| name | critical-infrastructure-checker |
| description | 关键信息基础设施（CII）认定检查——判断企业是否构成CII运营者， 以及CII认定后的合规义务。适用情形：用户说"我们属于关键信息基础设施吗"、 "CII认定标准是什么"、"CII运营者有什么义务"、 "网络安全审查需要做吗"、"等保三级以上算CII吗"。
|
| argument-hint | [行业领域 + 业务系统描述 + 是否处理个人信息] |
| legal_frame | cn-mainland |
| last_reviewed | 2026-06 |
| version | 1.0.0 |
| risk_level | critical |
| escalation_triggers | ["已被认定为CII但未落实合规义务","涉及CII网络安全审查申报","CII数据出境安全评估","发生CII安全事件"] |
| trigger_phrases | ["检查","数据合规","个人信息","PIPL","跨境"] |
/critical-infrastructure-checker — China Mainland
法律背景与法规框架
《网络安全法》（CSL）第31条首次在立法层面引入了关键信息基础设施（CII）概念，要求对可能危害国家安全、国计民生、公共利益的关键信息基础设施实行重点保护。2021年8月施行的《关键信息基础设施安全保护条例》（CII条例）进一步细化了CII的认定标准、运营者安全保护义务和监督管理机制。2021年修订的《网络安全审查办法》明确规定，CII运营者采购网络产品和服务、数据处理者开展数据处理活动，影响或可能影响国家安全的，须进行网络安全审查。
CII认定不是自动的，而是由行业主管部门（如工信部、央行、卫健委等）根据认定规则主动识别并通知运营者。但企业在被正式通知前，应当主动进行自查：如果自身的业务领域和系统特性很可能符合CII标准，则应主动开展合规建设，不可等待正式认定后再启动。
工作流程
第一步：领域与行业判断
CII认定的第一个维度是行业领域。根据CII条例第8条，以下行业属于CII重点范围：
| 行业领域 | 主管认定部门 | 常见CII系统 |
|---|
| 电信和互联网 | 工信部 / 省级通信管理局 | 骨干网、数据中心、云平台 |
| 能源（电力/石油/天然气） | 国家能源局 | 电网调度、油气管控 |
| 交通运输 | 交通运输部 | 航空管制、轨道交通、ETC |
| 水利 | 水利部 | 水文监测、水利枢纽 |
| 金融 | 央行/银保监会/证监会 | 支付清算、证券交易 |
| 公共服务（社保/医疗/教育） | 各自主管部门 | 社保系统、医保平台 |
| 电子政务 | 国家网信办 | 政务云、政务数据平台 |
| 国防科工 | 国防科工局 | 军工信息系统 |
判断： 如果企业所属行业不在上述清单中，则被认定为CII的可能性较低。但若企业为上述行业提供关键信息化服务（如云服务商为金融行业提供核心系统），可能成为CII。
第二步：系统关键性评估
即使属于上述行业，被认定为CII还需满足"一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益"的条件。评估标准：
系统关键性评估
├─ 1. 是否可能危害国家安全？
│ ├─ 系统承载国防/外交/重大政务数据 → 高风险
│ └─ 否 → 继续
├─ 2. 是否可能危害国计民生？
│ ├─ 服务用户数 > 100万 或 支撑关键行业运行 → 高风险
│ └─ 否 → 继续
├─ 3. 是否可能危害公共利益？
│ ├─ 导致大规模数据泄露 (>100万人) 或公共服务中断 → 高风险
│ └─ 否 → 较低风险
└─ 综合：同时满足1+2+3中任一条件 → 很可能被认定为CII
等保等级参考： 一般来说，安全保护等级为第三级及以上的系统是CII的重点候选对象，但不是唯一判断标准。
第三步：网络安全审查判断
如果企业被认定为CII运营者（或被正式通知），须检查以下情况是否需要申报网络安全审查：
CII运营者采购场景
├─ 采购网络产品和服务 → 判断是否影响国家安全
│ ├─ 采购核心网络设备、重要安全设备 → 建议申报
│ ├─ 采购云计算服务 → 须通过安全评估
│ └─ 采购数据处理服务（涉及个人信息）→ 建议申报
├─ 数据处理活动（非采购）→ 判断是否影响国家安全
│ ├─ 处理100万人以上个人信息 → 建议申报
│ ├─ 处理重要数据 → 建议申报
│ └─ 数据出境 → 参见data-export-assessment
└─ 发生以下变化 → 重新审查
├─ 股权结构变化（外资收购/控制）
└─ 上市（特别是赴海外上市）
第四步：CII运营者合规义务清单
一旦被认定为CII运营者，须履行以下主要义务：
安全保护义务：
- 设置专门安全管理机构（CII条例 第13条）
- 对关键岗位人员进行安全背景审查（第14条）
- 制定安全保护制度和操作规程
- 对系统进行安全监测和风险评估（每半年至少一次）
- 制定网络安全事件应急预案并定期演练（每年至少一次）
- 将安全事件报告公安机关（第17条）
- 每年至少进行一次安全检测评估（第18条）
数据保护义务：
