中华人民共和国第十二届全国人民代表大会常务委员会第二十四次会议于2016年11月7日通过《中华人民共和国网络安全法》，2017年6月1日起实行。该法是为了保障网络安全，维护网络空间主权和国家安全、社会公共利益，保护公民、法人和其他组织的合法权益，促进经济社会信息化健康发展制定的。

总则

第二条 在中华人民共和国境内建设、运营、维护和使用网络，以及网络安全的监督管理，适用本法。

所以不管何种所有制结构的数字经济相关企业，在中华人民共和国境内的这些活动建设、运营、维护和使用网络都使用这个办法。

第五条 国家采取措施，监测、防御、处置来源于中华人民共和国境内外的网络安全风险和威胁，保护关键信息基础设施免受攻击、侵入、干扰和破坏，依法惩治网络违法犯罪活动，维护网络空间安全和秩序。

第八条 国家网信部门负责统筹协调网络安全工作和相关监督管理工作。国务院电信主管部门、公安部门和其他有关机关依照本法和有关法律、行政法规的规定，在各自职责范围内负责网络安全保护和监督管理工作。

网络本身是横向的，功能性涵盖不同行政条线，网络安全依法管理的一个难题，就是行政部门的职权是条线的。所以要进行有效的跨部门协作，要有一个负责统筹和协调的单位，这个部门就是国家网信部。

第二节 关键信息基础设施的运行安全

第三十一条 国家对公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施，在网络安全等级保护制度的基础上，实行重点保护。关键信息基础设施的具体范围和安全保护办法由国务院制定。

国家鼓励关键信息基础设施以外的网络运营者自愿参与关键信息基础设施保护体系。

国家对关键信息基础设施在网络安全等级、保护制度的基础上实行重点保护，也就是关键信息基础设施有双重保障，第一重保障是等级保护；除此之外，还有重点保护。

“关键信息基础设施”中有一个弹性定义，是务实地面对信息技术革命一个非常显著的特点。一些东西的重要性、基础设施、设施的重要性是否属于国家网络安全范畴，随时间变化和用户数的变化是量变引发质变的。一开始它可能不属于传统意义上一些立刻会对国家安全产生影响的设施，但是一定阶段后，它收集了足够充分的数据，汇总起来会变成战略级的情报资源。不仅是中国，对各个国家来说都需要保留弹性，对于关键基础设施要有一个弹性的外延以确保能够顺应时代变化和发展需求。

第三十七条　关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在境内存储。因业务需要，确需向境外提供的，应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估；法律、行政法规另有规定的，依照其规定。

第三十七条是关于跨境数据流动的问题，即数据交付。关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据均应当在境内存储，也就是所谓的数据本地化。但是不能轻易使用“数据本地化”这个词，各个国家都采取叫做本国关键数据，或者说本国所产生数据进行本地化的存储，有人把它称为网络空间的巴尔干化或者碎片化。

在最理想状态下，假设各个国家之间都是好人，不存在像美国这样的恶霸级的国家，整天想在全球网络空间做一些其他国家网络战略数据的截取和不当利用的话，理论上说全球数据的自由流动和应用符合市场发展。

但这是理想化状态，在人类大同世界里面可以实现的。现在是分开的本地化存储，其中数据的本地化存储的需求和跨境业务之间有矛盾，所以条文中讲了，“因业务需要，确需向境外提供的，应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估；法律、行政法规另有规定的，依照其规定。”我们还是要寻找国家安全和发展利益之间的均衡，所谓统筹安全跟发展就是这个意思，各国具体做法其实都差不多。

第四十九条　网络运营者应当建立网络信息安全投诉、举报制度，公布投诉、举报方式等信息，及时受理并处理有关网络信息安全的投诉和举报。

网络运营者对网信部门和有关部门依法实施的监督检查，应当予以配合。

2020年4月13日，国家互联网信息办公室、国家发展和改革委员会、工业和信息化部、公安部、国家安全部、财政部、商务部、中国人民银行、国家市场监督管理总局、国家广播电视总局、国家保密局、国家密码管理局12个部门联合制定了《网络安全审查办法》。

第一条 为了确保关键信息基础设施供应链安全，维护国家安全，依据《中华人民共和国国家安全法》《中华人民共和国网络安全法》，制定本办法。

目的是什么？开宗明义，它引入了供应链安全的概念，不仅就系统和软件本身，在整个构成的软件和硬件包括产业本身的供应链上强调了维护国家安全。

第二条 关键信息基础设施运营者（以下简称运营者）采购网络产品和服务，影响或可能影响国家安全的，应当按照本办法进行网络安全审查。

其中“可能影响”表明，防范国家数据安全风险弹性很大，认知是有共识的，但是共识受外部环境的影响很大，需要保持相当的弹性，因为这是国家安全实践的需求。

第三条 网络安全审查坚持防范网络安全风险与促进先进技术应用相结合、过程公正透明与知识产权保护相结合、事前审查与持续监管相结合、企业承诺与社会监督相结合，从产品和服务安全性、可能带来的国家安全风险等方面进行审查。

审查的内容是什么，早就有人想到了。有些老外整天说这东西是不是会侵犯知识产权，这边也有，然后事前审查与持续监管相结合，企业承诺和社会监督相结合，从产品和服务安全性、可能带来的国家安全风险等方面进行审查。

第四条 在中央网络安全和信息化委员会领导下，国家互联网信息办公室会同中华人民共和国国家发展和改革委员会、中华人民共和国工业和信息化部、中华人民共和国公安部、中华人民共和国国家安全部、中华人民共和国财政部、中华人民共和国商务部、中国人民银行、国家市场监督管理总局、国家广播电视总局、国家保密局、国家密码管理局建立国家网络安全审查工作机制。

第五条 运营者采购网络产品和服务的，应当预判该产品和服务投入使用后可能带来的国家安全风险。影响或者可能影响国家安全的，应当向网络安全审查办公室申报网络安全审查。

关键信息基础设施保护工作部门可以制定本行业、本领域预判指南。