一句话回答：2025年10月28日，十四届全国人大常委会第十八次会议表决通过《关于修改〈中华人民共和国网络安全法〉的决定》，修改后的法律自2026年1月1日起施行，这是2016年制定网络安全法以来的首次修改。对企业来说最直接的变化是罚则大幅加重——网络运营者不履行网络安全保护义务的顶格罚款由一百万元提高到一千万元，对直接负责的主管人员和其他直接责任人员也要处罚；同时新增了人工智能相关条款。
一、这次修改改了什么？
第一，处罚力度上了一个量级。新法针对网络运营者不履行安全保护义务的行为，区分一般情形、严重后果、特别严重后果三个层级设置阶梯式责任，最高罚款额度提升到一千万元，同时对直接负责的主管人员和其他直接责任人员一并追责，形成"单位加个人"的双重责任结构。第二，法律责任与《数据安全法》《个人信息保护法》作了衔接，避免同一种违法行为在不同法律下处罚畸轻畸重。第三，新增人工智能内容：修改后的网络安全法第二十条规定，国家支持人工智能基础理论研究和算法等关键技术研发，推进训练数据资源、算力等基础设施建设，同时要求加强人工智能安全风险管理。这一条既是鼓励，也是给AI业务划出的安全底线。
二、企业要改什么？三条自查线
一是等保与日志。网络运营者的安全保护义务原本主要靠《网络安全法》第二十一条、第二十七条等条款落地，现在对应的罚则上限提高，等保测评、日志留存、漏洞处置就不再是"可做可不做"的事。二是事件响应。未及时处置系统漏洞等安全风险、对用户发布的违法信息未及时采取停止传输和消除等处置措施，都是典型的处罚事由，企业要把应急响应的时限、留痕、上报流程写进制度，并且留下执行记录。三是AI业务合规。涉及生成式人工智能、算法推荐的业务，除了算法备案、生成式AI服务备案之外，还要按新法要求评估安全风险，训练数据来源的合法性、内容安全机制都要有书面材料支撑。
三、实务视角：罚单已经落地
新法2026年1月1日施行，公开报道显示，2026年2月6日，北京市互联网信息办公室依据《中华人民共和国网络安全法》《中华人民共和国行政处罚法》等法律法规，对北京快手科技有限公司处警告并罚款1.191亿元人民币，同时责令限期改正；处罚事由包括未履行网络安全保护义务、未及时处置系统漏洞等安全风险、未对用户发布的违法信息立即采取停止传输和消除等处置措施，情节严重、影响恶劣。这是新法施行后针对头部平台开出的首笔亿元级罚单。实务中要注意，这类案件的执法思路是"先看制度有没有，再看制度执行了没有，最后看有没有留痕"，企业事后补制度，很难补出证据。
四、案例分析（示意情景）
示意情景：某中型电商平台收到白帽报告，称用户信息接口存在可被批量查询的问题，技术团队两天后才修复，既没有留存漏洞处置记录，也没有在规定时间内向主管部门报告。这种情况下，监管部门通常不会只看"漏洞是否修好"，而会审查漏洞从发现到修复用了多长时间、有没有及时上报、有没有应急处置记录。企业如果平时没有漏洞管理台账和应急响应制度，很难证明自己尽到了安全保护义务。以上为示意情景，不是某一起具体案件的认定结论。
最后一句话：这次修改的核心不是加了哪些新名词，而是把"安全义务"真正挂上了千万元级别的责任。企业做合规，制度、执行、留痕三样要同时有，缺一样都是风险敞口。
五、常见问题（FAQ）
问：修改后的网络安全法什么时候施行、企业最高会被罚多少？
答：修改决定于2025年10月28日表决通过，修改后的法律自2026年1月1日起施行；网络运营者不履行网络安全保护义务的顶格罚款由一百万元提高到一千万元。
问：这次修改对企业最大的变化是什么？
答：处罚力度上了一个量级，针对不履行安全保护义务的行为区分一般情形、严重后果、特别严重后果三个层级设置阶梯式责任，并对直接负责的主管人员和其他直接责任人员一并追责。
问：新法新增了哪方面内容？
答：新增人工智能相关内容，修改后的第二十条规定国家支持人工智能基础理论研究和算法等关键技术研发，同时要求加强人工智能安全风险管理。
问：企业需要重点自查哪几条线？
答：等保与日志、事件响应、AI业务合规三条线。
问：未及时处置系统漏洞等安全风险会被处罚吗？
答：会。未及时处置系统漏洞等安全风险、对用户发布的违法信息未及时采取停止传输和消除等处置措施，都是典型的处罚事由。
延伸阅读：
相关阅读
- 数据合规与人工智能法律专题
- 死者个人信息怎么处理？近亲属能查询、复制、删除逝者的个人信息吗？
- 行踪轨迹信息属于敏感个人信息吗？企业收集员工定位、客户位置信息要遵守哪些规则？
- 个人信息保存期限是多久？企业超期保存、到期不删会有什么后果？
- 处理已公开的个人信息还需要同意吗？企业用公开数据会不会违法？
- 个人信息保护认证是什么？企业做PIP认证有什么用、怎么办理？
王冠律师｜北京浩略律师事务所联合创始人｜咨询电话：17813108512