网络安全法

数据安全法

通过及施行时间

2016年11月7日通过，自2017年6月1施行。

2021年6月10日通过，自2021年9月1日起施行。

法律地位

一样高

全国人大常委会通过，网络安全治理的国家级基本法。是我国第一部全面规范网络空间安全治理方面问题的基础性法律。

一样高

全国人大常委会通过，数据安全的国家级基本法。是我国第一部全面规范数据安全治理方面问题的基础性法律。

范围

一样大（不存在没有数据的网络）

一样大（也不存在脱离网络的数据）

重要性

一样重要（不能替代数据安全法）

一样重要（不能替代网络安全法）

侧重点

网络以及网络中的数据。

网络安全法保障网络安全，维护网络空间主权和国家安全、社会公共利益，重点关注“网络自身的安全”，数据安全在网络安全法中处于从属地位。

网络安全法未能从数据全维度进行规范，相关政策文件法律层级低，要求分散，难以系统性解决数据安全保障问题。

数据以及数据所在的网络。

确立了数据分类分级管理、数据安全审查、数据安全风险评估、监测预警和应急处置等基本制度，以提升国家数据安全能力，有效应对数据这一非传统领域的国家安全挑战，切实维护国家主权、安全和发展利益。首次将数据作为“关键要素”写入法律，首次确认“数据权益”。

依赖关系

网络安全的最终目的是保护数据安全。从这个意义上说，所有的网络安全，都是手段。

同时，网络安全也离不开数据安全。如果数据安全做得到位，尤其是与网络身份鉴权信息有关的用户密码及关联信息、网络配置和网络漏洞信息等数据获得足够安全保护，则网络安全能力也获得巨大提升。

数据安全有区别于网络安全的范围和价值，当数据通过网络进行传输、处理时则严重依赖网络安全。
数据安全法补充和细化了网络安全法中关于数据安全的内容部分，具体包括数据的确权、经营、政务大数据等。数据安全法和网络安全法相辅相成，我国进入双法互补、协同治理的大网络空间安全新时代。

数据定义

“网络数据”和“个人信息”。

“任何以电子或非电子形式对信息的记录”，内涵扩展极大。

跨境数据

规定数据不得出境存储：关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在境内存储。

进一步规定不得随意跨境传输：非经中华人民共和国主管机关批准，境内的组织、个人不得向外国司法或者执法机构提供存储于中华人民共和国境内的数据。

核心数据

定义了关键基础设施的数据。

关系国家安全、国民经济命脉、重要民生、重大公共利益等数据属于国家核心数据，实行更加严格的管理制度。

数据安全评估

数据出境安全评估

（“关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在境内存储。因业务需要，确需向境外提供的，应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估。”）

数据安全评估

（“重要数据的处理者应当按照规定对其数据活动定期开展风险评估，并向有关主管部门报送风险评估报告。风险评估报告应当包括本组织掌握的重要数据的种类、数量，收集、存储、加工、使用数据的情况，面临的数据安全风险及其应对措施等”）

对能力的要求

网络安全法提出了如下要求：

按照网络安全等级保护制度要求的管理能力和技术能力进行安全建设：
★第二十一条 国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改（一）制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任（二）采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施；（三）采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月；（四）采取数据分类、重要数据备份和加密等措施... ★其他条款提出的能力要求：设置专门安全管理机构和安全管理负责人；制定应急预案；进行容灾备份；进行风险检测评估；保证安全技术措施同步规划、同步建设、同步使用...

数据安全法提出了如下要求：
在网络安全等级保护制度的基础上，进一步建立健全全流程数据安全管理制度、采取各种数据安全技术措施进行数据安全保护、风险监测、预警处置等：

★第二十七条开展数据处理活动应当依照法律、法规的规定，建立健全全流程数据安全管理制度，组织开展数据安全教育培训，采取相应的技术措施和其他必要措施，保障数据安全。利用互联网等信息网络开展数据处理活动，应当在网络安全等级保护制度的基础上，履行上述数据安全保护义务。重要数据的处理者应当明确数据安全负责人和管理机构，落实数据安全保护责任。

★第二十九条开展数据处理活动应当加强风险监测，发现数据安全缺陷、漏洞等风险时，应当立即采取补救措施；发生数据安全事件时，应当立即采取处置措施，按照规定及时告知用户并向有关主管部门报告。

★第三十条 重要数据的处理者应当按照规定对其数据处理活动定期开展风险评估，并向有关主管部门报送风险评估报告。

责任主体

网络运营者、关键信息基础设施的运营者

★第二十一条 国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，...防止网络数据泄露或者被窃取、篡改：...

★第三十四条 除本法第二十一条的规定外，关键信息基础设施的运营者还应当履行下列安全保护义务：...

重要数据的处理者、关键信息基础设施的运营者

★第四章 数据安全保护义务 ★第二十七条 重要数据的处理者应当明确数据安全负责人和管理机构，落实数据安全保护责任。 ★第三十一条 关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的重要数据的出境安全管理，适用《中华人民共和国网络安全法》的规定；...

主管部门和执法机构

国家网信办统筹

行业和区域主管部门监管

公安机关、国家安全机关执法

保密部门 军队部门

★第八条 国家网信部门负责统筹协调网络安全工作和相关监督管理工作。国务院电信主管部门、公安部门和其他有关机关依照本法和有关法律、行政法规的规定，在各自职责范围内负责网络安全保护和监督管理工作。

★县级以上地方人民政府有关部门的网络安全保护和监督管理职责，按照国家有关规定确定。

★第二十八条 网络运营者应当为公安机关、国家安全机关依法维护国家安全和侦查犯罪的活动提供技术支持和协助。

★第七十七条 存储、处理涉及国家秘密信息的网络的运行安全保护，除应当遵守本法外，还应当遵守保密法律、行政法规的规定。

★第七十八条 军事网络的安全保护，由中央军事委员会另行规定。

国家网信办统筹

行业和区域主管部门监管

公安机关、国家安全机关执法

保密部门

军队部门

★第六条 各地区、各部门对本地区、本部门工作中收集和产生的数据及数据安全负责。

★工业、电信、交通、金融、自然资源、卫生健康、教育、科技等主管部门承担本行业、本领域数据安全监管职责。

★公安机关、国家安全机关等依照本法和有关法律、行政法规的规定，在各自职责范围内承担数据安全监管职责。

★国家网信部门依照本法和有关法律、行政法规的规定，负责统筹协调网络数据安全和相关监管工作。

★第五十三条 开展涉及国家秘密的数据处理活动，适用《中华人民共和国保守国家秘密法》等法律、行政法规的规定。

★第五十四条 军事数据安全保护的办法，由中央军事委员会依据本法另行制定。

处罚力度

大（一百万罚款、停业、刑罚）

★第六十三条 违反本法第二十七条规定，从事危害网络安全的活动...；情节较重的，处五日以上十五日以下拘留，可以并处十万元以上一百万元以下罚款。

★第六十六条 关键信息基础设施的运营者违反本法第三十七条规定，在境外存储网络数据，或者向境外提供网络数据的，由有关主管部门责令改正，给予警告，没收违法所得，处五万元以上五十万元以下罚款，并可以责令暂停相关业务、停业整顿、关闭网站、吊销相关业务许可证或者吊销营业执照。

★第六十九条 网络运营者违反本法规定，有下列行为之一的，由有关主管部门责令改正；拒不改正或者情节严重的，处五万元以上五十万元以下罚款，对直接负责的主管人员和其他直接责任人员，处一万元以上十万元以下罚款。

★...

巨大（一千万元罚款、停业、刑罚）

★第四十五条 违反国家核心数据管理制度，危害国家主权、安全和发展利益的，由有关主管部门处二百万元以上一千万元以下罚款。

★第四十六条 违反本法第三十一条规定，向境外提供重要数据的，由有关主管部门责令改正，给予警告，可以并处十万元以上一百万元以下罚款，对直接负责的主管人员和其他直接责任人员可以处一万元以上十万元以下罚款；情节严重的，处一百万元以上一千万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照，对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款。

★第四十八条 违反本法第三十六条规定，未经主管机关批准向外国司法或者执法机构提供数据的，由有关主管部门给予警告，可以并处十万元以上一百万元以下罚款，对直接负责的主管人员和其他直接责任人员可以处一万元以上十万元以下罚款；造成严重后果的，处一百万元以上五百万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照，对直接负责的主管人员和其他直接责任人员处五万元以上五十万元以下罚款。

★...