1.3 关键信息基础设施安全保护条例（国务院令第745号）

信源等级：L1 官方一手 ｜ 最后核验：2026-09-17

一、基本档案

项目	内容
通过	2021-04-27 国务院第133次常务会议
公布	2021-07-30（国务院令第745号，李克强总理签署）
施行	2021-09-01
上位法依据	《网络安全法》（第31~39条 CII 制度）

来源：中国政府网（gov.cn）、中央网信办（cac.gov.cn）2021-08-17 公布全文。

二、《网络安全法》中的 CII 定义（基础）

关键信息基础设施 = 公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务、国防科技工业等重要行业和领域的，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的重要网络设施、信息系统等。

三、条例核心制度框架

1. 认定与保护工作职责

• 国家网信部门负责统筹协调；国务院公安部门负责指导监督保护工作；
• 各行业主管部门负责本行业 CII 认定与安全保护（电力归能源局/发改委、银行归金融监管部门…）。

2. 运营者法定义务（核心条款）

义务类别	要点
安全保护责任	建立健全网络安全保护制度和责任制，落实主要负责人负总责
专门机构/人员	设置专门安全管理机构和安全管理负责人，对该负责人和关键岗位人员进行安全背景审查
教育培训	定期对从业人员进行网络安全教育、技术培训和技能考核
容灾备份	重要系统和数据库异地容灾备份
安全检测评估	每年至少进行一次网络安全检测和风险评估（可自行或委托第三方）
事件报告	发生网络安全事件按规定向有关部门报告
采购审查	采购网络产品和服务可能影响国家安全的，须通过网络安全审查（衔接《网络安全审查办法》）

3. 运营者禁止性要求（网安法层面）

• CII 运营者在境内运营中收集和产生的个人信息和重要数据应当在境内存储；确需向境外提供的，依规定进行安全评估（关于数据出境的最新口径以《网络数据安全管理条例》790号令为准）。

4. 法律责任

• CII 运营者违反保护义务：责令改正、警告，可处5万~10万；拒不改正或导致危害后果 → 10万~100万。
• 2025年网安法修订后将处罚上限进一步提高：丧失局部功能等严重 → 50万200万；丧失主要功能等特别严重 → 200万1000万（见 1.1 文档）。

四、与等保/工控的关系

CII 保护条例（745号令）── 适用重要行业领域网络与系统 ── 其中 工控系统（电力/能源/轨交/水务等）
        └───────────── 必须落实 ─────────────┘
            ● 网络安全等级保护（GB/T 22239 等保2.0）
            ● 关键业务系统每年安全检测评估
            ● 安全审查（采购网络产品服务）

• 电网、石油石化、轨道交通等行业的工控系统普遍被纳入 CII，工控安全合规 = 等保2.0 + CII 条例 + 行业规范三重叠加。
• 对产品供应商而言：能否通过检测认证、能否配合客户年度风险评估与等保测评，是进入关基客户供应链的关键。

五、来源引用

1. 中国政府网：关键信息基础设施安全保护条例（国令第745号，2021-08-17）
2. 中央网信办：关键信息基础设施安全保护条例（转载，2021-08-17）
3. 国务院公报2021年第25号