交通运输部引发《铁路关键信息基础设施安全保护管理办法》
内容提要
全球范围内铁路系统的数字化转型已成为不可逆转的趋势，但同时也给铁路系统带来了新的网络安全威胁。中华人民共和国交通运输部公布了《铁路关键信息基础设施安全保护管理办法》，要求加强网络安全保护和监督管理，保障铁路关键信息基础设施的安全稳定运行。运营者需预判网络产品和服务对国家安全的影响，并签订安全保密协议。
延伸解读
监管职责的明确划分
《办法》清晰界定了国家铁路局、地区铁路监督管理局和运营者三方职责。国家铁路局负责全国铁路关键信息基础设施的安全保护和监督管理，地区铁路监督管理局负责本辖区工作，运营者承担主体责任。这种分层监管有助于避免职责不清，但运营者需注意，发生改建、扩建、运营者变更等较大变化时，应及时报告国家铁路局，后者需在3个月内完成重新认定。
运营者的全过程保护义务
《办法》要求运营者建立全过程保护制度，在网络安全等级保护基础上加强全生命周期管理。运营者需设置专门安全管理机构，保障经费和人员，并对机构负责人及关键岗位人员进行安全背景审查。采购网络产品和服务时，需预判对国家安全的影响，可能影响国家安全的应申报网络安全审查，并与提供者签订安全保密协议。这些要求将安全责任落实到日常运营的各个环节。
数据本地化与出境评估
《办法》规定，运营者在境内收集和产生的个人信息和重要数据应存储在境内。因业务需要确需向境外提供的，必须按照国家相关规定和标准进行安全评估。这一要求与我国数据安全法、个人信息保护法等相衔接，意味着铁路关键信息基础设施运营者在处理数据出境时，需提前完成合规评估，避免因数据跨境流动引发安全风险。
事件报告与应急响应机制
《办法》强调，发生重大网络安全事件或发现重大威胁时，运营者应按规定向国家铁路局、公安机关报告，并立即启动应急预案。若事件特别重大，国家铁路局还需及时向国家网信部门、国务院公安部门报告。这建立了运营者到监管部门的快速报告通道，有助于协调资源、控制事态，减少对铁路运行和社会经济的影响。
Q&A
铁路关键信息基础设施具体指什么？
根据《办法》，铁路关键信息基础设施是指在铁路领域，一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生和公共利益的重要网络设施、信息系统等。
《铁路关键信息基础设施安全保护管理办法》什么时候开始施行？
该办法已于2023年12月1日经第27次部务会议通过，自2024年2月1日起施行。
国家铁路局在铁路关键信息基础设施保护中承担什么职责？
国家铁路局是负责铁路领域关键信息基础设施安全保护工作的部门，在职责范围内负责全国铁路关键信息基础设施安全保护和监督管理工作；地区铁路监督管理局按照国家铁路局要求，开展本辖区内的安全保护和监督管理工作。
铁路关键信息基础设施发生较大变化时运营者需要做什么？
运营者应当及时将相关情况报告国家铁路局。国家铁路局自收到报告之日起3个月内完成重新认定，将认定结果通知运营者，并通报国务院公安部门，抄送国家网信部门。
运营者在采购网络产品和服务时有哪些安全要求？
运营者应当预判该产品和服务投入使用后对国家安全的影响，可能影响国家安全的应当按照国家有关规定申报网络安全审查，还要按照规定与提供者签订安全保密协议，明确提供者的技术支持和安全保密义务与责任。
铁路关键信息基础设施的数据存储和出境有什么规定？
运营者在我国境内运营中收集和产生的个人信息和重要数据应当存储在境内。因业务需要确需向境外提供的，应当按照国家相关规定和标准进行安全评估。
发生重大网络安全事件时运营者应如何应对？
运营者应当按照有关规定向国家铁路局、公安机关报告，并立即启动本单位网络安全事件应急预案。发生特别重大网络安全事件时，国家铁路局应当在收到报告后及时向国家网信部门、国务院公安部门报告。
