一句话回答：关键信息基础设施（业内简称“关基”，英文缩写CII）不是企业自己申报的，而是由本行业、本领域的主管部门——条例里叫“保护工作部门”——依照认定规则组织认定，并把认定结果通知运营者。一旦被认定，企业就要设置专门安全管理机构、每年至少做一次网络安全检测和风险评估、采购可能影响国家安全的网络产品要通过安全审查，处理个人信息原则上要在境内存储；不履行义务最高可罚100万元，直接负责的主管人员另罚1万至10万元。

一、法律依据：认定是“部门认定＋通知”，不是企业申请

《关键信息基础设施安全保护条例》（国务院令第745号，2021年9月1日施行）第二条规定：本条例所称关键信息基础设施，是指公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务、国防科技工业等重要行业和领域的，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的重要网络设施、信息系统等。

第八条明确，上述重要行业和领域的主管部门、监督管理部门是负责关键信息基础设施安全保护工作的部门。第九条规定，保护工作部门结合本行业、本领域实际，制定关键信息基础设施认定规则，并报国务院公安部门备案，制定认定规则应当主要考虑相关网络设施、信息系统的危害程度和关联性影响。第十条规定，保护工作部门根据认定规则组织认定，及时把认定结果通知运营者，并通报国务院公安部门。第十一条还规定，关键信息基础设施发生较大变化、可能影响认定结果的，运营者应当及时报告，保护工作部门在3个月内完成重新认定。

另一条必须一起看的是个人信息保护法第四十条：关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的个人信息处理者，应当将在中华人民共和国境内收集和产生的个人信息存储在境内；确需向境外提供的，应当通过国家网信部门组织的安全评估。

二、被认定后必须做的事（条例第十四至十九条）

第十四条：运营者应当设置专门安全管理机构，并对专门安全管理机构负责人和关键岗位人员进行安全背景审查。第十五条：专门安全管理机构具体负责本单位的安全保护工作，包括建立健全网络安全管理和评价考核制度、组织推动网络安全防护能力建设、开展网络安全监测、检测和风险评估等。第十七条：运营者应当自行或者委托网络安全服务机构，每年至少进行一次网络安全检测和风险评估，对发现的安全问题及时整改，并按照保护工作部门要求报送情况。第十八条：发生重大网络安全事件或者发现重大网络安全威胁时，应当按规定向保护工作部门、公安机关报告。第十九条：应当优先采购安全可信的网络产品和服务；采购网络产品和服务可能影响国家安全的，应当按照国家网络安全规定通过安全审查。

三、不履行义务的后果，以及两个公开案例

条例第三十九条规定：运营者有相关情形的，由有关主管部门依据职责责令改正、给予警告；拒不改正或者导致危害网络安全等后果的，处10万元以上100万元以下罚款，对直接负责的主管人员处1万元以上10万元以下罚款。

公开案例方面：2022年7月21日，国家网信办对滴滴全球股份有限公司作出网络安全审查相关行政处罚，罚款人民币80.26亿元并公开通报，涉及网络安全法、数据安全法、个人信息保护法；2026年2月6日，北京市互联网信息办公室依据网络安全法、行政处罚法，对北京快手科技有限公司处警告并罚款1.191亿元、责令限期改正，是网络安全法修改施行后网信部门开出的首笔亿元级罚单。以上均据监管部门公开通报。

四、实务中要注意的三件事

第一，先判断自己是否落在条例第二条列举的行业范围，再看本地保护工作部门的认定规则——认定权在部门手里，企业真正要盯的是“有没有收到认定通知”，收到当天就该把机构、制度和留痕建起来。第二，年度检测评估报告必须留档，它既是条例第十七条的法定动作，也是监管问询时最直接的合规证据。第三，个人信息存储和出境安排要跟着调整：关基运营者的个人信息原则上境内存储，出境走的是安全评估，不能再用标准合同这条路径替代。

一句收尾：关基认定是“被通知”而不是“被批准”，收到通知那一刻，合规义务就已经开始了。

五、常见问题（FAQ）

问：企业能不能自己申请认定关键信息基础设施？

答：不能。认定由本行业、本领域的保护工作部门根据认定规则组织进行，认定结果书面通知运营者并通报国务院公安部门。

问：怎么知道自己是不是关基运营者？

答：以是否收到保护工作部门的认定通知为准，同时可以对照条例第二条列举的重要行业和领域自查。

问：被认定后一定要设专门机构吗？

答：要。条例第十四条要求设置专门安全管理机构，并对机构负责人和关键岗位人员进行安全背景审查。

问：每年必须做检测评估吗？

答：必须。条例第十七条要求自行或者委托网络安全服务机构，每年至少进行一次网络安全检测和风险评估，并按要求报送情况。

问：不履行义务会被罚多少？

答：责令改正、警告；拒不改正或者导致危害网络安全等后果的，处10万元以上100万元以下罚款，直接负责的主管人员处1万元以上10万元以下罚款。

问：关基运营者的个人信息可以出境吗？

答：应当在境内存储；确需出境的，要通过国家网信部门组织的安全评估。

相关阅读

王冠律师｜北京浩略律师事务所联合创始人｜咨询电话：17813108512