網絡產品和服務安全審查辦法》，旨在進一步確保關鍵信息基礎設施供應鏈安全，維護國家安全。《辦法》本身雖然內容不多，卻意義重大，將嚴格規范相關關鍵信息基礎設施運營者和網絡產品和服務提供者的購銷行為。

然而，《辦法》雖然在試行辦法的基礎上，搭建了更為完善的審查框架，但是在一些核心概念的界定上仍有不甚明確的地方，可能導致法規適用上的不確定性。

對于從事區塊鏈相關業務的企業而言，如果其落入《辦法》下的關鍵信息基礎設施運營者或網絡產品和服務提供者的范圍，并且相關購銷行為將影響或可能影響國家安全的，則也需遵守《辦法》的規定。為合規開展業務之目的，該等區塊鏈企業也有必要了解自身是否屬于《辦法》所規范的關鍵信息基礎設施服務運營者、或網絡產品和服務提供者，以及作為該等主體需要履行的主要義務等。

行情 | 美股開盤：美股區塊鏈概念股普遍上漲:美股開盤，三大股指均全線高開，美股區塊鏈概念股普遍上漲。柯達上漲1.80%，埃森哲上漲0.67%，overstock.com上漲1.21%；Riot Blockchain上漲2.70%，Marathon Patent平盤，Square上漲0.42%。[2020/2/11]

一、認定是否屬于關鍵信息基礎設施服務運營者

《辦法》未對“關鍵信息基礎設施運營者”進行定義，而是規定由關鍵信息基礎設施保護工作部門認定。但是，認定的標準是什么？《辦法》沒有明確規定。

網信辦有關負責人就《辦法》相關問題答記者問時，提到了電信、廣播電視、能源、金融、公路水路運輸、鐵路、民航、郵政、水利、應急管理、衛生健康、社會保障、國防科技工業等重要網絡和信息系統的運營者。但是，其回答僅是對相關行業領域的列舉，而且還有“等”字做兜底，并沒有直接回答上述問題。并且，其在答記者問中引用的規定《關于關鍵信息基礎設施安全保護工作有關事項的通知》也未在公開渠道發布。

關于“關鍵信息基礎設施”概念和認定標準，目前可以參考的是2016年6月中央網絡安全和信息化領導小組辦公室制定的《國家網絡安全檢查操作指南》、2016年11月全國人大常委會發布的《網安法》、網信辦會同相關部門起草并在2017年7月公開征求意見的《關鍵信息基礎設施安全保護條例》。總體而言，該等法律規范均采用了行業標準和后果標準這兩項基本標準，但是行業范圍有所不同。

動態 | 工信部有關負責人：下一步將面向區塊鏈等重點領域，遴選一批示范項目:12月12日，人民日報刊文“信息消費 規模在壯大”。文章表示，如何進一步增強產業供給能力、培育新興消費需求，激發信息消費對經濟增長的拉動作用？工信部信息化和軟件服務業司有關負責人透露，下一步將面向5G、人工智能、區塊鏈等重點領域，遴選一批發展前景好、示范效應強的示范項目，樹立典型標桿。現階段正在研究制定《信息消費示范城市建設指南》，引導各示范城市加快落實各項工作部署要求，在全國范圍發揮示范引領作用。[2019/12/12]

其中，《操作指南》所規定的“關鍵信息基礎設施”的行業范圍最廣，網站類、平臺類、生產業務類都可能成為關鍵信息基礎設施。

而《網安法》作為基礎法律，其規定最為原則，列舉了公共通信和信息服務、能源、交通、水利、金融、公共服務、電子政務等重要行業和領域，并授權國務院制定關鍵信息基礎設施的具體范圍。

《條例草稿》則主要更新和細化了《網安法》下的行業標準，以“列舉+兜底”方式新增了國防科工、大型裝備等行業類別，且將“公共通信和信息服務”細化為“電信網、廣播電視網、互聯網等信息網絡，以及提供云計算、大數據和其他大型公共信息網絡服務的單位”，而且還有“其他重點單位”的兜底條款，并規定國家網信辦會同國務院電信主管部門、部門等部門制定關鍵信息基礎設施識別指南。總體看來，《條例草稿》所規定的關鍵信息基礎設施范圍也比較寬泛，除了網信辦負責人在答記者問中列舉的幾個行業領域外，還包括互聯網、云計算、大數據及其他大型信息網絡服務企業。

聲音 | 洪泰基金盛希泰：區塊鏈等底層技術形成融合生態 推動金融科技進入新階段:據新華網消息，洪泰基金創始人、洪泰資本控股董事長盛希泰近日在活動中表示，中國的金融科技市場太大，需求太大。盛希泰重點介紹了金融科技發展的四個機會。其一是市場下沉的機會。三四五線及以下城市總人口接近10億，市場規模大，同時金融服務匱乏，金融科技到來恰逢其時，可以覆蓋長尾客戶，提升金融服務普惠性。其二是人群變化的機會。90/95后是互聯網原始居民，消費能力超出想象，他們是金融科技的主流用戶。其三是技術升級的機會。人工智能、大數據、云計算、區塊鏈等底層技術形成融合生態，推動金融科技進入新階段。其四，ESG（環境、社會、公司治理）投資已成為國際市場主流投資趨勢，綠色金融將成為經濟發展的風口。金融科技形成對環保、節能、清潔能源的支持，將是很大的投資切入點。[2019/8/27]

由于《辦法》未對關鍵信息基礎設施的范圍作出明確規定，《網安法》規定比較原則、《操作指南》位階較低，而《條例草稿》尚未生效，其中規定的識別指南也未出臺，相關區塊鏈企業平臺等）是否會構成“關鍵信息基礎設施運營者”，存在不確定性。相關區塊鏈企業需關注《條例草稿》、識別指南等規范的立法進展。

二、判斷是否屬于網絡產品和服務提供者

根據《辦法》，“網絡產品和服務”主要指核心網絡設備、高性能計算機和服務器、大容量存儲設備、大型數據庫和應用軟件、網絡安全設備、云計算服務，以及其他對關鍵信息基礎設施安全有重要影響的網絡產品和服務。

動態 | FPT和SBI向區塊鏈創業公司Utop投資300萬美元:據cointelegraph報道，FPT公司和SBI控股公司簽署了一份諒解備忘錄（MoU），向越南區塊鏈創業公司Utop投資300萬美元。據悉，Utop是一家基于FPT企業區塊鏈平臺akaChain的技術創業公司。該項目將使在其網絡注冊的小型企業能夠通過akaChain平臺降低成本并保護數據安全。[2019/4/20]

雖然《辦法》以列舉的方式規定了“網絡產品和服務”的概念，但是，該概念一些界定的定性上仍然缺乏明確的標準，并且，“其他對關鍵信息基礎設施安全有重要影響的網絡產品和服務”的兜底性內容也使得產品和服務的范圍過于寬泛，可能導致實踐中因缺乏判定標準而難以確定適用范圍，給采購商和供應商都帶來認定上的不確定性。

對于業務涉及提供寬泛意義上的網絡產品和服務的區塊鏈企業而言，同樣會面臨認定上的不確定性。筆者推測，相關部門未來應該會制定相關標準或提供相關產品和服務名錄供企業參考，建議相關區塊鏈企業關注立法進展。

三、了解作為關鍵信息基礎設施服務運營者或網絡產品和服務提供者的主要義務

1.作為關鍵信息基礎設施服務運營者

(1)預判風險和申報審查

關鍵信息基礎設施服務運營者應當預判該產品和服務投入使用后可能帶來的國家安全風險。

動態 | 區塊鏈近7天搜索指數環比下降18%:據百度指數數據，近7天“區塊鏈”搜索指數整體日均值為6298，整體同比上漲3%，環比下降18%。近7天“比特幣”搜索指數整體日均值為26745，整體同比下降54%，環比下降28%。[2018/12/16]

運營者預判風險后認為影響或者可能影響國家安全的，運營者應當向網絡安全審查辦公室申報網絡安全審查。

(2)了解網絡產品和服務提供者本身的合規情況

網絡安全審查重點評估運營者采購網絡產品和服務可能帶來的國家安全風險，主要考慮的因素一方面是采購的網絡產品和服務的安全性、可控性，另一方面是網絡產品和服務提供者本身遵守中國法律、行政法規、部門規章的情況。

這對運營者遴選供應商提出了要求，如果預判采購行為可能需要網絡安全審查，運營者需了解網絡產品和服務提供者的本身的合法合規情況。如果產品和服務提供者存在合規性瑕疵，可能導致運營者通不過網絡安全審查。

(3)通過協議要求網絡產品和服務提供者配合審查

運營者應通過采購文件、協議等要求網絡產品和服務提供者配合網絡安全審查，包括要求網絡產品和服務提供者承諾不利用提供產品和服務的便利條件非法獲取用戶數據、非法控制和操縱用戶設備，無正當理由不中斷產品供應或必要的技術支持服務等。

(4)督促產品和服務提供者遵守承諾

運營者應當敦促產品和服務提供者履行網絡安全審查中作出的承諾。

2.作為網絡產品和服務提供者

(1)確保本身業務合規

如上所述，網絡安全審查的重點除了網絡產品和服務的安全性、可控性外，還包括產品和服務提供者本身遵守中國法律、行政法規、部門規章的情況。

據此，如果相關區塊鏈企業擬成為關鍵信息基礎設施運營者的供應商，出于可能需要進行國家安全審查的考慮，除了需確保其產品和服務安全、可控外，還應注意本身的合規性狀況。如果區塊鏈企業存在相關違規情況，將難以作為供應商，參與關鍵信息基礎設施業務。

(2)在協議中作出相關承諾

如上所述，網絡產品和服務提供者在與關鍵信息基礎設施運營者所簽署的相關采購文件、協議中，需要作出其不會利用提供產品和服務的便利條件非法獲取用戶數據、非法控制和操縱用戶設備，無正當理由不中斷產品供應或必要的技術支持服務等。

(3)在審查過程中提供配合

根據《辦法》，網絡安全審查辦公室在進行網絡安全審查的過程中，要求提供補充材料的，網絡產品和服務提供者也應當予以配合。

鑒于在現行法律框架下，網絡安全審查的監管力度在加強，而關鍵信息基礎設施運營者、網絡產品和服務提供者的范圍認定存在模糊性，建議相關區塊鏈企業結合自身的業務領域，一方面參考現有的規定進行初步判斷，另一方面密切關注立法進展，與行業主管部門做好溝通。如果預判可能落入《辦法》下的義務主體的，為不影響業務發展，錯失商業機會，應提前加強網絡安全方面的合規工作。

作者：張凌，瀚一律師事務所合伙人

聲明：本文僅代表作者個人觀點，不代表所在機構意見。文中內容不構成法律意見和投資建議。如需轉載或引用本文的任何內容，請列明作者姓名。

本文注釋：

網信辦有關負責人就《辦法》相關問題答記者問，http://www.cac.gov.cn/2020-04/27/c_1589535446378477.htm

《操作指南》第3.1條規定：“關鍵信息基礎設施”是指面向公眾提供網絡信息服務或支撐能源、通信、金融、交通、公用事業等重要行業運行的信息系統或工業控制系統，且這些系統一旦發生網絡安全事故，會影響重要行業正常運行，對國家、經濟、科技、社會、文化、國防、環境以及人民生命財產造成嚴重損失。關鍵信息基礎設施包括網站類，如黨政機關網站、企事業單位網站、新聞網站等；平臺類，如即時通信、網上購物、網上支付、搜索引擎、電子郵件、論壇、地圖、音視頻等網絡服務平臺；生產業務類，如辦公和業務系統、工業控制系統、大型數據中心、云計算平臺、電視轉播系統等。

《網安法》第31條規定：國家對公共通信和信息服務、能源、交通、水利、金融、公共服務、電子政務等重要行業和領域，以及其他一旦遭到破壞、喪失功能或者數據泄露，可能嚴重危害國家安全、國計民生、公共利益的關鍵信息基礎設施，在網絡安全等級保護制度的基礎上，實行重點保護。關鍵信息基礎設施的具體范圍和安全保護辦法由國務院制定。國家鼓勵關鍵信息基礎設施以外的網絡運營者自愿參與關鍵信息基礎設施保護體系。

《條例草稿》第18條規定：下列單位運行、管理的網絡設施和信息系統，一旦遭到破壞、喪失功能或者數據泄露，可能嚴重危害國家安全、國計民生、公共利益的，應當納入關鍵信息基礎設施保護范圍：

政府機關和能源、金融、交通、水利、衛生醫療、教育、社保、環境保護、公用事業等行業領域的單位；

電信網、廣播電視網、互聯網等信息網絡，以及提供云計算、大數據和其他大型公共信息網絡服務的單位；

國防科工、大型裝備、化工、食品藥品等行業領域科研生產單位；

廣播電臺、電視臺、通訊社等新聞單位；

其他重點單位。

《辦法》第9條規定：網絡安全審查重點評估采購網絡產品和服務可能帶來的國家安全風險，主要考慮以下因素：

產品和服務使用后帶來的關鍵信息基礎設施被非法控制、遭受干擾或破壞，以及重要數據被竊取、泄露、毀損的風險；

產品和服務供應中斷對關鍵信息基礎設施業務連續性的危害；

產品和服務的安全性、開放性、透明性、來源的多樣性，供應渠道的可靠性以及因為、外交、貿易等因素導致供應中斷的風險；

產品和服務提供者遵守中國法律、行政法規、部門規章情況；

其他可能危害關鍵信息基礎設施安全和國家安全的因素。

本文鏈接：https://www.8btc.com/article/589604

轉載請注明文章出處

Tags：區塊鏈CHAChainAIN區塊鏈dapp開發框架blockchain是什么軟件prmichainRAIN價格

Fil