中华人民共和国网络安全法

第一条为了保障网络安全，维护网络空间主权、国家安全和社会利益，保护公民、法人和其他组织的合法权益，促进经济社会信息化健康发展，制定本法。

第二条本法适用于中华人民共和国境内网络的建设、运行、维护和使用，以及网络安全的监督管理。

第三条国家坚持网络安全与信息化发展并重的原则，遵循积极利用、科学发展、依法管理、保障安全的原则，推进网络基础设施建设和互联互通，鼓励网络技术创新和应用，支持网络安全人才培养，建立健全网络安全保障体系，提高网络安全防护能力。

第四条国家制定并不断完善网络安全战略，明确保障网络安全的基本要求和主要目标，提出重点领域的网络安全方针、任务和措施。

第五条国家采取措施，监测、防御和应对来自中国人民和国内外的网络安全风险和威胁，保护重要信息基础设施免遭攻击、入侵、干扰和破坏，依法惩治互联网违法犯罪活动，维护网络空间安全和秩序。

第六条国家倡导诚实守信、健康文明的网络行为，推动传播社会主义核心价值观，采取措施提高全社会网络安全意识和水平，形成全社会参与推进网络安全的良好环境。

第七条国家积极开展网络空间治理、网络技术研发和标准制定、打击网络犯罪等方面的国际交流与合作，推动建设和平、安全、开放、合作的网络空间，建立多边、民主、透明的网络治理体系。

第八条国家网信部负责协调网络安全及相关监督管理工作。国务院电信主管部门、公安部门和其他有关部门在各自的职责范围内，依照本法和有关法律、行政法规，负责网络安全保护和监督管理工作。

县级以上地方人民政府有关部门的网络安全保护和监督管理职责，按照国家有关规定确定。

第九条网络经营者从事经营和服务活动，必须遵守法律、行政法规，尊重社会公德，恪守商业道德，诚实守信，履行网络安全保护义务，接受政府和社会监督，承担社会责任。

第十条建设和运营网络或者通过网络提供服务，应当依照法律、行政法规的规定和国家标准的强制性要求，采取技术措施和其他必要措施，保障网络安全稳定运行，有效应对网络安全事件，防范网络违法犯罪活动，维护网络数据的完整性、保密性和可用性。

第十一条涉网行业组织按照章程，加强行业自律，制定网络安全行为规范，引导会员加强网络安全防护，提高网络安全防护水平，促进行业健康发展。

第十二条国家保护公民、法人和其他组织依法使用互联网的权利，促进网络接入普及，提高网络服务水平，为社会提供安全便捷的网络服务，保障网络信息依法有序自由流动。

任何个人和组织使用互联网，应当遵守宪法法律，遵守公共秩序，尊重社会公德，不得危害网络安全，不得利用互联网危害国家安全、荣誉和利益，不得煽动颠覆国家政权、推翻社会主义制度，不得煽动分裂国家、破坏民族团结，不得宣传恐怖主义和极端主义，不得宣传民族仇恨和歧视，不得传播暴力、淫秽、色情信息，不得编造、传播虚假信息，扰乱经济秩序和社会。

第十三条国家支持研究开发有利于未成年人健康成长的网络产品和服务，依法惩处利用网络危害未成年人身心健康的活动，为未成年人提供安全健康的网络环境。

第十四条任何个人和组织有权向网信、电信、公安等部门举报危害网络安全的行为。接到举报的部门应当依法及时处理；不属于本部门职责的，应当及时移送有权处理的部门。

有关部门应当为举报人的相关信息保密，保护其合法权益。

第二章网络安全支持与推广

第十五条国家建立和完善网络安全标准体系。国务院标准化行政主管部门和国务院其他有关部门应当按照各自职责，组织制定并适时修订与网络安全管理和网络产品、服务、运行安全相关的国家标准和行业标准。

国家支持企业、科研机构、高等院校和网络相关行业组织参与网络安全国家标准和行业标准的制定。

第十六条国务院和省、自治区、直辖市人民政府应当统筹规划，加大投入，支持重点网络安全技术产业和项目，支持网络安全技术的研究、开发和应用，推广安全可靠的网络产品和服务，保护网络技术知识产权，支持企业、研究机构和高等院校参与国家网络安全技术创新工程。

第十七条国家推进社会化网络安全服务体系建设，鼓励相关企业事业单位提供认证、检测、风险评估等网络安全服务。

第十八条国家鼓励发展网络数据安全保护和利用技术，推进公共数据资源开放，促进技术创新和经济社会发展。

国家支持网络安全管理方式创新和网络新技术应用，提高网络安全防护水平。

第十九条各级人民政府及其有关部门应当定期组织网络安全宣传教育，指导和督促有关单位做好网络安全宣传教育工作。

大众传媒应当对社会开展有针对性的网络安全宣传教育。

第二十条国家支持企业、高等院校、职业学校及其他教育培训机构开展网络安全相关教育培训，采取多种方式培养网络安全人才，促进网络安全人才交流。

第三章网络运行安全

第一节一般规定

第二十一条国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保护网络不受干扰、破坏或者未经授权的访问，防止网络数据被泄露、窃取或者篡改:

(一)制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任；

(二)采取技术措施，防范计算机病毒和网络攻击、网络入侵等危害网络安全的行为；

(三)采取技术措施监控和记录网络运行状态和网络安全事件，并按照规定保存相关网络日志不少于六个月；

(四)采取数据分类、重要数据备份和加密等措施；

(五)法律、行政法规规定的其他义务。

第二十二条网络产品和服务应当符合相关国家标准的强制性要求。网络产品和服务的提供者不得设置恶意程序；发现其网络产品和服务存在安全缺陷、漏洞等风险时，应当立即采取补救措施，按照规定及时告知用户，并向有关主管部门报告。

网络产品和服务提供商应为其产品和服务提供持续的安全维护；在双方规定或约定的期限内，安全维护的提供不得终止。

网络产品或者服务具有收集用户信息功能的，其提供者应当向用户明示并取得同意；涉及用户个人信息的，还应当遵守本法和有关法律、行政法规关于个人信息保护的规定。

第二十三条网络关键设备和网络安全产品应当符合相关国家标准的强制性要求，并经有资质的机构安全认证或者安全检测符合要求后，方可销售或者提供。国家网信部门要会同国务院有关部门制定并公布网络安全重点网络设备和专用产品目录，推进安全认证和安全检测结果互认，避免重复认证和检测。

第二十四条网络运营者为用户办理入网、域名注册服务，办理固定电话、移动电话等入网手续，或者为用户提供信息传播、即时通信等服务时，应当在与用户签订协议或者确认提供服务时，要求用户提供真实身份信息。用户不提供真实身份信息的，网络运营者不得为其提供相关服务。

国家实施网络可信身份战略，支持研发安全便捷的电子认证技术，推动不同电子认证之间的互认。

第二十五条网络运营者应当制定网络安全事件应急预案，及时应对系统漏洞、计算机病毒、网络攻击、网络入侵等安全风险；一旦发生危及网络安全的事件，立即启动应急预案，采取相应的补救措施，并按规定向有关主管部门报告。

第二十六条开展网络安全认证、检测、风险评估等活动，发布系统漏洞、计算机病毒、网络攻击、网络入侵等网络安全信息。向社会公布的，应当遵守国家有关规定。

第二十七条任何个人和组织不得从事非法侵入他人网络、干扰他人网络正常功能、窃取网络数据等危害网络安全的活动；不得提供专门用于从事侵入网络、干扰网络正常功能和防护措施、窃取网络数据等危害网络安全活动的程序和工具；明知他人从事危害网络安全的活动，不得为其提供技术支持、广告推广、支付结算等服务。

第二十八条网络运营者应当为公安机关、国家安全机关维护国家安全、依法查处犯罪的活动提供技术支持和协助。

第二十九条国家支持网络运营者在网络安全信息收集、分析、通报和应急处置等方面开展合作，提高网络运营者的安全保障能力。

相关行业组织应当建立健全本行业网络安全防护规范和合作机制，加强网络安全风险分析评估，定期向会员进行风险提示，支持和协助会员应对网络安全风险。

第三十条网信部门和有关部门在履行网络安全保护职责中获取的信息只能用于维护网络安全的需要，不得用于其他目的。

第二节关键信息基础设施的运行安全

第三十一条国家在网络安全等级保护制度的基础上，对公共通信与信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他可能严重危及国家安全、国计民生和公众利益的关键信息基础设施，给予重点保护。关键信息基础设施的具体范围和安全保护措施由国务院规定。

国家鼓励关键信息基础设施以外的网络运营者自愿参与关键信息基础设施保护体系。

第三十二条按照国务院规定的职责分工，负责重要信息基础设施安全保护的部门应当分别编制并组织实施本行业、本领域的重要信息基础设施安全规划，并对重要信息基础设施的安全保护工作进行指导和监督。

第三十三条关键信息基础设施建设应当确保其具有支撑业务稳定持续运行的性能，并确保安全技术措施同步规划、同步建设、同步使用。

第三十四条除本法第二十一条规定外，关键信息基础设施运营者还应当履行下列安全保护义务:

(一)设立专门的安全管理机构和安全管理负责人，对负责人和关键岗位人员进行安全背景审查；

(二)定期对员工进行网络安全教育、技术培训和技能考核；

(三)重要系统和数据库的灾难恢复备份；

(四)制定网络安全事件应急预案并定期进行演练；

(五)法律、行政法规规定的其他义务。

第三十五条关键信息基础设施运营者采购可能影响国家安全的网络产品和服务，应当通过国家网信部门会同国务院有关部门组织的国家安全审查。

第三十六条关键信息基础设施运营者购买网络产品和服务，应当按照规定与提供者签订安全协议，明确安全保密义务和责任。

第三十七条关键信息基础设施运营者在中华人民共和国境内收集、生成的个人信息和重要数据应当存储在境内。因业务需要确需向境外提供的，应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估；法律、行政法规另有规定的，从其规定。

第三十八条关键信息基础设施运营者应当自行或者委托网络安全服务机构对其网络的安全性和可能存在的风险每年至少进行一次检查评估，并将检查评估和改进措施提交负责关键信息基础设施安全保护的相关部门。

第三十九条国家网信部应当协调相关部门采取以下措施，对关键信息基础设施进行安全保护:

(一)对关键信息基础设施的安全风险进行抽查，提出改进措施，必要时委托网络安全服务机构对网络存在的安全风险进行检测和评估；

(二)组织关键信息基础设施运营者定期开展网络安全应急演练，提高应对网络安全事件的水平和协调能力；

(三)推动相关部门、关键信息基础设施运营商、相关研究机构和网络安全服务机构之间的网络安全信息共享；

(四)为网络安全事件应急处置和网络功能恢复提供技术支持和帮助。

第四章网络信息安全

第四十条网络运营者应当对其收集的用户信息严格保密，建立健全用户信息保护制度。

第四十一条网络运营者收集和使用个人信息，应当遵循合法、公正、必要的原则，公开收集和使用规则，明确说明收集和使用信息的目的、方式和范围，并征得被收集者的同意。

网络经营者不得收集与其提供的服务无关的个人信息，不得违反法律、行政法规的规定和双方的约定收集、使用个人信息，并应当按照法律、行政法规的规定和与用户的约定处理其保存的个人信息。

第四十二条网络运营者不得泄露、篡改或者销毁其收集的个人信息；未经被收集人同意，不得向他人提供个人信息。但是，除非处理后无法识别特定的个体，并且无法恢复。

网络运营者应当采取技术措施和其他必要措施，保障其收集的个人信息的安全，防止信息泄露、损毁或者丢失。个人信息泄露、损毁、丢失时，应当立即采取补救措施，按照规定及时告知用户，并向有关主管部门报告。

第四十三条个人发现网络运营者违反法律、行政法规或者双方约定收集、使用其个人信息的，有权要求网络运营者删除其个人信息；发现网络运营者收集、存储的个人信息有错误的，有权要求网络运营者改正。网络经营者应当采取措施予以删除或者改正。

第四十四条任何个人或者组织不得窃取或者以其他非法手段获取个人信息，不得非法出售或者非法向他人提供个人信息。

第四十五条依法负有网络安全监督管理职责的部门及其工作人员，必须对在履行职责中知悉的个人信息、隐私和商业秘密严格保密，不得泄露、出售或者非法提供给他人。

第四十六条任何个人或者组织应当对其使用互联网负责，不得设立实施诈骗、传授犯罪方法、制作或者出售违禁物品和管制物品等违法犯罪活动的网站或者通讯群，不得利用互联网发布与实施诈骗、制作或者出售违禁物品和管制物品等违法犯罪活动有关的信息。

第四十七条网络运营者应当加强对用户发布信息的管理。发现法律、行政法规禁止发布、传播的信息，应当立即停止传播，采取消除等措施，防止信息传播，保存相关记录，并向有关主管部门报告。

第四十八条任何个人或者组织发送的电子信息以及任何组织提供的应用软件不得含有恶意程序，不得含有法律、行政法规禁止发布或者传播的信息。

电子信息发送服务提供者和应用软件下载服务提供者应当履行安全管理义务。知道其用户有前款规定行为的，应当停止提供服务，采取消除等措施，保存相关记录，并向有关主管部门报告。

第四十九条网络运营者应当建立网络信息安全投诉举报制度，公布投诉举报等信息，及时受理和处理网络信息安全投诉举报。

网络运营者应当配合网信部门和有关部门依法实施的监督检查。

第五十条国家网信部门和有关部门应当依法履行网络信息安全监督管理职责，发现法律、行政法规禁止发布、传输的信息，应当要求网络运营者停止传输，采取消除等措施，并保存相关记录；对于来自中华人民共和国境内和境外的上述信息，应当通知有关机构采取技术措施和其他必要措施阻断传播。

第五章监测、预警和应急处置

第五十一条国家建立网络安全监测、预警和信息通报制度。国家网信部门要统筹协调相关部门加强网络安全信息的收集、分析和通报，按照规定统一发布网络安全监测预警信息。

第五十二条负责关键信息基础设施安全保护的部门应当建立健全本行业、本领域的网络安全监测预警和信息通报制度，并按照规定报送网络安全监测预警信息。

第五十三条国家网信部应当协调有关部门建立健全网络安全风险评估和应急工作机制，制定网络安全事件应急预案，并定期组织演练。

负责关键信息基础设施安全保护的部门应当制定本行业、本领域网络安全事件应急预案，并定期组织演练。

网络安全事件应急预案应当根据事件发生后的危害程度、影响范围等因素对网络安全事件进行分类，并规定相应的应急措施。

第五十四条网络安全事件风险增大时，省级以上人民政府有关部门应当根据网络安全风险的特点和可能造成的危害，按照规定的权限和程序，采取下列措施:

(一)要求相关部门、机构和人员及时收集和报告相关信息，加强网络安全风险监控；

(二)组织相关部门、机构和专业人员对网络安全风险信息进行分析和评估，预测事件发生的可能性、影响范围和危害程度；

(三)向社会发布网络安全风险预警，发布避免和减轻危害的措施。

第五十五条发生网络安全事件时，应当立即启动网络安全事件应急预案，对网络安全事件进行调查和评估。要求网络运营者采取技术措施和其他必要措施，消除安全隐患，防止危害扩大，并及时向公众发布相关预警信息。

第五十六条省级以上人民政府有关部门在履行网络安全监督管理职责时，发现网络存在重大安全隐患或者安全事件的，可以按照规定权限和程序约谈网络运营者的法定代表人或者主要负责人。网络运营者应当按照要求采取措施整改消除隐患。

第五十七条因网络安全事件发生突发事件或者生产安全事故的，依照《中华人民共和国突发事件应对法》、《中华人民共和国安全生产法》等有关法律、行政法规处理。

第五十八条为维护国家安全和社会公共秩序，应对重大社会安全突发事件，国务院决定或者批准，可以在特定区域采取限制网络通信等临时措施。

第六章法律责任

第五十九条网络运营者未履行本法第二十一条、第二十五条规定的网络安全保护义务的，由有关主管部门责令改正，给予警告；拒不改正或者导致危害网络安全后果的，处1万元以上10万元以下罚款，对直接负责的主管人员处5000元以上5万元以下罚款。

关键信息基础设施的运营者未履行本法第三十三条、第三十四条、第三十六条、第三十八条规定的网络安全保护义务的，由有关主管部门责令改正，给予警告；拒不改正或者导致危害网络安全后果的，处十万元以上一百万元以下罚款，对直接负责的主管人员处一万元以上十万元以下罚款。

第六十条违反本法第二十二条第一款、第二款和第四十八条第一款的规定，有下列行为之一的，由有关主管部门责令改正，给予警告；拒不改正或者导致危害网络安全后果的，处五万元以上五十万元以下罚款，对直接负责的主管人员处一万元以上十万元以下罚款:

(一)设置恶意程序；

(二)未对其产品和服务存在的安全缺陷、漏洞等风险立即采取补救措施，或者未按照规定及时告知用户并向有关主管部门报告的；

(三)擅自终止为其产品和服务提供安全维护。

第六十一条网络运营者违反本法第二十四条第一款规定，未要求用户提供真实身份信息或者向未提供真实身份信息的用户提供相关服务的，由有关主管部门责令改正；拒不改正或者情节严重的，可以处五万元以上五十万元以下罚款，并由有关主管部门责令暂停相关业务、停业整顿、关闭网站、吊销相关业务许可证或者吊销营业执照，对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。

第六十二条违反本法第二十六条规定，开展网络安全认证、检测、风险评估等活动，或者向社会发布系统漏洞、计算机病毒、网络攻击、网络入侵等网络安全信息的，由有关主管部门责令改正，给予警告；拒不改正或者情节严重的，可以处1万元以上10万元以下罚款，并由有关主管部门责令暂停相关业务、停业整顿、关闭网站、吊销相关业务许可证或者吊销营业执照，对直接负责的主管人员和其他直接责任人员处5000元以上5万元以下罚款。

第六十三条违反本法第二十七条的规定，从事危害网络安全活动，或者提供专门用于从事危害网络安全活动的程序、工具，或者为他人从事危害网络安全活动提供技术支持、广告宣传、支付结算，尚不构成犯罪的，由公安机关予以没收，处五日以下拘留，可以并处五万元以上五十万元以下罚款；情节严重的，处五日以上十五日以下拘留，可以并处十万元以上一百万元以下罚款。

单位有前款行为的，由公安机关没收违法所得，并处10万元以上100万元以下的罚款，并对其直接负责的主管人员和其他直接责任人员依照前款的规定处罚。

违反本法第二十七条规定，受到治安管理处罚的人员，五年内不得从事网络安全管理和网络运行关键岗位的工作；受到刑事处罚的人员，终身不得从事网络安全管理和网络运营关键岗位工作。

第六十四条网络经营者、网络产品服务提供者违反本法第二十二条第三款、第四十一条至第四十三条的规定，侵犯依法受保护的个人信息权的，由有关主管部门责令改正，可以根据情节单处或者并处警告、没收违法所得、并处违法所得一倍以上十倍以下的罚款；没有违法所得的，处以一百万元以下的罚款，对直接责任人员处以一万元以上十万元以下的罚款。情节严重的，可以责令暂停相关业务、停业整顿、关闭网站、吊销相关业务许可证或者吊销营业执照。

违反本法第四十四条的规定，窃取或者以其他非法手段获取、非法出售或者非法提供他人个人信息，尚不构成犯罪的，由公安机关没收，并处违法所得一倍以上十倍以下的罚款。没有违法所得的，处以一百万元以下的罚款。

第六十五条关键信息基础设施运营者违反本法第三十五条规定，使用未经安全审查或者安全审查不合格的网络产品或者服务的，由有关主管部门责令停止使用，并处购买金额1倍以上10倍以下的罚款；对直接负责的主管人员和其他直接责任人员处以1万元以上10万元以下的罚款。

第六十六条关键信息基础设施运营者违反本法第三十七条规定，将网络数据存储在境外或者向境外提供网络数据的，由有关主管部门责令改正，给予警告，没收违法所得，并处五万元以上五十万元以下的罚款，并可以责令停业、停业整顿、关闭网站、吊销相关业务许可或者吊销营业执照；对直接负责的主管人员和其他直接责任人员处以1万元以上10万元以下的罚款。

第六十七条违反本法第四十六条的规定，建立实施违法犯罪活动的网站、通讯群，或者利用互联网发布与实施违法犯罪活动有关的信息，尚不构成犯罪的，由公安机关处五日以下拘留，可以并处一万元以上十万元以下罚款；情节严重的，处五日以上十五日以下拘留，可以并处五万元以上五十万元以下罚款。关闭用于实施违法犯罪活动的网站和分发群。

单位有前款行为的，由公安机关处十万元以上五十万元以下罚款，并对其直接负责的主管人员和其他直接责任人员依照前款的规定处罚。

第六十八条网络运营者违反本法第四十七条规定，未停止传输法律、行政法规禁止传输的信息，采取消除等措施并保存相关记录的，由有关主管部门责令改正，给予警告，没收违法所得；拒不改正或者情节严重的，可以处十万元以上五十万元以下罚款，并可以责令停业、停业整顿、关闭网站、吊销相关业务许可证或者吊销营业执照，对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。

电子信息发送服务提供者、应用软件下载服务提供者未履行本法第四十八条第二款规定的安全管理义务的，依照前款的规定处罚。

第六十九条网络经营者违反本法规定，有下列行为之一的，由有关主管部门责令改正；拒不改正或者情节严重的，处五万元以上五十万元以下罚款，对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款:

(一)未按照有关部门的要求