杭州市计算机信息网络安全保护管理条例

第一章总 则

第一条为加强计算机信息网络安全的保护和管理，维护国家安全、公共利益和社会稳定，维护公民、法人和其他组织的合法权益，促进信息化建设的健康发展，根据《中华人民共和国计算机信息系统安全保护条例》、《中华人民共和国计算机信息网络国际联网管理暂行规定》、《互联网信息服务管理办法》等规定，结合本市实际，制定本条例。

1. 本条例实施后，《中华人民共和国计算机信息系统安全保护条例》于2011年进行了修订。

2. 本条例实施后，《互联网信息服务管理办法》于2011年、2024年进行了2次修订。

3. 本条例实施后，《中华人民共和国计算机信息网络国际联网管理暂行规定》于2024年进行了修订。

第二条本条例所称的计算机信息网络，是指由计算机及其相关的和配套的设备、设施构成的，按照一定的应用目标和规则对信息进行制作、采集、加工、存储、传输、检索等处理的人机系统和运行体系。

计算机信息网络的安全，包括计算机信息系统及互联网络的运行安全和信息内容的安全。

1.《中华人民共和国计算机信息系统安全保护条例》第二条本条例所称的计算机信息系统，是指由计算机及其相关的和配套的设备、设施（含网络）构成的，按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统。

2.本条例的调整对象与上位行政法规一致，核心内容由上位法涵盖。

第三条杭州市行政区域内的计算机信息网络安全保护与管理活动，适用本条例。对涉及国家秘密的计算机信息系统（以下简称涉密信息系统）实行分级保护制度，按照国家保密法律法规和保密标准管理。

1.《中华人民共和国计算机信息系统安全保护条例》第九条计算机信息系统实行安全等级保护。安全等级的划分标准和安全等级保护的具体办法，由公安部会同有关部门制定。

2.《中华人民共和国保守国家秘密法》第三十条第一款存储、处理国家秘密的计算机信息系统（以下简称涉密信息系统）按照涉密程度实行分级保护。

3.本条关于网络安全部分的内容，由《中华人民共和国保守国家秘密法》《中华人民共和国网络安全法》《中华人民共和国计算机信息系统安全保护条例》等法律、相关行政法规涵盖。

第四条计算机信息网络安全坚持“保护与管理并重”和“谁主管、谁负责，谁运营、谁负责”的原则。

1.《中华人民共和国计算机信息系统安全保护条例》第三条计算机信息系统的安全保护，应当保障计算机及其相关的和配套的设备、设施（含网络）的安全，运行环境的安全，保障信息的安全，保障计算机功能的正常发挥，以维护计算机信息系统的安全运行。

2.《中华人民共和国计算机信息系统安全保护条例》第十三条计算机信息系统的使用单位应当建立健全安全管理制度，负责本单位计算机信息系统的安全保护工作。

3.《互联网信息服务管理办法》第十三条互联网信息服务提供者应当向上网用户提供良好的服务，并保证所提供的信息内容合法。

第五条市公安局根据本条例规定主管全市计算机信息网络安全保护管理工作。市公安局公共信息网络安全监察分局具体负责全市计算机信息网络安全保护管理工作。

各县（市）公安局和萧山区、余杭区公安分局负责本行政区域范围内计算机信息网络安全保护管理工作。

国家安全机关、保密工作部门、密码管理部门、信息化行政主管部门、互联网新闻信息服务管理部门及其他有关行政主管部门，负责各自职责范围内的计算机信息网络安全保护管理工作。

1.《中华人民共和国计算机信息系统安全保护条例》第六条公安部主管全国计算机信息系统安全保护工作。

国家安全部、国家保密局和国务院其他有关部门，在国务院规定的职责范围内做好计算机信息系统安全保护的有关工作。

第十七条公安机关对计算机信息系统安全保护工作行使下列监督职权：

（一）监督、检查、指导计算机信息系统安全保护工作；

（二）查处危害计算机信息系统安全的违法犯罪案件；

（三）履行计算机信息系统安全保护工作的其他监督职责。

2.《互联网信息服务管理办法》第十八条国务院信息产业主管部门和省、自治区、直辖市电信管理机构，依法对互联网信息服务实施监督管理。

新闻、出版、教育、卫生、药品监督管理、工商行政管理和公安、国家安全等有关主管部门，在各自职责范围内依法对互联网信息内容实施监督管理。

第六条单位和个人依法使用计算机信息网络的权利，受法律、法规和本条例保护。

任何单位和个人不得利用计算机信息网络从事危害国家安全、公共利益及社会秩序以及侵犯公民、法人和其他组织合法权益的活动，不得危害计算机信息网络的安全。

1.《中华人民共和国计算机信息系统安全保护条例》第七条任何组织或者个人，不得利用计算机信息系统从事危害国家利益、集体利益和公民合法利益的活动，不得危害计算机信息系统的安全。

2.《中华人民共和国计算机信息系统安全保护条例》第十三条计算机信息系统的使用单位应当建立健全安全管理制度，负责本单位计算机信息系统的安全保护工作。

第十五条互联网信息服务提供者不得制作、复制、发布、传播含有下列内容的信息：

（一）反对宪法所确定的基本原则的；

（二）危害国家安全，泄露国家秘密，颠覆国家政权，破坏国家统一的；

（三）损害国家荣誉和利益的；

（四）煽动民族仇恨、民族歧视，破坏民族团结的；

（五）破坏国家宗教政策，宣扬邪教和封建迷信的；

（六）散布谣言，扰乱社会秩序，破坏社会稳定的；

（七）散布淫秽、色情、赌博、暴力、凶杀、恐怖或者教唆犯罪的；

（八）侮辱或者诽谤他人，侵害他人合法权益的；

（九）含有法律、行政法规禁止的其他内容的。

3. 上位法已涵盖本条。

第二章安全保护和管理

第七条计算机信息系统实行安全等级保护制度。

计算机信息系统的安全保护等级分为五个等级。等级确定的原则、标准、各级别安全保护和管理内容按照国家和省有关规定执行。

涉密信息系统应当根据国家等级保护的基本要求，按照国家保密工作部门有关涉密信息系统分级保护管理规定和技术标准，结合系统实际情况进行保护。

1.《中华人民共和国计算机信息系统安全保护条例》第九条计算机信息系统实行安全等级保护。安全等级的划分标准和安全等级保护的具体办法，由公安部会同有关部门制定。

2.《信息安全等级保护管理办法》第七条信息系统的安全保护等级分为以下五级：

第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。

第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。

第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。

第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。

第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。

3.本条未与上位法已明确的等级划分标准、各级保护具体要求作对应衔接。

第八条计算机信息系统的运营、使用单位作为安全等级保护的责任主体，应当按照国家有关管理规范、技术标准确定计算机信息系统的安全保护等级。对新建、改建、扩建的计算机信息系统，运营、使用单位应当在规划、设计阶段确定计算机信息系统的安全保护等级，并同步建设符合该安全保护等级要求的信息安全设施。

1.《中华人民共和国计算机信息系统安全保护条例》第八条计算机信息系统的建设和应用，应当遵守法律、行政法规和国家其他有关规定。

第九条计算机信息系统实行安全等级保护。安全等级的划分标准和安全等级保护的具体办法，由公安部会同有关部门制定。

第十三条计算机信息系统的使用单位应当建立健全安全管理制度，负责本单位计算机信息系统的安全保护工作。

2.本条与《中华人民共和国计算机信息系统安全保护条例》核心内容已由《中华人民共和国网络安全法》确定并细化。

第九条新建的第二级以上计算机信息系统，其运营、使用单位应当在系统投入运行后三十日内到市公安局办理备案手续。已运行的第二级以上计算机信息系统，其运营、使用单位应当在安全保护等级确定后三十日内到市公安局办理备案手续。

1.《信息安全等级保护管理办法》第十五条第一款、第二款已运营（运行）的第二级以上信息系统，应当在安全保护等级确定后30日内，由其运营、使用单位到所在地设区的市级以上公安机关办理备案手续。

新建第二级以上信息系统，应当在投入运行后30日内，由其运营、使用单位到所在地设区的市级以上公安机关办理备案手续。

2. 上位法已涵盖本条。

第十条计算机信息系统运营、使用单位应当建立计算机信息系统安全状况日常检测工作制度。

计算机信息系统运营、使用单位应当按照国家有关管理规范和技术标准，定期对计算机信息系统安全等级状况开展等级测评，对计算机信息系统安全状况、安全保护制度及措施的落实情况进行自查。经测评或者自查，计算机信息系统安全状况未达到安全保护等级要求的，运营、使用单位应当制定方案进行整改。

1.《中华人民共和国网络安全法》第二十一条国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，

履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改：

（一）制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任；

（二）采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施；

（三）采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月；

（四）采取数据分类、重要数据备份和加密等措施；

（五）法律、行政法规规定的其他义务。

2.《信息安全等级保护管理办法》第十四条信息系统建设完成后，运营、使用单位或者其主管部门应当选择符合本办法规定条件的测评机构，依据《信息系统安全等级保护测评要求》等技术标准，定期对信息系统安全等级状况开展等级测评。第三级信息系统应当每年至少进行一次等级测评，第四级信息系统应当每半年至少进行一次等级测评，第五级信息系统应当依据特殊安全需求进行等级测评。

信息系统运营、使用单位及其主管部门应当定期对信息系统安全状况、安全保护制度及措施的落实情况进行自查。第三级信息系统应当每年至少进行一次自查，第四级信息系统应当每半年至少进行一次自查，第五级信息系统应当依据特殊安全需求进行自查。

经测评或者自查，信息系统安全状况未达到安全保护等级要求的，运营、使用单位应当制定方案进行整改。

3.《中华人民共和国计算机信息系统安全保护条例》第十三条　计算机信息系统的使用单位应当建立健全安全管理制度，负责本单位计算机信息系统的安全保护工作。

4.本条现由《中华人民共和国网络安全法》确认并细化。

第十一条计算机信息系统运营、使用单位应当建立并落实以下安全保护制度：

（一）安全责任制度和保密制度；

（二）核实、登记并及时更新用户注册信息制度；

（三）信息发布审核、登记、保存、清除和备份制度；

（四）信息网络安全教育和培训制度；

（五）信息网络安全应急处置制度；

（六）违法案件报告和协助查处制度；

（七）国家和省规定的其他安全保护制度。

1.《中华人民共和国网络安全法》第三十八条关键信息基础设施的运营者应当自行或者委托网络安全服务机构对其网络的安全性和可能存在的风险每年至少进行一次检测评估，并将检测评估情况和改进措施报送相关负责关键信息基础设施安全保护工作的部门。

第三十九条国家网信部门应当统筹协调有关部门对关键信息基础设施的安全保护采取下列措施：

（一）对关键信息基础设施的安全风险进行抽查检测，提出改进措施，必要时可以委托网络安全服务机构对网络存在的安全风险进行检测评估；

（二）定期组织关键信息基础设施的运营者进行网络安全应急演练，提高应对网络安全事件的水平和协同配合能力；

（三）促进有关部门、关键信息基础设施的运营者以及有关研究机构、网络安全服务机构等之间的网络安全信息共享；

（四）对网络安全事件的应急处置与网络功能的恢复等，提供技术支持和协助。

2.《信息安全等级保护管理办法》第十三条运营、使用单位应当参照《信息安全技术信息系统安全管理要求》（GB/T20269-2006）、《信息安全技术 信息系统安全工程管理要求》（GB/T20282-2006）、《信息系统安全等级保护基本要求》等管理规范，制定并落实符合本系统安全保护等级要求的安全管理制度。

第十四条第一款信息系统建设完成后，运营、使用单位或者其主管部门应当选择符合本办法规定条件的测评机构，依据《信息系统安全等级保护测评要求》等技术标准，定期对信息系统安全等级状况开展等级测评。第三级信息系统应当每年至少进行一次等级测评，第四级信息系统应当每半年至少进行一次等级测评，第五级信息系统应当依据特殊安全需求进行等级测评。

3.《互联网信息服务管理办法》第十三条互联网信息服务提供者应当向上网用户提供良好的服务，并保证所提供的信息内容合法。

第十四条从事新闻、出版以及电子公告等服务项目的互联网信息服务提供者，应当记录提供的信息内容及其发布时间、互联网地址或者域名；互联网接入服务提供者应当记录上网用户的上网时间、用户账号、互联网地址或者域名、主叫电话号码等信息。

互联网信息服务提供者和互联网接入服务提供者的记录备份应当保存60日，并在国家有关机关依法查询时，予以提供。

第十六条互联网信息服务提供者发现其网站传输的信息明显属于本办法第十五条所列内容之一的，应当立即停止传输，保存有关记录，并向国家有关机关报告。

4.《中华人民共和国计算机信息系统安全保护条例》第十三条计算机信息系统的使用单位应当建立健全安全管理制度，负责本单位计算机信息系统的安全保护工作

5.本条现由《中华人民共和国网络安全法》确认并细化。

第十二条计算机信息系统运营、使用单位应当落实以下安全保护技术措施：

（一）系统重要数据备份、容灾恢复措施；

（二）计算机病毒等破坏性程序的防治措施；

（三）系统运行和用户使用日志备份并保存六十日以上的措施；

（四）记录、监测网络运行状态和各种网络安全事件的安全审计措施；

（五）网络安全隔离以及防范网络入侵、攻击破坏等危害网络安全行为的措施；

（六）密钥、密码安全管理措施；

（七）国家和省规定的其他安全保护技术措施。

1.《中华人民共和国网络安全法》第二十一条国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改：

（一）制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任；

（二）采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施；

（三）采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月；

（四）采取数据分类、重要数据备份和加密等措施；

（五）法律、行政法规规定的其他义务。

2.《信息安全等级保护管理办法》第十二条在信息系统建设过程中，运营、使用单位应当按照《计算机信息系统安全保护等级划分准则》（GB17859-1999）、《信息系统安全等级保护基本要求》等技术标准，参照《信息安全技术 信息系统通用安全技术要求》（GB/T20271-2006）、《信息安全技术 网络基础安全技术要求》（GB/T20270-2006）、《信息安全技术 操作系统安全技术要求》（GB/T20272-2006）、《信息安全技术 数据库管理系统安全技术要求》（GB/T20273-2006）、《信息安全技术 服务器技术要求》、《信息安全技术 终端计算机系统安全等级技术要求》（GA/T671-2006）等技术标准同步建设符合该等级要求的信息安全设施。

第十三条运营、使用单位应当参照《信息安全技术信息系统安全管理要求》（GB/T20269-2006）、《信息安全技术 信息系统安全工程管理要求》（GB/T20282-2006）、《信息系统安全等级保护基本要求》等管理规范，制定并落实符合本系统安全保护等级要求的安全管理制度。

第三十四条国家密码管理部门对信息安全等级保护的密码实行分类分级管理。根据被保护对象在国家安全、社会稳定、经济建设中的作用和重要程度，被保护对象的安全防护要求和涉密程度，被保护对象被破坏后的危害程度以及密码使用部门的性质等，确定密码的等级保护准则。

信息系统运营、使用单位采用密码进行等级保护的，应当遵照《信息安全等级保护密码管理办法》、《信息安全等级保护商用密码技术要求》等密码管理规定和相关标准。

第三十五条信息系统安全等级保护中密码的配备、使用和管理等，应当严格执行国家密码管理的有关规定。

第三十六条信息系统运营、使用单位应当充分运用密码技术对信息系统进行保护。采用密码对涉及国家秘密的信息和信息系统进行保护的，应报经国家密码管理局审批，密码的设计、实施、使用、运行维护和日常管理等，应当按照国家密码管理有关规定和相关标准执行；采用密码对不涉及国家秘密的信息和信息系统进行保护的，须遵守《商用密码管理条例》和密码分类分级保护有关规定与相关标准，其密码的配备使用情况应当向国家密码管理机构备案。

第三十七条运用密码技术对信息系统进行系统等级保护建设和整改的，必须采用经国家密码管理部门批准使用或者准于销售的密码产品进行安全保护，不得采用国外引进或者擅自研制的密码产品；未经批准不得采用含有加密功能的进口信息技术产品。

第三十八条信息系统中的密码及密码设备的测评工作由国家密码管理局认可的测评机构承担，其他任何部门、单位和个人不得对密码进行评测和监控。

3.《互联网信息服务管理办法》第十四条从事新闻、出版以及电子公告等服务项目的互联网信息服务提供者，应当记录提供的信息内容及其发布时间、互联网地址或者域名；互联网接入服务提供者应当记录上网用户的上网时间、用户账号、互联网地址或者域名、主叫电话号码等信息。

互联网信息服务提供者和互联网接入服务提供者的记录备份应当保存60日，并在国家有关机关依法查询时，予以提供。

第十六条互联网信息服务提供者发现其网站传输的信息明显属于本办法第十五条所列内容之一的，应当立即停止传输，保存有关记录，并向国家有关机关报告。

4.《中华人民共和国计算机信息系统安全保护条例》第十三条计算机信息系统的使用单位应当建立健全安全管理制度，负责本单位计算机信息系统的安全保护工作。

5. 上位法已完整涵盖本条核心内容，且对安全保护技术措施等相关规范做了进一步的细化完善。

第十三条计算机信息系统运营、使用单位应当制定重大突发事件应急处置预案。发生重大突发事件时，运营、使用单位应当按照应急处置预案的要求采取相应的处置措施，并服从公安机关和国家指定的专门部门的调度。

本条例所称的重大突发事件，是指有害信息大范围传播、大规模网络攻击、计算机病毒疫情等危害计算机信息系统安全的重大事件。

1.《中华人民共和国网络安全法》第二十五条网络运营者应当制定网络安全事件应急预案，及时处置系统漏洞、计算机病毒、网络攻击、网络侵入等安全风险；在发生危害网络安全的事件时，立即启动应急预案，采取相应的补救措施，并按照规定向有关主管部门报告。

2.《信息安全等级保护管理办法》第十九条信息系统运营、使用单位应当接受公安机关、国家指定的专门部门的安全监督、检查、指导，如实向公安机关、国家指定的专门部门提供下列有关信息安全保护的信息资料及数据文件：

（八）信息安全事件应急预案，信息安全事件应急处置结果报告；

3.《中华人民共和国计算机信息系统安全保护条例》第十九条公安部在紧急情况下，可以就涉及计算机信息系统安全的特定事项发布专项通令。

4.上位法已完整涵盖本条其核心内容，且对重大突发事件等相关规范做了进一步的细化完善。

第十四条计算机信息系统中发生重大安全事故的，计算机信息系统运营、使用单位应当在二十四小时内向所在地公安机关报告，违反国家保密法规定泄露国家秘密的，应当向所在地保密工作部门报告，并保留有关原始记录。因计算机病毒等破坏性程序发生计算机信息系统瘫痪、程序和数据严重损坏等安全事故的，计算机信息系统运营、使用单位还应当向所在地公安机关提供计算机病毒等破坏性程序的样本。

公安机关、国家安全机关、保密工作部门对危害计算机信息网络安全和涉嫌违法犯罪的活动依法进行调查时，计算机信息系统运营、使用单位应当依法如实提供有关信息、资料及数据文件。

1.《中华人民共和国网络安全法》第五十七条因网络安全事件，发生突发事件或者生产安全事故的，应当依照《中华人民共和国突发事件应对法》、《中华人民共和国安全生产法》等有关法律、行政法规的规定处置。

2.《中华人民共和国计算机信息系统安全保护条例》第十四条对计算机信息系统中发生的案件，有关使用单位应当在24小时内向当地县级以上人民政府公安机关报告。

3.《互联网信息服务管理办法》第十六条互联网信息服务提供者发现其网站传输的信息明显属于本办法第十五条所列内容之一的，应当立即停止传输，保存有关记录，并向国家有关机关报告。

4.《中华人民共和国保守国家秘密法》第三十四条网络运营者应当加强对其用户发布的信息的管理，配合监察机关、保密行政管理部门、公安机关、国家安全机关对涉嫌泄露国家秘密案件进行调查处理；发现利用互联网及其他公共信息网络发布的信息涉嫌泄露国家秘密的，应当立即停止传输该信息，保存有关记录，向保密行政管理部门或者公安机关、国家安全机关报告；应当根据保密行政管理部门或者公安机关、国家安全机关的要求，删除涉及泄露国家秘密的信息，并对有关设备进行技术处理。

5.上位法已完整涵盖本条其核心内容，且对计算机信息系统重大安全事故的应对方式做了进一步的细化完善。

第十五条计算机信息系统的规划、建设、运营和使用单位在计算机信息系统安全保护设施的规划、建设中，应当依照国家信息安全等级保护管理规范和技术标准，使用符合国家有关规定并满足计算机信息系统安全保护需求的信息安全产品。

1.《中华人民共和国网络安全法》第二十二条网络产品、服务应当符合相关国家标准的强制性要求。网络产品、服务的提供者不得设置恶意程序；发现其网络产品、服务存在安全缺陷、漏洞等风险时，应当立即采取补救措施，按照规定及时告知用户并向有关主管部门报告。

网络产品、服务的提供者应当为其产品、服务持续提供安全维护；在规定或者当事人约定的期限内，不得终止提供安全维护。

网络产品、服务具有收集用户信息功能的，其提供者应当向用户明示并取得同意；涉及用户个人信息的，还应当遵守本法和有关法律、行政法规关于个人信息保护的规定。

第二十三条网络关键设备和网络安全专用产品应当按照相关国家标准的强制性要求，由具备资格的机构安全认证合格或者安全检测符合要求后，方可销售或者提供。国家网信部门会同国务院有关部门制定、公布网络关键设备和网络安全专用产品目录，并推动安全认证和安全检测结果互认，避免重复认证、检测。

2.《信息安全等级保护管理办法》第十一条信息系统的安全保护等级确定后，运营、使用单位应当按照国家信息安全等级保护管理规范和技术标准，使用符合国家有关规定，满足信息系统安全保护等级需求的信息技术产品，开展信息系统安全建设或者改建工作。

3.上位法已完整涵盖本条其核心内容，且对信息安全等级保护做了进一步的细化完善。

第十六条信息安全服务机构应当按照有关法律、法规和相关信息安全技术标准的规定提供信息安全服务，并保守计算机信息系统的技术秘密。

信息安全服务机构发现、掌握危害计算机信息网络安全的证据时，应当及时向所在地公安机关报告并提供所发现、掌握的计算机病毒等破坏性程序的样本。

1.《中华人民共和国网络安全法》第二十八条网络运营者应当为公安机关、国家安全机关依法维护国家安全和侦查犯罪的活动提供技术支持和协助。

2.《信息安全等级保护管理办法》第二十三条　从事信息系统安全等级测评的机构，应当履行下列义务：

（一）遵守国家有关法律法规和技术标准，提供安全、客观、公正的检测评估服务，保证测评的质量和效果；

（二）保守在测评活动中知悉的国家秘密、商业秘密和个人隐私，防范测评风险；

（三）对测评人员进行安全保密教育，与其签订安全保密责任书，规定应当履行的安全保密义务和承担的法律责任，并负责检查落实。

第十九条信息系统运营、使用单位应当接受公安机关、国家指定的专门部门的安全监督、检查、指导，如实向公安机关、国家指定的专门部门提供下列有关信息安全保护的信息资料及数据文件：

（八）信息安全事件应急预案，信息安全事件应急处置结果报告；

3.《中华人民共和国计算机信息系统安全保护条例》第十四条对计算机信息系统中发生的案件，有关使用单位应当在24小时内向当地县级以上人民政府公安机关报告。

第十五条对计算机病毒和危害社会公共安全的其他有害数据的防治研究工作，由公安部归口管理。

4.上位法已完整涵盖本条其核心内容。

第三章公共秩序管理

第十七条计算机信息系统运营、服务单位应当自网络联通之日起三十日内向所在地公安机关备案。

1.《信息安全等级保护管理办法》第十五条第一款、第二款已运营（运行）的第二级以上信息系统，应当在安全保护等级确定后30日内，由其运营、使用单位到所在地设区的市级以上公安机关办理备案手续。

新建第二级以上信息系统，应当在投入运行后30日内，由其运营、使用单位到所在地设区的市级以上公安机关办理备案手续。

2.《计算机信息网络国际联网安全保护管理办法》第十二条第一款互联单位、接入单位、使用计算机信息网络国际联网的法人和其他组织（包括跨省、自治区、直辖市联网的单位和所属的分支机构），应当自网络正式联通之日起30日内，到所在地的省、自治区、直辖市人民政府公安机关指定的受理机关办理备案手续。

3.本条内容无上位法依据，《信息安全等级保护管理办法》仅对第二级以上信息系统提出备案要求。

第十八条互联网接入服务提供者及主机托管、租赁和虚拟空间租用等互联网数据中心服务提供者，应当建立并落实以下安全保护制度和安全保护技术措施：

（一）如实登记申请服务的用户基本情况、网络应用种类和范围以及身份证明，每月将用户登记情况及所分配的网络地址等有关情况报所在地公安机关备案；

（二）依法与用户签订服务协议，明确双方应当承担的信息安全法律责任；

（三）定期核查用户的网络应用种类和范围，发现用户的活动超出协议约定的应用种类和范围的，应当及时予以纠正；发现传输的内容明显属于本条例第二十三条规定情形的，应当立即停止传输违法内容，保存相关记录，并向所在地公安机关报告。

互联网接入服务提供者应当记录上网用户的上网时间、用户账号、互联网网络地址或者域名、主叫电话号码等信息。

1.《中华人民共和国网络安全法》第二十四条网络运营者为用户办理网络接入、域名注册服务，办理固定电话、移动电话等入网手续，或者为用户提供信息发布、即时通讯等服务，在与用户签订协议或者确认提供服务时，应当要求用户提供真实身份信息。用户不提供真实身份信息的，网络运营者不得为其提供相关服务。

2.《互联网信息服务管理办法》第六条从事经营性互联网信息服务，除应当符合《中华人民共和国电信条例》规定的要求外，还应当具备下列条件：

（一）有业务发展计划及相关技术方案；

（二）有健全的网络与信息安全保障措施，包括网站安全保障措施、信息安全保密管理制度、用户信息安全管理制度；

（三）服务项目属于本办法第五条规定范围的，已取得有关主管部门同意的文件。

第十四条从事新闻、出版以及电子公告等服务项目的互联网信息服务提供者，应当记录提供的信息内容及其发布时间、互联网地址或者域名；互联网接入服务提供者应当记录上网用户的上网时间、用户账号、互联网地址或者域名、主叫电话号码等信息。

互联网信息服务提供者和互联网接入服务提供者的记录备份应当保存60日，并在国家有关机关依法查询时，予以提供。

第十六条互联网信息服务提供者发现其网站传输的信息明显属于本办法第十五条所列内容之一的，应当立即停止传输，保存有关记录，并向国家有关机关报告。

3.《中华人民共和国计算机信息系统安全保护条例》第十三条计算机信息系统的使用单位应当建立健全安全管理制度，负责本单位计算机信息系统的安全保护工作。

4.本条的安全保护制度和安全保护技术措施由《中华人民共和国网络安全法》第二十一条、第三十八条、三十九条取代或涵盖。

第十九条互联网信息服务提供者应当建立信息审核制度，明确信息审核人员，发现属于本条例第二十三条规定情形信息的，应当立即删除违法内容，保存相关记录，并向所在地公安机关报告。涉及其他部门的，向有关主管部门报告。

互联网信息服务提供者应当建立并落实以下安全保护制度和安全保护技术措施：

（一）提供新闻、出版以及电子公告等服务的，能够记录所发布信息的内容、时间及互联网网络地址或者域名，并留存六十日以上；

（二）开办政务、新闻、重点商务网站的，能够防范网站、网页被篡改，发现被篡改后能够立即恢复；

（三）提供电子公告、网络游戏和其他即时通信服务的，具有用户注册信息和发布信息审核功能，并如实登记向其申请开设上述服务的用户的有效身份证明；

（四）提供电子邮件和网上短信息服务的，具有信息群发限制措施，能够防范以群发方式发送伪造或者隐匿信息发送者真实标记的电子邮件或者短信息；

（五）提供电子公告服务或其他交互式信息服务的，其计算机信息网络应当使用固定的互联网网络地址。

前款所称的电子公告服务，是指在互联网上以论坛、聊天室、留言板、博客等交互形式为上网用户提供信息发布条件的行为。

1.《中华人民共和国网络安全法》第四十七条网络运营者应当加强对其用户发布的信息的管理，发现法律、行政法规禁止发布或者传输的信息的，应当立即停止传输该信息，采取消除等处置措施，防止信息扩散，保存有关记录，并向有关主管部门报告。

2.《互联网信息服务管理办法》第四条国家对经营性互联网信息服务实行许可制度；对非经营性互联网信息服务实行备案制度。

未取得许可或者未履行备案手续的，不得从事互联网信息服务。

第七条第一款从事经营性互联网信息服务，应当向省、自治区、直辖市电信管理机构或者国务院信息产业主管部门申请办理互联网信息服务增值电信业务经营许可证（以下简称经营许可证）。

第九条从事互联网信息服务，拟开办电子公告服务的，应当在申请经营性互联网信息服务许可或者办理非经营性互联网信息服务备案时，按照国家有关规定提出专项申请或者专项备案。

第十四条从事新闻、出版以及电子公告等服务项目的互联网信息服务提供者，应当记录提供的信息内容及其发布时间、互联网地址或者域名；互联网接入服务提供者应当记录上网用户的上网时间、用户账号、互联网地址或者域名、主叫电话号码等信息。

互联网信息服务提供者和互联网接入服务提供者的记录备份应当保存60日，并在国家有关机关依法查询时，予以提供。

第十五条互联网信息服务提供者不得制作、复制、发布、传播含有下列内容的信息：

（一）反对宪法所确定的基本原则的；

（二）危害国家安全，泄露国家秘密，颠覆国家政权，破坏国家统一的；

（三）损害国家荣誉和利益的；

（四）煽动民族仇恨、民族歧视，破坏民族团结的；

（五）破坏国家宗教政策，宣扬邪教和封建迷信的；

（六）散布谣言，扰乱社会秩序，破坏社会稳定的；

（七）散布淫秽、色情、赌博、暴力、凶杀、恐怖或者教唆犯罪的；

（八）侮辱或者诽谤他人，侵害他人合法权益的；

（九）含有法律、行政法规禁止的其他内容的。

3.本条对于互联网信息的审核要求，《互联网信息服务管理办法》第十四条、第十五条有更详细规定。

第二十条设立互联网上网服务营业场所的经营单位，应当在申领《网络文化经营许可证》之前到所在地公安机关申请信息网络安全审核。互联网上网服务营业场所经营单位变更营业场所或者对营业场所进行改建、扩建的，应当事先经原审核机关同意。

互联网上网服务营业场所经营单位变更名称、住所、法定代表人或者主要负责人、注册资本、网络地址或者终止经营活动的，应当依法到工商行政主管部门办理变更登记或者注销登记，并到文化行政部门、公安机关办理有关手续或者备案。

非经营性互联网上网服务提供单位应当自提供上网服务之日起十五日内向所在地公安机关备案，其法定代表人、营业场所、网络地址等发生变更的，应当自变更之日起十五日内报原备案机关备案。

1.《互联网信息服务管理办法》第十一条第三款互联网信息服务提供者变更服务项目、网站网址等事项的，应当提前30日向原审核、发证或者备案机关办理变更手续。

2.《互联网上网服务营业场所管理条例》第八条互联网上网服务营业场所经营单位从事互联网上网服务经营活动，应当具备下列条件：

（一）有企业的名称、住所、组织机构和章程；

（二）有与其经营活动相适应的资金；

（三）有与其经营活动相适应并符合国家规定的消防安全条件的营业场所；

（四）有健全、完善的信息网络安全管理制度和安全技术措施；

（五）有固定的网络地址和与其经营活动相适应的计算机等装置及附属设备；

（六）有与其经营活动相适应并取得从业资格的安全管理人员、经营管理人员、专业技术人员；

（七）法律、行政法规和国务院有关部门规定的其他条件。

互联网上网服务营业场所的最低营业面积、计算机等装置及附属设备数量、单机面积的标准，由国务院文化行政部门规定。

审批从事互联网上网服务经营活动，除依照本条第一款、第二款规定的条件外，还应当符合国务院文化行政部门和省、自治区、直辖市人民政府文化行政部门规定的互联网上网服务营业场所经营单位的总量和布局要求。

第十三条互联网上网服务营业场所经营单位变更营业场所地址或者对营业场所进行改建、扩建，变更计算机数量或者其他重要事项的，应当经原审核机关同意。

互联网上网服务营业场所经营单位变更名称、住所、法定代表人或者主要负责人、注册资本、网络地址或者终止经营活动的，应当依法到工商行政管理部门办理变更登记或者注销登记，并到文化行政部门、公安机关办理有关手续或者备案。

3.《非经营性互联网信息服务备案管理办法》第五条在中华人民共和国境内提供非经营性互联网信息服务，应当依法履行备案手续。

未经备案，不得在中华人民共和国境内从事非经营性互联网信息服务。

本办法所称在中华人民共和国境内提供非经营性互联网信息服务，是指在中华人民共和国境内的组织或个人利用通过互联网域名访问的网站或者利用仅能通过互联网IP地址访问的网站，提供非经营性互联网信息服务。

4.上位法并未要求设立互联网上网服务营业场所的经营单位，应当在申领《网络文化经营许可证》之前到所在地公安机关申请信息网络安全审核。

第二十一条互联网上网服务提供单位应当建立并落实以下安全保护制度和安全保护技术措施：

（一）提供互联网上网服务的服务器应当使用固定的互联网网络地址；

（二）如实登记用户有效身份证明、上网时间等有关情况，登记记录应当保留六十日以上；

（三）安装具有防病毒、防入侵、防违法信息传播、记录上网用户日志等功能的安全保护技术设施，并保证其在线正常运行；

（四）发现法律、法规所禁止的行为和信息时，应当立即停止传播违法内容，保存有关日志和记录，并向所在地公安机关报告；

（五）提供无线接入服务的互联网上网服务场所，应当记录并留存用户信息及对应的计算机信息。

1.《互联网上网服务营业场所管理条例》第二十三条互联网上网服务营业场所经营单位应当对上网消费者的身份证等有效证件进行核对、登记，并记录有关上网信息。登记内容和记录备份保存时间不得少于60日，并在文化行政部门、公安机关依法查询时予以提供。登记内容和记录备份在保存期内不得修改或者删除。

第十九条互联网上网服务营业场所经营单位应当实施经营管理技术措施，建立场内巡查制度，发现上网消费者有本条例第十四条、第十五条、第十八条所列行为或者有其他违法行为的，应当立即予以制止并向文化行政部门、公安机关举报。

第十四条互联网上网服务营业场所经营单位和上网消费者不得利用互联网上网服务营业场所制作、下载、复制、查阅、发布、传播或者以其他方式使用含有下列内容的信息：

（一）反对宪法确定的基本原则的；

（二）危害国家统一、主权和领土完整的；

（三）泄露国家秘密，危害国家安全或者损害国家荣誉和利益的；

（四）煽动民族仇恨、民族歧视，破坏民族团结，或者侵害民族风俗、习惯的；

（五）破坏国家宗教政策，宣扬邪教、迷信的；

（六）散布谣言，扰乱社会秩序，破坏社会稳定的；

（七）宣传淫秽、赌博、暴力或者教唆犯罪的；

（八）侮辱或者诽谤他人，侵害他人合法权益的；

（九）危害社会公德或者民族优秀文化传统的；

（十）含有法律、行政法规禁止的其他内容的。

第十五条互联网上网服务营业场所经营单位和上网消费者不得进行下列危害信息网络安全的活动：

（一）故意制作或者传播计算机病毒以及其他破坏性程序的；

（二）非法侵入计算机信息系统或者破坏计算机信息系统功能、数据和应用程序的；

（三）进行法律、行政法规禁止的其他活动的。

第十八条互联网上网服务营业场所经营单位和上网消费者不得利用网络游戏或者其他方式进行赌博或者变相赌博活动。

2.上位法对互联网上网服务提供者网络安全保障义务进行专门规定，涵盖或取代本条内容。

第二十二条任何单位或者个人不得从事下列危害计算机信息网络安全和秩序的行为：

（一）擅自进入、使用他人计算机信息网络；

（二）擅自增加、修改、删除、复制他人计算机信息网络的数据；

（三）擅自增加、修改、删除、干扰他人计算机信息网络的功能；

（四）破坏计算机信息网络运行环境、设备设施；

（五）窃取、盗用、篡改、破坏他人网络资源；

（六）故意制作、传播、使用计算机病毒、恶意软件等破坏性程序，或者制作、发布、复制、传播含破坏性程序或其机理、源程序的信息；

（七）故意阻塞、阻碍、中断计算机信息网络的信息传输，恶意占用网络资源；

（八）利用计算机信息网络大量或者多次发送电子邮件、短信息等，干扰他人正常生活秩序或者网络秩序；

（九）利用计算机信息网络违背他人意愿、冒用他人名义发布信息；

（十）明知本单位或本人的计算机信息网络的网络地址、主机空间等资源已被他人利用，从事可能危害计算机信息网络安全的活动而不予制止；

（十一）擅自利用计算机信息网络收集、使用、提供、买卖他人专有信息；

（十二）其他危害计算机信息网络安全和秩序的行为。

1.《中华人民共和国网络安全法》第二十七条任何个人和组织不得从事非法侵入他人网络、干扰他人网络正常功能、窃取网络数据等危害网络安全的活动；不得提供专门用于从事侵入网络、干扰网络正常功能及防护措施、窃取网络数据等危害网络安全活动的程序、工具；明知他人从事危害网络安全的活动的，不得为其提供技术支持、广告推广、支付结算等帮助。

2.《中华人民共和国计算机信息系统安全保护条例》第七条任何组织或者个人，不得利用计算机信息系统从事危害国家利益、集体利益和公民合法利益的活动，不得危害计算机信息系统的安全。

第二十三条故意输入计算机病毒以及其他有害数据危害计算机信息系统安全的，或者未经许可出售计算机信息系统安全专用产品的，由公安机关处以警告或者对个人处以5000元以下的罚款、对单位处以15万元以下的罚款；有违法所得的，除予以没收外，可以处以违法所得1至3倍的罚款。

3.《互联网信息服务管理办法》第十五条互联网信息服务提供者不得制作、复制、发布、传播含有下列内容的信息：

（一）反对宪法所确定的基本原则的；

（二）危害国家安全，泄露国家秘密，颠覆国家政权，破坏国家统一的；

（三）损害国家荣誉和利益的；

（四）煽动民族仇恨、民族歧视，破坏民族团结的；

（五）破坏国家宗教政策，宣扬邪教和封建迷信的；

(六)散布谣言，扰乱社会秩序，破坏社会稳定的；

(七)散布淫秽、色情、赌博、暴力、凶杀、恐怖或者教唆犯罪的；

(八)侮辱或者诽谤他人，侵害他人合法权益的；

(九)含有法律、行政法规禁止的其他内容的。

第十六条互联网信息服务提供者发现其网站传输的信息明显属于本办法第十五条所列内容之一的，应当立即停止传输，保存有关记录，并向国家有关机关报告。

4.《计算机信息网络国际联网安全保护管理办法》第六条任何单位和个人不得从事下列危害计算机信息网络安全的活动：

（一）未经允许，进入计算机信息网络或者使用计算机信息网络资源的；

（二）未经允许，对计算机信息网络功能进行删除、修改或者增加的；

（三）未经允许，对计算机信息网络中存储、处理或者传输的数据和应用程序进行删除、修改或者增加的；

（四）故意制作、传播计算机病毒等破坏性程序的；

（五）其他危害计算机信息网络安全的。

5.《中华人民共和国网络安全法》第二十七条对危害计算机信息网络安全和秩序的禁止行为进行了概括性规定，而不是列举式规定，外延性更强。

第二十三条任何单位或者个人不得利用计算机信息网络制作、发布、传播含有下列内容的信息：

（一）反对宪法确定的基本原则的；

（二）危害国家安全，泄露国家秘密，颠覆国家政权，破坏国家统一的；

（三）损害国家荣誉和利益的；

（四）煽动民族仇恨、民族歧视，破坏民族团结，或者侵害民族风俗习惯的；

（五）破坏国家宗教政策，宣扬邪教、封建迷信的；

（六）散布谣言，扰乱社会秩序，破坏社会稳定的；

（七）鼓动公众恶意评论他人、公开发布他人隐私或者通过暗示、影射等方式对他人进行人身攻击的；

（八）公然侮辱他人或者捏造事实诽谤他人的；

（九）以非法社团名义活动的；

（十）买卖法律、法规禁止流通的物品的；

（十一）非法买卖法律、法规限制流通的物品，对公共安全构成威胁的；

（十二）含有淫秽、色情、赌博、暴力、欺诈等内容，或者教唆犯罪、传授犯罪方法的；

（十三）含有法律、法规禁止的其他内容的。

1.《中华人民共和国网络安全法》第四十七条网络运营者应当加强对其用户发布的信息的管理，发现法律、行政法规禁止发布或者传输的信息的，应当立即停止传输该信息，采取消除等处置措施，防止信息扩散，保存有关记录，并向有关主管部门报告。

2.《互联网信息服务管理办法》第十五条互联网信息服务提供者不得制作、复制、发布、传播含有下列内容的信息：

（一）反对宪法所确定的基本原则的；

（二）危害国家安全，泄露国家秘密，颠覆国家政权，破坏国家统一的；

（三）损害国家荣誉和利益的；

（四）煽动民族仇恨、民族歧视，破坏民族团结的；

（五）破坏国家宗教政策，宣扬邪教和封建迷信的；

（六）扰乱社会秩序，破坏社会稳定的；

（七）散布淫秽、色情、赌博、暴力、凶杀、恐怖或者教唆犯罪的；

（八）侮辱或者诽谤他人，侵害他人合法权益的；

（九）含有法律、行政法规禁止的其他内容的。

3.上位法已涵盖本条并细化。

第四章监督管理

第二十四条公安机关对计算机信息网络安全保护工作履行以下监督管理职责：

（一）指导计算机信息系统运营、使用单位开展安全等级保护工作，接受第二级以上计算机信息系统的备案，并对其安全保护状况进行监督、检查；

（二）监督、检查、指导计算机信息系统运营、使用单位建立、落实各项安全保护制度和安全保护技术措施；

（三）依法对计算机信息网络中的公共信息服务实施监督、检查，发现公共信息中含有本条例第二十三条所列信息的，应当通知计算机信息系统运营、服务单位予以删除，必要时中止对发送者的网络服务；

（四）负责接受危害计算机信息网络安全的事件、案件的报告、举报，勘查现场并收集相关证据，提取疑似计算机病毒等破坏性程序的样本，依法查处计算机信息网络安全违法犯罪案件；

（五）向社会发布信息安全事件和计算机病毒疫情；

（六）与计算机信息网络安全保护工作相关的其他监督职责。公安机关发现计算机信息系统存在安全隐患，可能危及公共安全的，可以委托具有相应资质的测评机构进行测评。经测评发现存在安全问题的，计算机信息系统运营、使用单位应当立即予以整改。

1.《信息安全等级保护管理办法》第三条公安机关负责信息安全等级保护工作的监督、检查、指导。国家保密工作部门负责等级保护工作中有关保密工作的监督、检查、指导。国家密码管理部门负责等级保护工作中有关密码工作的监督、检查、指导。涉及其他职能部门管辖范围的事项，由有关职能部门依照国家法律法规的规定进行管理。国务院信息化工作办公室及地方信息化领导小组办事机构负责等级保护工作的部门间协调。

第十五条已运营（运行）的第二级以上信息系统，应当在安全保护等级确定后30日内，由其运营、使用单位到所在地设区的市级以上公安机关办理备案手续。

新建第二级以上信息系统，应当在投入运行后30日内，由其运营、使用单位到所在地设区的市级以上公安机关办理备案手续。

隶属于中央的在京单位，其跨省或者全国统一联网运行并由主管部门统一定级的信息系统，由主管部门向公安部办理备案手续。跨省或者全国统一联网运行的信息系统在各地运行、应用的分支系统，应当向当地设区的市级以上公安机关备案。

第十七条信息系统备案后，公安机关应当对信息系统的备案情况进行审核，对符合等级保护要求的，应当在收到备案材料之日起的10个工作日内颁发信息系统安全等级保护备案证明；发现不符合本办法及有关标准的，应当在收到备案材料之日起的10个工作日内通知备案单位予以纠正；发现定级不准的，应当在收到备案材料之日起的10个工作日内通知备案单位重新审核确定。

运营、使用单位或者主管部门重新确定信息系统等级后，应当按照本办法向公安机关重新备案。

第十八条受理备案的公安机关应当对第三级、第四级信息系统的运营、使用单位的信息安全等级保护工作情况进行检查。对第三级信息系统每年至少检查一次，对第四级信息系统每半年至少检查一次。对跨省或者全国统一联网运行的信息系统的检查，应当会同其主管部门进行。

对第五级信息系统，应当由国家指定的专门部门进行检查。

公安机关、国家指定的专门部门应当对下列事项进行检查：

（一）信息系统安全需求是否发生变化，原定保护等级是否准确；

（二）运营、使用单位安全管理制度、措施的落实情况；

（三）运营、使用单位及其主管部门对信息系统安全状况的检查情况；

（四）系统安全等级测评是否符合要求；

（五）信息安全产品使用是否符合要求；

（六）信息系统安全整改情况；

（七）备案材料与运营、使用单位、信息系统的符合情况；

（八）其他应当进行监督检查的事项。

第二十条公安机关检查发现信息系统安全保护状况不符合信息安全等级保护有关管理规范和技术标准的，应当向运营、使用单位发出整改通知。运营、使用单位应当根据整改通知要求，按照管理规范和技术标准进行整改。整改完成后，应当将整改报告向公安机关备案。必要时，公安机关可以对整改情况组织检查。

2.《中华人民共和国计算机信息系统安全保护条例》第十四条对计算机信息系统中发生的案件，有关使用单位应当在24小时内向当地县级以上人民政府公安机关报告。

第十五条对计算机病毒和危害社会公共安全的其他有害数据的防治研究工作，由公安部归口管理。

第十七条公安机关对计算机信息系统安全保护工作行使下列监督职权：

（一）监督、检查、指导计算机信息系统安全保护工作；

（二）查处危害计算机信息系统安全的违法犯罪案件；

（三）履行计算机信息系统安全保护工作的其他监督职责。

第二十条违反本条例的规定，有下列行为之一的，由公安机关处以警告或者停机整顿：

（一）违反计算机信息系统安全等级保护制度，危害计算机信息系统安全的；

（二）违反计算机信息系统国际联网备案制度的；

（三）不按照规定时间报告计算机信息系统中发生的案件的；

（四）接到公安机关要求改进安全状况的通知后，在限期内拒不改进的；

（五）有危害计算机信息系统安全的其他行为的。

3.《互联网信息服务管理办法》第十六条互联网信息服务提供者发现其网站传输的信息明显属于本办法第十五条所列内容之一的，应当立即停止传输，保存有关记录，并向国家有关机关报告。

第十八条国务院信息产业主管部门和省、自治区、直辖市电信管理机构，依法对互联网信息服务实施监督管理。

新闻、出版、教育、卫生、药品监督管理、工商行政管理和公安、国家安全等有关主管部门，在各自职责范围内依法对互联网信息内容实施监督管理。

5.上位法建立了公安机关、国家安全机关、网信、电信部门协同保障网络安全的制度，涵盖本条内容。

第二十五条公安机关、国家安全机关为保护计算机信息网络安全，在发生重大突发事件，危及国家安全、公共安全及社会稳定的紧急情况下，可以对计算机信息系统运营、使用单位采取二十四小时内暂时停机、暂停联网、数据备份等措施。

1.《中华人民共和国计算机信息系统安全保护条例》第十九条公安部在紧急情况下，可以就涉及计算机信息系统安全的特定事项发布专项通令。

2.《中华人民共和国网络安全法》第五十八条因维护国家安全和社会公共秩序，处置重大突发社会安全事件的需要，经国务院决定或者批准，可以在特定区域对网络通信采取限制等临时措施。

3.《中华人民共和国网络安全法》未对网络通信限制措施规定时间限制，本条与上位法存在矛盾

第二十六条公安机关应当组织计算机信息系统运营、使用单位的安全保护组织成员、管理责任人、信息审查员以及信息安全服务机构工作人员等从事计算机信息网络安全保护工作的人员参加计算机信息网络安全专业技术培训。

1.《中华人民共和国网络安全法》第三十四条除本法第二十一条的规定外，关键信息基础设施的运营者还应当履行下列安全保护义务：

（二）定期对从业人员进行网络安全教育、技术培训和技能考核；

2.本条规定与上位法不一致。

第二十七条国家安全机关负责计算机信息网络国家安全事项管理工作，依法查处利用计算机信息网络危害国家安全的违法行为。

1.《中华人民共和国网络安全法》第五十条国家网信部门和有关部门依法履行网络信息安全监督管理职责，发现法律、行政法规禁止发布或者传输的信息的，应当要求网络运营者停止传输，采取消除等处置措施，保存有关记录；对来源于中华人民共和国境外的上述信息，应当通知有关机构采取技术措施和其他必要措施阻断传播。

2.《中华人民共和国国家安全法》第四十二条国家安全机关、公安机关依法搜集涉及国家安全的情报信息，在国家安全工作中依法行使侦查、拘留、预审和执行逮捕以及法律规定的其他职权。

有关军事机关在国家安全工作中依法行使相关职权。

3.上位法已涵盖本条并细化。

第二十八条保密工作部门依法对有关计算机信息网络的保守国家秘密工作实施监督管理，并做好以下工作：

（一）指导、监督和检查涉密信息系统安全分级保护工作；

（二）指导涉密信息系统建设、使用单位规范信息定密，合理确定安全保护等级；

（三）参与涉密信息系统安全分级保护方案论证，指导涉密信息系统建设、使用单位做好保密设施的同步规划设计；

（四）指导涉密信息系统安全保护等级测评工作，监督、检查涉密信息系统安全分级保护管理制度和技术措施的落实情况；

（五）对涉密信息系统按照国家规定进行投入使用前审批，并对其管理使用情况进行检查；

（六）依法查处违反保密法律法规的行为。

1.《中华人民共和国保守国家秘密法》第三十条存储、处理国家秘密的计算机信息系统（以下简称涉密信息系统）按照涉密程度实行分级保护。

涉密信息系统应当按照国家保密规定和标准规划、建设、运行、维护，并配备保密设施、设备。保密设施、设备应当与涉密信息系统同步规划、同步建设、同步运行。

涉密信息系统应当按照规定，经检查合格后，方可投入使用，并定期开展风险评估。

2.《信息安全等级保护管理办法》第三条公安机关负责信息安全等级保护工作的监督、检查、指导。国家保密工作部门负责等级保护工作中有关保密工作的监督、检查、指导。国家密码管理部门负责等级保护工作中有关密码工作的监督、检查、指导。涉及其他职能部门管辖范围的事项，由有关职能部门依照国家法律法规的规定进行管理。国务院信息化工作办公室及地方信息化领导小组办事机构负责等级保护工作的部门间协调。

第二十六条涉密信息系统建设使用单位应当将涉密信息系统定级和建设使用情况，及时上报业务主管部门的保密工作机构和负责系统审批的保密工作部门备案，并接受保密部门的监督、检查、指导。

第二十九条涉密信息系统建设使用单位在系统工程实施结束后，应当向保密工作部门提出申请，由国家保密局授权的系统测评机构依据国家保密标准BMB22-2007《涉及国家秘密的计算机信息系统分级保护测评指南》，对涉密信息系统进行安全保密测评。

涉密信息系统建设使用单位在系统投入使用前，应当按照《涉及国家秘密的信息系统审批管理规定》，向设区的市级以上保密工作部门申请进行系统审批，涉密信息系统通过审批后方可投入使用。已投入使用的涉密信息系统，其建设使用单位在按照分级保护要求完成系统整改后，应当向保密工作部门备案。

第五十一条保密行政管理部门依法对机关、单位遵守保密法律法规和相关制度的情况进行检查；涉嫌保密违法的，应当及时调查处理或者组织、督促有关机关、单位调查处理；涉嫌犯罪的，应当依法移送监察机关、司法机关处理。

对严重违反国家保密规定的涉密人员，保密行政管理部门应当建议有关机关、单位将其调离涉密岗位。

有关机关、单位和个人应当配合保密行政管理部门依法履行职责。

3. 上位法已涵盖本条并细化。

第二十九条密码管理部门应当加强对计算机信息系统内使用密码产品的单位的监督、检查和指导，定期对计算机信息系统安全等级保护工作中密码配备、使用和管理的情况进行检查和测评，同时对密码产品使用单位的操作人员和管理人员进行培训。

密码管理部门在监督检查过程中，发现存在安全隐患、违反密码管理相关规定或者未达到密码相关标准要求的，应当按照国家密码管理的相关规定进行查处。

1.《中华人民共和国密码法》第一条为了规范密码应用和管理，促进密码事业发展，保障网络与信息安全，维护国家安全和社会公共利益，保护公民、法人和其他组织的合法权益，制定本法。

2.《信息安全等级保护管理办法》第三十四条国家密码管理部门对信息安全等级保护的密码实行分类分级管理。根据被保护对象在国家安全、社会稳定、经济建设中的作用和重要程度，被保护对象的安全防护要求和涉密程度，被保护对象被破坏后的危害程度以及密码使用部门的性质等，确定密码的等级保护准则。

信息系统运营、使用单位采用密码进行等级保护的，应当遵照《信息安全等级保护密码管理办法》、《信息安全等级保护商用密码技术要求》等密码管理规定和相关标准。

第三十六条信息系统运营、使用单位应当充分运用密码技术对信息系统进行保护。采用密码对涉及国家秘密的信息和信息系统进行保护的，应报经国家密码管理局审批，密码的设计、实施、使用、运行维护和日常管理等，应当按照国家密码管理有关规定和相关标准执行；采用密码对不涉及国家秘密的信息和信息系统进行保护的，须遵守《商用密码管理条例》和密码分类分级保护有关规定与相关标准，其密码的配备使用情况应当向国家密码管理机构备案。

第三十七条运用密码技术对信息系统进行系统等级保护建设和整改的，必须采用经国家密码管理部门批准使用或者准于销售的密码产品进行安全保护，不得采用国外引进或者擅自研制的密码产品；未经批准不得采用含有加密功能的进口信息技术产品。

第三十八条信息系统中的密码及密码设备的测评工作由国家密码管理局认可的测评机构承担，其他任何部门、单位和个人不得对密码进行评测和监控。

第三十九条各级密码管理部门可以定期或者不定期对信息系统等级保护工作中密码配备、使用和管理的情况进行检查和测评，对重要涉密信息系统的密码配备、使用和管理情况每两年至少进行一次检查和测评。在监督检查过程中，发现存在安全隐患或者违反密码管理相关规定或者未达到密码相关标准要求的，应当按照国家密码管理的相关规定进行处置。

3. 上位法已涵盖本条并细化。

第三十条信息化行政主管部门负责组织、协调和指导计算机信息网络安全工作，组织信息网络安全技术、设备和产品的监督管理，组织、指导和管理计算机病毒防范工作，并根据信息安全发展形势和信息安全保障要求，组织有关部门编制全市信息安全保障规划，报市政府批准后实施。

1.《中华人民共和国网络安全法》第八条国家网信部门负责统筹协调网络安全工作和相关监督管理工作。国务院电信主管部门、公安部门和其他有关机关依照本法和有关法律、行政法规的规定，在各自职责范围内负责网络安全保护和监督管理工作。

县级以上地方人民政府有关部门的网络安全保护和监督管理职责，按照国家有关规定确定。

2.《信息安全等级保护管理办法》第四条信息系统主管部门应当依照本办法及相关标准规范，督促、检查、指导本行业。本部门或者本地区信息系统运营、使用单位的信息安全等级保护工作。

3. 上位法已涵盖本条并细化。

第三十一条互联网新闻信息服务管理部门负责指导、协调互联网新闻信息管理工作，协调处理计算机信息网络传播违法新闻信息的行为。

第五章法律责任

第三十二条计算机信息系统运营、使用单位违反本条例第八条规定，未建立计算机信息系统安全保护等级的，由公安机关给予警告，责令其限期改正；逾期不改正的，处以一千元以上五千元以下的罚款；情节严重的，给予六个月以内停机整顿的处罚。

1.《中华人民共和国网络安全法》第五十九条第一款网络运营者不履行本法第二十一条、第二十五条规定的网络安全保护义务的，由有关主管部门责令改正，给予警告；拒不改正或者导致危害网络安全等后果的，处一万元以上十万元以下罚款，对直接负责的主管人员处五千元以上五万元以下罚款。

2.罚款金额范围不在上位法规定范围内，不符合《中华人民共和国行政处罚法》第十二条的规定。

第三十三条第二级以上计算机信息系统运营、使用单位违反本条例第九条规定的，由市公安局给予警告，责令其限期改正；逾期不改正的，处以一千元以上五千元以下的罚款。

《计算机信息系统安全保护条例》第二十条对违反第二级信息系统备案制度的行为，规定公安机关可给予警告或者停机整顿，未设定罚款。本条增设罚款，违反《中华人民共和国行政处罚法》第十二条的规定。

第三十四条计算机信息系统运营、使用单位违反本条例第十条第一款规定的，由公安机关给予警告，责令其限期改正；逾期不改正的，处以一千元以上五千元以下的罚款。

计算机信息系统运营、使用单位违反第十条第二款、第十五条规定的，由公安机关给予警告，责令其限期改正；逾期不改正的，对经营性单位处以二千元以上二万元以下的罚款，对非经营性单位处以二千元的罚款。

《中华人民共和国计算机信息系统安全保护条例》第二十条违反本条例的规定，有下列行为之一的，由公安机关处以警告或者停机整顿：

（一）违反计算机信息系统安全等级保护制度，危害计算机信息系统安全的；

（二）违反计算机信息系统国际联网备案制度的；

（三）不按照规定时间报告计算机信息系统中发生的案件的；

（四）接到公安机关要求改进安全状况的通知后，在限期内拒不改进的；

（五）有危害计算机信息系统安全的其他行为的。

第三十五条计算机信息系统运营、使用单位违反本条例第十一条、第十二条规定的，由公安机关给予警告，责令其限期改正；逾期不改正的，处以二千元以上五万元以下的罚款；情节严重的，给予六个月以内停机整顿的处罚；对单位直接负责的主管人员和直接责任人员可处以五百元以上五千元以下的罚款。

本条对违反第十一条、第十二条规定设定的罚则与《中华人民共和国网络安全法》规定不一致。

第三十六条计算机信息系统运营、使用单位违反本条例第十三条、第十四条规定的，由公安机关给予警告，责令其限期改正，并处以一千元以上一万元以下的罚款。

本条的罚款金额范围低于《中华人民共和国网络安全法》第五十九条第一款。

第三十七条信息安全服务机构违反本条例第十六条第二款规定的，由公安机关给予警告，责令其限期改正，并处以一千元以上一万元以下的罚款。

上位法对此行为未设定行政处罚。

第三十八条计算机信息系统运营、服务单位违反本条例第十七条规定的，由公安机关给予警告或者六个月以内停机整顿的处罚。

上位法对此行为未设定行政处罚。

第三十九条互联网接入服务和数据中心服务提供者、互联网信息服务提供者或者互联网上网服务提供单位违反本条例第十八条、第十九条或者第二十一条规定的，由公安机关给予警告，责令其限期改正，并可处以一千元以上一万五千元以下的罚款；情节严重的，给予六个月以内停机整顿的处罚；对单位直接负责的主管人员和直接责任人员可处以五百元以上五千元以下的罚款。

本条规定的罚款金额范围均低于《中华人民共和国网络安全法》第六十一条、六十八条的最低限额。

第四十条单位或者个人违反本条例第二十条规定，未经信息网络安全审核从事互联网上网服务经营活动的，由公安机关责令其停业，并可处以一千元以上一万五千元以下的罚款。

上位法未要求单位或者个人从事互联网上网服务经营活动前应当通过信息网络安全审核。

第四十一条单位或者个人违反本条例第二十二条、第二十三条规定，由公安机关给予警告，有违法所得的，没收其违法所得；对单位可并处以一千元以上一万五千元以下的罚款，对个人可并处以五百元以上五千元以下的罚款；情节严重的给予六个月以内停业整顿、停机联网的处罚。其中，危害国家安全的行为由国家安全机关依照有关法律法规规定查处。

对本例第二十二条、第二十三条的行为，《中华人民共和国网络安全法》在其第二十七条、第四十七条进行规定，并在其六十三条、六十八条分别设置了罚则。本条设置的行政处罚与《中华人民共和国网络安全法》重复，并且罚款金额远低于《中华人民共和国网络安全法》规定。

第四十二条违反本条例规定的行为，涉及其他法律法规的，由有关部门依法处罚；构成犯罪的，依法追究其刑事责任。

第四十三条公安机关及其他部门工作人员违反本条例规定，玩忽职守、滥用职权或者徇私舞弊的，由其所在单位或者上级主管部门、监察机关依法追究其行政责任；构成犯罪的，由司法机关依法追究其刑事责任。

《中华人民共和国计算机信息系统安全保护条例》第二十七条执行本条例的国家公务员利用职权，索取、收受贿赂或者有其他违法、失职行为，构成犯罪的，依法追究刑事责任；尚不构成犯罪的，给予行政处分。

第六章附则

第四十四条本条例所称“以上”、“以下”包含本数。

第四十五条本条例自2009年5月1日起施行。