网络安全法
[!Warning]
本人所有文章均为技术分享与知识记录，仅用于以防御为目的的教学演示，所有操作均在实验环境下进行，请各位读者勿用于其他用途，否则后果自负。
2016 年 11 月 7 日，第十二届全国人民代表大会常务委员会第二十四次会议通过了《中华人民共和国网络安全法》，该法于 2017 年 6 月 1 日起施行，是我国网络安全领域第一部基础性法律。
2025 年 10 月 28 日，第十四届全国人民代表大会常务委员会第十八次会议通过了《全国人民代表大会常务委员会关于修改〈中华人民共和国网络安全法〉的决定》（主席令第六十一号），自 2026 年 1 月 1 日起施行，这是该法自颁布以来的首次修正。本文内容以 2025 修正版为准。
全文链接：
2016 年版全文：中华人民共和国网络安全法
2025 年修改决定：全国人民代表大会常务委员会关于修改《中华人民共和国网络安全法》的决定
1 关键条目
注：2025 年修正后条文编号整体顺延，下列编号为现行有效版本的条文编号，括号内为原 2016 年版编号。
第一条（立法目的）：
为了保障网络安全，维护网络空间主权和国家安全、社会公共利益，保护公民、法人和其他组织的合法权益，促进经济社会信息化健康发展，制定本法。
第二十三条（网络安全等级保护制度，原第二十一条）：
国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改：（一）制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任；（二）采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施；（三）采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月；（四）采取数据分类、重要数据备份和加密等措施；（五）法律、行政法规规定的其他义务。
第二十六条（网络实名制，原第二十四条）：
网络运营者为用户办理网络接入、域名注册服务，办理固定电话、移动电话等入网手续，或者为用户提供信息发布、即时通讯等服务，在与用户签订协议或者确认提供服务时，应当要求用户提供真实身份信息。用户不提供真实身份信息的，网络运营者不得为其提供相关服务。
第二十九条（原第二十七条）：
任何个人和组织不得从事非法侵入他人网络、干扰他人网络正常功能、窃取网络数据等危害网络安全的活动；不得提供专门用于从事侵入网络、干扰网络正常功能及防护措施、窃取网络数据等危害网络安全活动的程序、工具；明知他人从事危害网络安全的活动的，不得为其提供技术支持、广告推广、支付结算等帮助。
第四十三条（原第四十一条）：
网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。
网络运营者不得收集与其提供的服务无关的个人信息，不得违反法律、行政法规的规定和双方的约定收集、使用个人信息，并应当依照法律、行政法规的规定和与用户的约定，处理其保存的个人信息。
第四十四条（原第四十二条）：
网络运营者不得泄露、篡改、毁损其收集的个人信息；未经被收集者同意，不得向他人提供个人信息。但是，经过处理无法识别特定个人且不能复原的除外。
网络运营者应当采取技术措施和其他必要措施，确保其收集的个人信息安全，防止信息泄露、毁损、丢失。在发生或者可能发生个人信息泄露、毁损、丢失的情况时，应当立即采取补救措施，按照规定及时告知用户并向有关主管部门报告。
第四十五条（个人信息删除与更正权，原第四十三条）：
个人发现网络运营者违反法律、行政法规的规定或者双方的约定收集、使用其个人信息的，有权要求网络运营者删除其个人信息；发现网络运营者收集、存储的其个人信息有错误的，有权要求网络运营者予以更正。网络运营者应当采取措施予以删除或者更正。
第四十六条（原第四十四条）：
任何个人和组织不得窃取或者以其他非法方式获取个人信息，不得非法出售或者非法向他人提供个人信息。
第四十八条（原第四十六条）：
任何个人和组织应当对其使用网络的行为负责，不得设立用于实施诈骗，传授犯罪方法，制作或者销售违禁物品、管制物品等违法犯罪活动的网站、通讯群组，不得利用网络发布涉及实施诈骗，制作或者销售违禁物品、管制物品以及其他违法犯罪活动的信息。
第五十条（原第四十八条）：
任何个人和组织发送的电子信息、提供的应用软件，不得设置恶意程序，不得含有法律、行政法规禁止发布或者传输的信息。
2 详细介绍
2.1 定义和范围
第七十八条对本法核心用语作了法定定义：
网络，是指由计算机或者其他信息终端及相关设备组成的按照一定的规则和程序对信息进行收集、存储、传输、交换、处理的系统。
网络安全，是指通过采取必要措施，防范对网络的攻击、侵入、干扰、破坏和非法使用以及意外事故，使网络处于稳定可靠运行的状态，以及保障网络数据的完整性、保密性、可用性的能力。
网络运营者，是指网络的所有者、管理者和网络服务提供者。
网络数据，是指通过网络收集、存储、传输、处理和产生的各种电子数据。
个人信息，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息，包括但不限于自然人的姓名、出生日期、身份证件号码、个人生物识别信息、住址、电话号码等。
适用范围方面，第二条明确：在中华人民共和国境内建设、运营、维护和使用网络，以及网络安全的监督管理，适用本法。
2.2 基本原则
第一条开宗明义，以"维护网络空间主权和国家安全、社会公共利益，保护公民、法人和其他组织的合法权益"为立法目的，明确了网络空间主权的原则。
2025 年修正新增第三条：网络安全工作坚持中国共产党的领导，贯彻总体国家安全观，统筹发展和安全，推进网络强国建设。
同时，本法强调维护网络安全是全社会的共同责任（第七条）：国家倡导诚实守信、健康文明的网络行为，推动传播社会主义核心价值观，采取措施提高全社会的网络安全意识和水平，形成全社会共同参与促进网络安全的良好环境，政府、企事业单位、网络运营者和个人共同参与治理。
2.3 网络运营者的责任和义务
等级保护义务（第二十三条）：网络运营者应当按照网络安全等级保护制度的要求落实安全保护义务，包括制定内部安全管理制度、采取防范计算机病毒和网络攻击的技术措施、留存网络日志不少于六个月、落实数据分类与备份加密等。
产品安全义务（第二十四条）：网络产品、服务的提供者不得设置恶意程序，发现产品存在安全缺陷、漏洞等风险时，应当立即采取补救措施，按照规定及时告知用户并向有关主管部门报告。
认证检测义务（第二十五条）：网络关键设备和网络安全专用产品应当按照相关国家标准的强制性要求，由具备资格的机构安全认证合格或者安全检测符合要求后，方可销售或者提供。
应急预案义务（第二十七条）：网络运营者应当制定网络安全事件应急预案，及时处置系统漏洞、计算机病毒、网络攻击等安全风险；发生危害网络安全的事件时，立即启动应急预案、采取补救措施，并按照规定向有关主管部门报告。
实名制义务（第二十六条）：为用户提供网络接入、信息发布、即时通讯等服务的，应当要求用户提供真实身份信息，否则不得为其提供服务。
关键信息基础设施保护（第三十三条、第三十六条至第三十九条）：国家对公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施，在网络安全等级保护制度的基础上实行重点保护。关基运营者应当设置专门安全管理机构、对关键岗位人员进行安全背景审查、落实容灾备份和应急预案；采购网络产品和服务可能影响国家安全的，应当通过国家安全审查；在境内运营中收集和产生的个人信息和重要数据应当在境内存储，确需向境外提供的，应当依法进行安全评估。
2.4 个人信息保护
收集使用环节（第四十三条）：遵循合法、正当、必要的原则，公开收集、使用规则，明示目的、方式和范围，并经被收集者同意，不得收集与服务无关的个人信息。
保护义务（第四十四条）：不得泄露、篡改、毁损个人信息；未经同意不得向他人提供；应当采取技术措施和其他必要措施保障信息安全，发生或者可能发生泄露、毁损、丢失时，立即采取补救措施，及时告知用户并向主管部门报告。
个人权利（第四十五条）：个人有权要求网络运营者删除违反规定收集的个人信息、更正错误的个人信息。查阅、复制、转移等更完整的个人信息权利由《个人信息保护法》规定。
法律衔接（第四十二条、第七十一条）：网络运营者处理个人信息应当遵守《民法典》《个人信息保护法》等法律、行政法规的规定；2025 年修正后，侵害个人信息权益的行为依照有关法律、行政法规的规定处理、处罚（如依照《个人信息保护法》追究责任）。
2.5 网络安全监管和处罚
本法第五章确立了监测预警与应急处置机制：国家建立网络安全监测预警和信息通报制度，发生重大网络安全事件时，依照应急预案启动应急响应、发布预警，并协调有关部门处置。
对于违反本法的行为，第六章规定了警告、罚款、责令停止相关业务、停业整顿、关闭网站、吊销相关业务许可证或者吊销营业执照等处罚，构成犯罪的依法追究刑事责任。2025 年修正大幅加重了相关法律责任（详见第 3 节）。
2.6 国际合作和技术支持
本法设立"网络安全支持与促进"专章（第二章）：国家支持网络安全人才培养（第二十二条），促进网络安全技术创新和应用，推动网络安全产业发展。
国际合作方面（第八条）：国家积极开展网络空间治理、网络技术研发和标准制定等领域的国际交流与合作，推动构建和平、安全、开放、合作的网络空间，建立多边、民主、透明的网络治理体系，提升我国的网络安全能力。
3 2025 年修订要点
2025 年 10 月 28 日，第十四届全国人大常委会第十八次会议通过《关于修改〈中华人民共和国网络安全法〉的决定》，自 2026 年 1 月 1 日起施行。这是该法施行八年来的首次修正，主要变化如下：
充实指导原则：新增第三条，明确网络安全工作坚持中国共产党的领导，贯彻总体国家安全观，统筹发展和安全，推进网络强国建设。
新增人工智能条款：新增第二十条，国家支持人工智能基础理论研究和算法等关键技术研发，推进训练数据资源、算力等基础设施建设，完善人工智能伦理规范，加强风险监测评估和安全监管，促进人工智能应用和健康发展；同时支持创新网络安全管理方式，运用人工智能等新技术提升网络安全保护水平。
衔接个人信息保护法律体系：第四十二条明确网络运营者处理个人信息应当遵守《民法典》《个人信息保护法》等法律、行政法规的规定；新增第七十一条，侵害个人信息权益的行为依照有关法律、行政法规的规定处理、处罚。
大幅提高罚款上限：网络运营者不履行安全保护义务的，罚款上限提高至一千万元（针对造成关键信息基础设施丧失主要功能等特别严重情形），对直接负责的主管人员和其他直接责任人员最高可处一百万元罚款。
完善从业禁止：受到治安管理处罚的人员五年内、受到刑事处罚的人员终身不得从事网络安全管理和网络运营关键岗位的工作。
新增产品认证责任：对销售或者提供未经安全认证、安全检测的网络关键设备和网络安全专用产品的行为规定了法律责任。
扩大域外适用：境外的机构、组织、个人从事危害我国网络安全活动的，依法追究法律责任；造成严重后果的，可以采取冻结财产等必要制裁措施。
衔接《行政处罚法》：明确具有从轻、减轻或者不予处罚情形的，依照《行政处罚法》的有关规定处理。
4 六大亮点
明确了网络空间主权的原则：网络安全法明确了网络空间主权的原则，强调中华人民共和国对自己的网络空间拥有主权（第一条）。这意味着国家有权制定相关法律法规，维护网络空间的安全和秩序。
明确了网络产品和服务提供者的安全义务：网络安全法规定了网络产品和服务提供者的安全义务（第二十四条）。这包括网络产品和服务提供者应当采取必要的安全措施，保护用户信息和网络安全，防止网络犯罪活动。他们需要进行安全评估、漏洞修复等，确保其产品和服务的安全性。
明确了网络运营者的安全义务：网络安全法明确了网络运营者的安全义务（第二十三条）。网络运营者包括互联网服务提供商、云服务提供商、应用程序提供商等。他们需要采取措施，防范网络安全风险，保护网络安全。他们还需配合有关部门的网络安全检查和监管工作。
进一步完善了个人信息保护规则：《中华人民共和国网络安全法》对个人信息的保护进行了进一步完善（第四十三条、第四十四条）。它规定了个人信息的收集和使用应当遵循合法、正当、必要的原则。网络运营者在收集和使用个人信息时，必须经过事先同意，并采取措施保护个人信息的安全。同时，该法赋予个人要求删除违法收集的个人信息、更正错误个人信息的权利（第四十五条）；查阅、复制等更完整的个人信息权利由《个人信息保护法》规定。
建立了关键信息基础设施安全保护制度：网络安全法建立了关键信息基础设施安全保护制度（第三十三条）。关键信息基础设施是指公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的设施。根据该法，关键信息基础设施的运营者需要采取必要的安全措施，保护其安全可控和防范网络攻击。
确立了关键信息基础设施重要数据跨境传输的规则：网络安全法还确立了关键信息基础设施重要数据跨境传输的规则（第三十九条）。关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在境内存储；因业务需要确需向境外提供的，应当依法进行安全评估，确保数据的安全性和保密性。
5 配套法律法规
《中华人民共和国数据安全法》：2021 年 6 月 10 日通过，2021 年 9 月 1 日施行，规范数据处理活动与数据安全，与网络安全法互为补充。
《中华人民共和国个人信息保护法》：2021 年 8 月 20 日通过，2021 年 11 月 1 日施行，个人信息保护的专门法律，2025 修正后的网络安全法已与其衔接。
《关键信息基础设施安全保护条例》：2021 年 7 月 30 日公布，2021 年 9 月 1 日施行，落实网络安全法关基保护制度的配套行政法规。
《网络数据安全管理条例》：2024 年 9 月 24 日公布，2025 年 1 月 1 日施行，规范网络数据处理活动，细化个人信息、重要数据的保护要求。
6 结语
《中华人民共和国网络安全法》是我国网络安全领域的基础性法律，确立了网络空间主权、网络安全等级保护、网络实名制、个人信息保护、关键信息基础设施保护等核心制度。2025 年修正进一步强化了法律责任，并与《数据安全法》《个人信息保护法》等共同构成我国网络安全法律体系。
技术研究应当恪守法律边界——了解法律、敬畏法律，才能更好地以防御为目的守护网络安全。