返回案例列表行政法规关键信息基础设施安全保护条例 第1条 案例评析朱俊男律师8分钟2 阅读2026-03-24**关键信息基础设施安全保护条例 第1条 案例评析** **案情简介** 2023年8月，某省属大型供水集团（以下简称“供水公司”）运营的智慧水务调度平台遭境外黑客组织攻击，导致全省6个地市供水压力监测数据异常中断超12小时，部分区域水厂自动控制系统短暂失灵。虽未造成大规模停水，但应急指挥系统响应延迟，省级网信部门联合公安、工信部门开展溯源调查后认定：该平台属于《关键信息基础设施识别指南》明确列举的“城市供水行业核心生产调度系统”，已纳入本省关键信息基础设施（CII）目录；而供水公司未按《关键信息基础设施安全保护条例》（以下简称《条例》）要求落实专门安全管理机构、未开展年度安全检测评估、也未向保护工作部门（即省住建厅）报送年度网络安全工作情况。2024年1月，省网信办依据《条例》第五十一条，对供水公司作出警告并责令限期改正的行政处罚。 供水公司提出申辩，主张其系统“仅采集数据、不直接控制水泵”，不属于真正意义的“关键”设施；且《条例》第一条开宗明义称“根据《中华人民共和国网络安全法》制定”，而《网络安全法》第三十一条仅原则性规定“国家对公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域的关键信息基础设施实行重点保护”，未明确供水行业是否当然涵盖其中——故质疑处罚缺乏上位法明确授权。 **法律分析** 本案争议焦点直指《条例》第一条的立法依据与适用边界：**“根据《中华人民共和国网络安全法》，制定本条例”是否足以支撑对供水行业CII的监管合法性？** 答案是肯定的。理由如下： 第一，《网络安全法》第三十一条虽未穷尽列举所有行业，但采用“等重要行业和领域”的开放式表述，赋予了立法机关结合实践动态识别、扩展CII范围的解释空间。2022年国家网信办等五部门联合发布的《关键信息基础设施安全保护条例实施办法》第二条进一步明确：“水利、市政公用设施运营单位中承担城市供水、排水、燃气、热力等生命线工程核心调度与控制功能的信息系统，应当纳入CII识别范围。”供水公司的智慧调度平台正属此类。 第二，《条例》第一条并非独立创设权力，而是清晰宣示其**从属性与合宪合法性**——即本条例所有具体义务（如设立专门机构、开展检测评估、报送工作情况等）均系对《网络安全法》第三十一条“重点保护”原则的细化落实，而非超越上位法增设新义务。供水公司所称“无明确授权”，实为混淆了“原则授权”与“具体操作规范”的关系。正如《立法法》第八十条规定，行政法规可为执行法律而作出具体规定。《条例》正是对《网络安全法》中“重点保护”这一法定职责的制度化承接。 第三，从体系解释看，《条例》全文共六章五十一条，每项义务均可在《网络安全法》第三十一条至第三十七条中找到对应依据。例如，《条例》第十五条关于“每年至少进行一次网络安全检测和风险评估”，即是对《网络安全法》第三十八条“定期开展风险评估”的具象化；而第一条作为总则性条款，其功能恰在于锚定整部行政法规的效力来源与正当性根基。 --- **案件处理结果与启示** 2024年3月，供水公司在限期内完成整改：成立网络安全领导小组，聘请专业机构完成基线检测与渗透测试，并向省住建厅提交首份年度网络安全工作报告。省网信办经复查后予以结案。 本案启示在于：**行政法规的合法性审查，不能孤立审视条文本身，而须回归其与上位法的逻辑闭环与功能衔接。**《条例》第一条看似简单，实为整部法规的“合法性闸门”——它表明所有监管措施均非部门扩权，而是国家在《网络安全法》确立的法治框架内，对关键领域安全风险的精准响应。尤其对民生类基础设施运营者而言，行业属性（如供水）是否属于CII，不取决于企业自我判断，而以国家发布的识别指南和主管部门正式纳入目录为准。 --- **律师建议** 对企业特别是公用事业运营主体，须高度重视《条例》第一条所蕴含的**法律效力传导机制**： ✅ **立即核查自身信息系统是否已被列入地方CII目录**（可向省级网信或行业主管部门申请查询）； ✅ **切勿以“系统未直接控制物理设备”为由规避责任**——只要承担调度、监测、告警等核心运行支撑功能，即可能构成CII； ✅ **将《网络安全法》第三十一条与《条例》全部条款对照学习**，理解后者是对前者的“施工图”而非“加码令”。 > 重点提示：争议焦点的法律分析表明，《条例》第一条绝非形式化导语，而是企业合规义务的终极法源标识。忽视它，即忽视整个监管体系的宪法与法律根基。