网络安全审查是什么？哪些企业必须申报、不申报会有什么后果？

一句话回答：网络安全审查是我国网络安全领域的一项基础制度，由《网络安全审查办法》（2022年2月15日起施行）规定，两类情形必须申报——关键信息基础设施运营者采购可能影响国家安全的网络产品和服务，以及掌握超过100万用户个人信息的网络平台运营者赴国外上市；该报不报、或者使用未经审查、审查未通过的产品和服务，会被责令停止使用，并处采购金额一倍以上十倍以下罚款。

一、哪些企业必须申报网络安全审查？

《网络安全审查办法》主要盯两类主体：一是关键信息基础设施运营者（俗称关基单位），它们采购网络产品和服务，影响或者可能影响国家安全的，应当向网络安全审查办公室申报审查；二是掌握超过100万用户个人信息的网络平台运营者，这类平台赴国外上市，必须申报网络安全审查，这一条业内也叫赴外上市审查。

另外，网络安全审查工作机制成员单位认为影响或可能影响国家安全的网络产品和服务、数据处理活动，也可以按程序发起审查，不限于企业主动申报。

二、审查重点看什么？

审查主要评估采购的产品、服务或数据处理活动带来的国家安全风险，包括：产品和服务被非法控制、干扰、中断的风险；供应链来源的可靠性、开放性、透明性；提供者遵守我国法律、行政法规的情况；以及数据处理活动是否影响国家安全等。说白了，不只看好不好用，更看会不会被卡脖子、会不会被远程控制、数据会不会外流。

三、流程大概怎么走？

一般是当事人主动申报，网络安全审查办公室受理后先做初步审查，认为需要进一步审查的进入特别审查程序，最终形成审查结论并书面通知当事人。是否申报、审查结论如何，都直接关系到企业能否采购、能否上市。

四、不申报、不配合会有什么后果？

关键信息基础设施运营者如果违反规定，使用未经安全审查或者安全审查未通过的网络产品或者服务，依照《网络安全法》第65条，由有关主管部门责令停止使用，处采购金额一倍以上十倍以下罚款；对直接负责的主管人员和其他直接责任人员，处一万元以上十万元以下罚款。情节严重的，还可能影响上市进程、被要求整改甚至终止相关交易。

五、实务提醒

第一，判断自己是不是关基、有没有达到100万用户门槛，是合规的第一步，标准写在《关键信息基础设施安全保护条例》和《网络安全审查办法》里，别靠感觉。第二，申报要在采购、上市等动作之前做，事后补报往往已经来不及。第三，涉及数据出境、赴外上市、采购境外网络安全产品的项目，建议提前做一次合规体检，把审查、评估、备案几张表一次性理清。

六、常见问题（FAQ）

问：普通企业也要做网络安全审查吗？

答：不是所有企业都要，主要是关键信息基础设施运营者采购、以及掌握超100万用户个人信息平台赴外上市两类情形必须申报。

问：100万用户怎么算？

答：指平台掌握的用户个人信息数量达到100万以上，具体认定以监管口径为准，达到门槛赴国外上市就必须申报。

问：不申报会被罚多少？

答：使用未经审查或审查未通过产品服务的，责令停止使用并处采购金额一倍以上十倍以下罚款，主管及责任人员处1万至10万元罚款。

问：网络安全审查和数据出境安全评估是一回事吗？

答：不是。前者侧重产品服务和赴外上市的国家安全风险，后者侧重个人信息和重要数据出境，两者可能叠加适用。

问：什么时候申报？

答：应在采购、上市等行为之前申报，审查未通过前不得使用相关产品或服务。