csr-filing-advisor

name	csr-filing-advisor
description	网络安全审查申报顾问——指导企业完成网络安全审查申报流程， 判断是否需要申报及如何准备申报材料。适用情形：用户说"网络安全审查 需要申报吗"、"CII采购安全审查流程"、"数据安全审查申报"、 "申报材料怎么准备"、"审查不通过的后果"、"外资背景安全审查"。
argument-hint	[企业性质 + 采购/数据处理活动描述 + 是否涉及外商投资]
legal_frame	cn-mainland
last_reviewed	2026-06
version	1.0.0
risk_level	critical
escalation_triggers	["确定需要申报网络安全审查","涉及外资收购/控制CII运营者","境外上市涉及数据处理活动","申报被要求补充材料或审查不通过"]
trigger_phrases	["备案","顾问","数据合规","个人信息","PIPL"]

/csr-filing-advisor — China Mainland

法律背景与法规框架

《网络安全审查办法》（CSR办法）于2021年修订发布，2022年2月15日生效。该办法的核心机制是：关键信息基础设施运营者（CIIO）采购网络产品和服务，以及网络平台运营者开展数据处理活动，影响或可能影响国家安全的，须进行网络安全审查。2022年《数据出境安全评估办法》与CSR办法形成联动：数据出境安全评估中若发现可能影响国家安全的，也会触发网络安全审查。

审查重点包括：产品和服务的安全性、可控性（是否存在后门/供应链风险）、数据处理活动的国家安全影响、以及外国政府对中国数据资源的非正当访问风险。审查由网络安全审查办公室（设在国家网信办）会同12个部委组成的工作机制负责。审查期限通常为45个工作日，情况复杂可延长至90个工作日。

工作流程

第一步：触发条件判断

检查是否满足以下任一触发条件。满足任一条件即可能需要申报：

触发条件A — CIIO采购网络产品和服务
├─ 条件1：已收到CII认定通知
│   └─ 是 → 采购核心网络设备/重要通信设备/高性能计算/云服务
│       └─ 是 → 须申报
├─ 条件2：虽未收到CII认定通知但很可能被认定为CII
│   └─ 参照critical-infrastructure-checker进行预评估
│       └─ 高可能性 → 建议主动申报
└─ 条件3：CIIO采购数据处理服务/在线平台服务
    └─ 涉及个人信息处理 → 建议申报

触发条件B — 网络平台运营者数据处理活动
├─ 条件1：赴国外上市且处理100万人以上个人信息
│   └─ 是 → 必须申报（CSR办法 第7条）
├─ 条件2：赴香港上市且处理100万人以上个人信息
│   └─ 是 → 建议申报（视具体情况）
├─ 条件3：数据处理活动影响国家安全（如重要数据泄露风险）
│   └─ 是 → 必须申报
└─ 条件4：被CSR工作机制办公室约谈或通知
    └─ 是 → 必须申报

触发条件C — 特殊情形
├─ 外商投资/并购CIIO
│   └─ 外商投资安全审查+网络安全审查双重申报
└─ 境外政府要求提供中国境内数据
    └─ 必须申报

第二步：申报材料准备

基础材料清单：

序号	材料	说明
1	网络安全审查申报表	含企业基本信息、拟申报产品/服务/活动描述
2	拟采购产品/服务的合同或意向协议	如为数据处理活动申报，提供活动说明
3	产品/服务安全风险评估报告	自评估或第三方评估
4	安全测试报告	第三方安全检测机构出具
5	供应链安全评估	含供应商信息、代码可控性等
6	数据安全保护措施说明	含数据分类分级、访问控制等
7	可能影响国家安全的分析报告	法律分析+安全分析
8	法人资格证明	营业执照等

特殊情形额外材料：

• 涉及上市：招股说明书中数据安全章节、监管问询回复
• 涉及外资：股权结构图、实际控制人说明
• 涉及数据出境：数据出境安全评估结果

第三步：申报与审查流程管理

申报流程时间线：
Day 0: 提交申报材料
Day 10内: 审查办公室初步审查
    ├─ 材料不齐全会要求补正（15个工作日内补正）
    └─ 材料完整 → 正式受理
Day 45内: 完成审查（一般程序）
    ├─ 通过 → 发出审查通过通知
    ├─ 不通过 → 不得继续采购或开展数据处理活动
    └─ 情况复杂 → 延长至90个工作日
    └─ 特别审查程序 → 召开审查工作会议，报中央批准

审查中的配合义务：

• 如实回答审查人员的询问
• 按要求补充材料或说明情况
• 配合现场检查或技术测试
• 不得隐瞒或提供虚假材料

第四步：审查不通过的应对

审查不通过意味着不得继续采购相关产品/服务，或不得继续开展相关数据处理活动。

应对策略：

1. 审查结论中通常会指出不安全因素
2. 对不安全因素进行整改（如更换供应商/加强安全措施/调整业务模式）