LawHub

为了保护计算机信息系统安全，保障公民、法人和其他组织的合法权益，维护国家安全、社会秩序和公共利益，促进计算机应用和信息化建设的健康发展，根据《中华人民共和国计算机信息系统安全保护条例》等有关法律、法规，结合本省实际，制定本条例。

本条例适用于本省行政区域内计算机信息系统（以下简称信息系统）的安全管理。 存储、处理国家秘密的信息系统为涉密信息系统，按照涉密程度实行分级保护，其安全保密管理按照国家有关保密法律、法规和标准执行。

省、市、县（含县级市、区，下同）公安机关负责信息系统安全管理工作。 国家安全、电信、保密、密码管理等部门，在各自职责范围内做好信息系统安全管理的有关工作。

信息系统运营、使用单位应当保障计算机及其相关和配套的设备、设施（含网络）安全，运行环境安全和信息安全，维护信息系统安全运行。

任何组织和个人不得实施危害信息系统安全的行为，不得利用信息系统从事危害国家安全、社会秩序和公共利益，以及侵害公民、法人和其他组织合法权益的活动。

省公安机关和省电信主管部门应当建立工作协调机制，完善信息安全保障措施。有关行政部门应当配合公安机关做好惩治侵害信息系统安全违法犯罪的工作。 第二章　 安全等级保护

信息系统实行安全等级保护制度。根据信息系统的重要程度和信息系统受到破坏后对国家安全、社会秩序和公共利益，以及公民、法人和其他组织的合法权益的危害程度等因素，分为下列五级： （一）信息系统受到破坏后，将对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益的，为第一级； （二）信息系统受到破坏后，将对公民、法人和其他组织的合法权益造成严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全的，为第二级； （三）信息系统受到破坏后，将对社会秩序和公共利益造成严重损害，或者对国家安全造成损害的，为第三级； （四）信息系统受到破坏后，将对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害的，为第四级； （五）信息系统受到破坏后，将对国家安全造成特别严重损害的，为第五级。

信息系统运营、使用单位应当依据国家信息系统安全等级保护管理规范和技术标准，按照自主定级、自主保护、履行义务、承担责任的原则，确定信息系统安全保护等级。 跨省或者全国统一联网运行的信息系统，可以由信息系统运营、使用单位的主管部门统一确定安全保护等级。

信息系统运营、使用单位应当按照国家信息系统安全等级保护的有关技术规范，建立安全管理制度，落实安全保护技术措施，确定责任机构和人员。

信息系统运营、使用单位应当在规划、设计阶段，确定信息系统的安全保护等级，同步建设符合该安全保护等级要求的安全设施，使用符合国家有关规定并能够满足安全保护等级要求的技术产品。 对已经投入运行但不符合安全保护等级要求的，应当采取技术措施补救或者改建。

有下列情形之一的，信息系统运营、使用单位应当到所在地公安机关备案： （一）已投入运行的第二级以上的信息系统，应当在安全保护等级确定后三十日内，到市公安机关备案；新建成的第二级以上的信息系统，应当在投入运行后三十日内，到市公安机关备案； （二）属于跨省或者全国统一联网运行的信息系统在本省运行、应用的分支系统以及省直单位信息系统，由省电信主管部门、省直单位到省公安机关备案，但省级分支机构的上级主管部门已到国务院有关部门备案的除外； （三）属于因信息系统的结构、处理流程、服务内容等发生重大变化，导致安全保护等级变更的，应当自变更之日起三十日内，到原受理备案的公安机关重新备案。 公安机关应当自收到备案材料之日起十个工作日内进行审核。符合安全等级保护要求的，颁发《信息系统安全等级保护备案证明》；不符合安全等级保护要求的，书面告知并说明理由。

信息系统运营、使用单位应当按照国家有关规定和技术标准，开展信息系统安全等级保护测评和自查工作。 信息系统运营、使用单位应当将等级测评报告存档备查，同时到受理备案的公安机关备案。 未达到安全等级保护要求的，信息系统运营、使用单位应当及时进行整改。

第三级以上信息系统应当选择符合国家规定条件的等级测评机构进行测评。 从事测评业务的机构和人员应当符合国家规定的条件。 从事测评业务的机构和人员不得从事下列活动： （一）擅自使用或者泄露、出售测评工作中接触的信息和资料； （二）涂改、出售、出租或者转让资质证书； （三）违反国家有关测评规定的其他行为。

对于第二级以上信息系统，其信息系统运营、使用单位应当制定信息安全事件应急处置预案。发生安全事件时，应当按照应急处置预案的要求及时采取相应的处置措施，保留有关原始记录，并在二十四小时内向受理其备案的公安机关报告。 信息安全事件的等级和具体认定标准，由省公安机关会同省政府有关部门制定。国家另有规定的，从其规定。

受理备案的公安机关对第三级信息系统，应当每年检查一次；对第四级信息系统，应当每半年检查一次；对第五级信息系统，按照国家特殊安全需要的有关规定进行检查。 对跨省或者全国统一联网运行的信息系统，应当会同其主管部门进行检查。

公安机关实施检查的内容包括下列事项： （一）安全需求是否发生变化，原定保护等级是否准确； （二）信息系统运营、使用单位安全管理制度、措施的落实情况； （三）信息系统运营、使用单位及其主管部门对信息系统安全状况的检查情况； （四）安全等级测评是否符合要求； （五）信息安全产品使用是否符合要求； （六）信息系统安全整改情况； （七）备案材料与信息系统运营、使用单位是否符合； （八）法律、法规规定的其他事项。

信息系统运营、使用单位应当接受公安机关的监督检查和指导，按规定如实提供下列信息系统资料： （一）运行状况记录； （二）安全保护组织、人员情况； （三）安全管理制度、措施变更情况； （四）备案事项变更情况； （五）安全状况自查记录； （六）等级测评报告； （七）信息安全产品使用的变更情况； （八）信息安全事件应急预案和应急处置结果报告； （九）信息系统安全建设、整改结果报告。

公安机关在检查中发现信息系统安全保护状况不符合信息安全等级保护管理规范和技术标准的，应当向运营、使用单位发出书面整改通知。 信息系统运营、使用单位应当根据整改通知要求，按照管理规范和技术标准及时进行整改。整改完成后，应当将整改报告报公安机关备案。根据实际需要，公安机关可以对整改情况进行检查。 第三章 　信息安全和运行环境安全

任何单位和个人不得利用信息系统制作、复制、发布和传播下列信息： （一）反对宪法确定的基本原则的； （二）危害国家安全，泄露国家秘密，颠覆国家政权，破坏国家统一的； （三）损害国家荣誉和利益的； （四）煽动民族仇恨、民族歧视，破坏民族团结的； （五）破坏国家宗教政策，宣扬邪教、封建迷信的； （六）散布谣言，煽动非法聚集，扰乱社会秩序，破坏社会稳定的； （七）宣扬淫秽、色情、赌博、暴力、凶杀、恐怖，教唆犯罪，或者交易、制造违禁品、管制物品的； （八）侮辱或者诽谤他人，侵害他人合法权益的； （九）法律、法规禁止的其他内容。

互联网服务提供者和联网使用单位应当建立信息审核制度，明确审核人员，发现本条例第十九条禁止的违法信息，应当先行保存有关记录，及时采取删除、停止传输等处置措施，并向公安机关等有关部门报告。 公安机关查处涉嫌违法犯罪行为时，互联网服务提供者和联网使用单位应当提供有关信息、资料、数据文件和原始记录。