《普华永道网络安全立法洞察研究报告》-62页_4mb

一、背景与研究概述

1. 数字时代的网络安全挑战：数字化使全球社会更加互联，但也带来了更高的网络安全风险。各国通过建立和更新国内立法、加强国际合作来应对这些威胁。
2. 研究目的：比较13个不同国家的网络安全立法，分析其异同点，为政策制定者提供早期战略制定的指导，重点关注以下九个领域：
   • 关键基础设施保护
   • 事件响应与危机管理
   • 网络犯罪立法
   • 个人数据保护
   • 非个人数据保护
   • 信息通信技术漏洞管理
   • 安全意识与能力
   • 国际合作
   • 网络安全技术与解决方案市场

二、网络安全立法的关键领域分析

1. 关键基础设施（CI）保护

• 立法模式：两大类，包括专门立法或将其要求纳入更广泛的网络安全战略中。
• 内容框架：多数法律包含目标设定、执法机构、运营者义务和杂项条款等部分。
• 定义与范围：CI通常包括能源、交通、银行和电信行业，具体命名因国家而异。
• 报告机制：多数国家要求在事件发生后6-72小时内报告，内容包括受影响描述和潜在影响。

2. 事件响应与危机管理

• 分类：多数国家将安全事件分为四个级别（如中国）。
• 报告机制：通过国家级计算机应急响应团队（CSIRT）进行，部分内容由开发中或发达国家自愿制定。

3. 网络犯罪立法

• 立法模式：单独立法或融入刑法。例如，南非、阿联酋和英国专有网络犯罪法。
• 违规行为：包括黑客攻击、系统干扰、网络钓鱼、勒索软件等。

4. 个人数据保护

• 法律原则：包括合法性、公平性、最小化等六大原则。
• 法律基础：多数国家规定六种数据处理法律基础，如同意、执行合同等。
• 跨国数据传输：通过充分性决策或适当保障措施进行，具体实施方法因国家而异。

5. 非个人数据保护

• 立法发展：仍处于早期阶段，主要涉及数据共享和跨境传输。
• 主要内容：包括定义、范围、使用原则和本地化要求。

6. 信息通信技术漏洞管理

• 识别、分析与缓解：绝大多数国家在漏洞处理上都有要求，包括报告和及时修复。
• 披露：多数国家推动负责任的披露方式，尤其是在欧盟和中国。

7. 安全意识与能力

• 国家重点：中国、美国和欧盟特别强调网络安全意识。
• 组织要求：中国在网络安全法中明确规定定期进行安全教育培训和宣传。

8. 国际合作

• 立法机制：包括国家间合作和私有部门-政府部门合作（如PPP）。
• 合作模式：主要包括形成多边协议或双边谅解备忘录（MoU）。

9. 网络安全技术与解决方案

• 技术控制：包括认证、风险评估和标准安全流程的制定。
• 专家服务：包括国际标准化流程的制定和网络安全专业人才的培养。

三、立法设计的五项关键考虑

1. 考虑经济可行性：通过按领域分法规而不是全面法来减少复杂性并提高效率。
2. 承认网络安全为公共责任：所有利益相关者应承担责任，平衡国家、私营部门和公民的作用。
3. 加强基础性要求来防范网络犯罪：采用多层防御（MLD）和零信任测试等框架提高基础防护。
4. 合作解决问题：采用多利益相关方（MSP）或公共-私营部门合作（PPP）。
5. 平衡安全与发展：政策应当支持技术创新的发展，而不是阻碍发展。

四、新兴网络安全立法趋势

1. 新技术监管：包括AI法规（欧盟和美国）以及区块链安全机制。
2. 跨国数据流动：关键词包括习近平中国特色的法律监管以及欧盟以人为中心的数据监管。
3. 网络安全保险：中国、美国和欧盟都出台了相关立法。
4. 供应链安全：防范整个生态系统的安全，从上游设备的安全到供应商审查。

五、案例研究：芬兰的5G网络安全立法

• 实施框架：从政府、议会、顾问委员会、运营商、设备供应商共同参与，形成全方位协作。
• 焦点讨论：关于谁承担责任的问题，芬兰法律以设备级别制定评估，旨在维持对私营部门的竞争力。

六、结语

网络安全政策制定是一项深层工作，需要平衡防患于未然、国际协作以及经济可行性的研究方针，综合考虑各国国情、重点领域以及未来科技趋势，做出合理规制。