作者按：在《网络安全审查办法》下，相关区块链企业可能构成关键信息基础设施运营者或网络产品和服务提供者，其不仅需要了解该法已经规定的内容，还需要知晓其中尚待明确的事项，并应关注未来的立法进展，以做好应对工作。
2020年4月27日，包括国家网信办、发改委、工信部、部、安全部、财政部、商务部、央行、市场监督管理局、广电部门、保密局、密码管理局在内的12个政府部门联合发布了《网络安全审查办法》。该办法将于6月1日起实施。
《办法》是2016年11月出台的《网络安全法》的配套规定，将取代网信办在2017年5月发布的《网络产品和服务安全审查办法》，旨在进一步确保关键信息基础设施供应链安全，维护国家安全。《办法》本身虽然内容不多，却意义重大，将严格规范相关关键信息基础设施运营者和网络产品和服务提供者的购销行为。
然而，《办法》虽然在试行办法的基础上，搭建了更为完善的审查框架，但是在一些核心概念的界定上仍有不甚明确的地方，可能导致法规适用上的不确定性。
对于从事区块链相关业务的企业而言，如果其落入《办法》下的关键信息基础设施运营者或网络产品和服务提供者的范围，并且相关购销行为将影响或可能影响国家安全的，则也需遵守《办法》的规定。为合规开展业务之目的，该等区块链企业也有必要了解自身是否属于《办法》所规范的关键信息基础设施服务运营者、或网络产品和服务提供者，以及作为该等主体需要履行的主要义务等。
英国制定“黑钱”打击计划，欲断普京与亲信资金流:3月8日消息，英国周一制定打击“黑钱”的办法，推出“阻碍”俄罗斯总统普京的新法案，使得与他关系密切的人士更难利用伦敦为所欲为。拖延已久的《经济犯罪法案》出台之际，正值立法者不分党派呼吁政府采取更多措施，阻止俄罗斯资金流入伦敦，以回应普京在乌克兰的军事行动。不过，尽管反腐败活动人士表示，其中一些措施试图迫使业主披露身份，并加强无法解释的财富秩序，但他们表示，如果没有新的经费挹注，执法机构将举步维艰。 （金十）[2022/3/8 13:43:48]
一、??认定是否属于关键信息基础设施服务运营者
《办法》未对“关键信息基础设施运营者”进行定义，而是规定由关键信息基础设施保护工作部门认定。但是，认定的标准是什么？《办法》没有明确规定。
网信办有关负责人就《办法》相关问题答记者问时，提到了电信、广播电视、能源、金融、公路水路运输、铁路、民航、邮政、水利、应急管理、卫生健康、社会保障、国防科技工业等重要网络和信息系统的运营者。但是，其回答仅是对相关行业领域的列举，而且还有“等”字做兜底，并没有直接回答上述问题。并且，其在答记者问中引用的规定《关于关键信息基础设施安全保护工作有关事项的通知》也未在公开渠道发布。
关于“关键信息基础设施”概念和认定标准，目前可以参考的是2016年6月中央网络安全和信息化领导小组办公室制定的《国家网络安全检查操作指南》、2016年11月全国人大常委会发布的《网安法》、网信办会同相关部门起草并在2017年7月公开征求意见的《关键信息基础设施安全保护条例》。总体而言，该等法律规范均采用了行业标准和后果标准这两项基本标准，但是行业范围有所不同。
希腊遍布比特币取款机,非法“黑洞”引政府关注:据希腊《中希时报》报道，目前，希腊已遍布比特币(一种数字货币)取款机，人们可以随时使用该机器存入现金，并将数字货币转存入其特殊的数字钱包内，同样的操作也适用于从数字钱包内提取现金，全程没有任何监督。该货币的流通存在一定的安全漏洞，引起希腊政府的重视。（中新网）[2020/11/23 21:49:30]
其中，《操作指南》所规定的“关键信息基础设施”的行业范围最广，网站类、平台类、生产业务类都可能成为关键信息基础设施。
而《网安法》作为基础法律，其规定最为原则，列举了公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，并授权国务院制定关键信息基础设施的具体范围。
《条例草稿》则主要更新和细化了《网安法》下的行业标准，以“列举+兜底”方式新增了国防科工、大型装备等行业类别，且将“公共通信和信息服务”细化为“电信网、广播电视网、互联网等信息网络，以及提供云计算、大数据和其他大型公共信息网络服务的单位”，而且还有“其他重点单位”的兜底条款，并规定国家网信办会同国务院电信主管部门、部门等部门制定关键信息基础设施识别指南。总体看来，《条例草稿》所规定的关键信息基础设施范围也比较宽泛，除了网信办负责人在答记者问中列举的几个行业领域外，还包括互联网、云计算、大数据及其他大型信息网络服务企业。
观点：蚂蚁被列入美国“黑名单”传闻不会阻止在其区块链等领域投资:有分析认为，蚂蚁被列入美国“黑名单”的传闻很大程度上是象征性的，不会阻止蚂蚁上市或在关键领域（如区块链）进行投资，对蚂蚁的业务和IPO计划的影响都微乎其微。（财联社）[2020/10/16]
由于《办法》未对关键信息基础设施的范围作出明确规定，《网安法》规定比较原则、《操作指南》位阶较低，而《条例草稿》尚未生效，其中规定的识别指南也未出台，相关区块链企业平台等）是否会构成“关键信息基础设施运营者”，存在不确定性。相关区块链企业需关注《条例草稿》、识别指南等规范的立法进展。
二、??判断是否属于网络产品和服务提供者
根据《办法》，“网络产品和服务”主要指核心网络设备、高性能计算机和服务器、大容量存储设备、大型数据库和应用软件、网络安全设备、云计算服务，以及其他对关键信息基础设施安全有重要影响的网络产品和服务。
虽然《办法》以列举的方式规定了“网络产品和服务”的概念，但是，该概念一些界定的定性上仍然缺乏明确的标准，并且，“其他对关键信息基础设施安全有重要影响的网络产品和服务”的兜底性内容也使得产品和服务的范围过于宽泛，可能导致实践中因缺乏判定标准而难以确定适用范围，给采购商和供应商都带来认定上的不确定性。
对于业务涉及提供宽泛意义上的网络产品和服务的区块链企业而言，同样会面临认定上的不确定性。笔者推测，相关部门未来应该会制定相关标准或提供相关产品和服务名录供企业参考，建议相关区块链企业关注立法进展。
清算损失者要求MakerDAO为“黑色星期四”承担责任:在黑色星期四，价格暴跌将许多终身加密货币坚定者的积蓄都化为乌有。尽管该系统在技术上没有出现故障，但一系列因素使一些机会主义者在抵押品拍卖中胜出，尽管他们的出价极低。而承受损失的人声称，他们要求MakerDAO对这一事件负责。其中，一些人指责MakerDAO缺乏责任感。他们要求回答一些问题，例如为何将治理协议最低竞标时间从3天更改为10分钟。到目前为止，MakerDAO还没有针对清算受害者的计划援助。（CoinDesk）[2020/3/25]
三、了解作为关键信息基础设施服务运营者或网络产品和服务提供者的主要义务
1.作为关键信息基础设施服务运营者
(1)预判风险和申报审查
关键信息基础设施服务运营者应当预判该产品和服务投入使用后可能带来的国家安全风险。
运营者预判风险后认为影响或者可能影响国家安全的，运营者应当向网络安全审查办公室申报网络安全审查。
(2)了解网络产品和服务提供者本身的合规情况
网络安全审查重点评估运营者采购网络产品和服务可能带来的国家安全风险，主要考虑的因素一方面是采购的网络产品和服务的安全性、可控性，另一方面是网络产品和服务提供者本身遵守中国法律、行政法规、部门规章的情况。
Decentraland回应日活用户过低质疑：9月实际月活用户超5.6万:10月9日消息，元宇宙平台项目Decentraland在其社交平台回应部分网站关于其日活用户过低的报道表示，一些网站仅跟踪特定的智能合约交易作为日活用户判定标准，这是不准确的。9月Decentraland实际月活用户为56,697，其中1,074个用户进行了智能合约交互，另外还有161场社区活动和148个DAO提案。[2022/10/9 12:50:08]
这对运营者遴选供应商提出了要求，如果预判采购行为可能需要网络安全审查，运营者需了解网络产品和服务提供者的本身的合法合规情况。如果产品和服务提供者存在合规性瑕疵，可能导致运营者通不过网络安全审查。
(3)通过协议要求网络产品和服务提供者配合审查
运营者应通过采购文件、协议等要求网络产品和服务提供者配合网络安全审查，包括要求网络产品和服务提供者承诺不利用提供产品和服务的便利条件非法获取用户数据、非法控制和操纵用户设备，无正当理由不中断产品供应或必要的技术支持服务等。
(4)督促产品和服务提供者遵守承诺
运营者应当敦促产品和服务提供者履行网络安全审查中作出的承诺。
2.作为网络产品和服务提供者
(1)确保本身业务合规
如上所述，网络安全审查的重点除了网络产品和服务的安全性、可控性外，还包括产品和服务提供者本身遵守中国法律、行政法规、部门规章的情况。
据此，如果相关区块链企业拟成为关键信息基础设施运营者的供应商，出于可能需要进行国家安全审查的考虑，除了需确保其产品和服务安全、可控外，还应注意本身的合规性状况。如果区块链企业存在相关违规情况，将难以作为供应商，参与关键信息基础设施业务。
(2)在协议中作出相关承诺
如上所述，网络产品和服务提供者在与关键信息基础设施运营者所签署的相关采购文件、协议中，需要作出其不会利用提供产品和服务的便利条件非法获取用户数据、非法控制和操纵用户设备，无正当理由不中断产品供应或必要的技术支持服务等。
(3)在审查过程中提供配合
根据《办法》，网络安全审查办公室在进行网络安全审查的过程中，要求提供补充材料的，网络产品和服务提供者也应当予以配合。
鉴于在现行法律框架下，网络安全审查的监管力度在加强，而关键信息基础设施运营者、网络产品和服务提供者的范围认定存在模糊性，建议相关区块链企业结合自身的业务领域，一方面参考现有的规定进行初步判断，另一方面密切关注立法进展，与行业主管部门做好沟通。如果预判可能落入《办法》下的义务主体的，为不影响业务发展，错失商业机会，应提前加强网络安全方面的合规工作。
作者：张凌，瀚一律师事务所合伙人
声明：本文仅代表作者个人观点，不代表所在机构意见。文中内容不构成法律意见和投资建议。如需转载或引用本文的任何内容，请列明作者姓名。
本文注释：
网信办有关负责人就《办法》相关问题答记者问，http://www.cac.gov.cn/2020-04/27/c_1589535446378477.htm
《操作指南》第3.1条规定：“关键信息基础设施”是指面向公众提供网络信息服务或支撑能源、通信、金融、交通、公用事业等重要行业运行的信息系统或工业控制系统，且这些系统一旦发生网络安全事故，会影响重要行业正常运行，对国家、经济、科技、社会、文化、国防、环境以及人民生命财产造成严重损失。关键信息基础设施包括网站类，如党政机关网站、企事业单位网站、新闻网站等；平台类，如即时通信、网上购物、网上支付、搜索引擎、电子邮件、论坛、地图、音视频等网络服务平台；生产业务类，如办公和业务系统、工业控制系统、大型数据中心、云计算平台、电视转播系统等。
《网安法》第31条规定：国家对公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施，在网络安全等级保护制度的基础上，实行重点保护。关键信息基础设施的具体范围和安全保护办法由国务院制定。国家鼓励关键信息基础设施以外的网络运营者自愿参与关键信息基础设施保护体系。
《条例草稿》第18条规定：下列单位运行、管理的网络设施和信息系统，一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的，应当纳入关键信息基础设施保护范围：
政府机关和能源、金融、交通、水利、卫生医疗、教育、社保、环境保护、公用事业等行业领域的单位；
电信网、广播电视网、互联网等信息网络，以及提供云计算、大数据和其他大型公共信息网络服务的单位；
国防科工、大型装备、化工、食品药品等行业领域科研生产单位；
广播电台、电视台、通讯社等新闻单位；
其他重点单位。
《办法》第9条规定：网络安全审查重点评估采购网络产品和服务可能带来的国家安全风险，主要考虑以下因素：
产品和服务使用后带来的关键信息基础设施被非法控制、遭受干扰或破坏，以及重要数据被窃取、泄露、毁损的风险；
产品和服务供应中断对关键信息基础设施业务连续性的危害；
产品和服务的安全性、开放性、透明性、来源的多样性，供应渠道的可靠性以及因为、外交、贸易等因素导致供应中断的风险；
产品和服务提供者遵守中国法律、行政法规、部门规章情况；
其他可能危害关键信息基础设施安全和国家安全的因素。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。