Expert Interpretation: Strengthening the Rule of Law in Cyberspace to Better Ensure Cybersecurity According to Law

习近平总书记指出：“要把依法治网作为基础性手段，继续加快制定完善互联网领域法律法规，推动依法管网、依法办网、依法上网，确保互联网在法治轨道上健康运行。”《网络安全法》是网络安全和信息化领域的基础性法律，其颁布实施对于维护网络空间主权和国家安全、社会公共利益，保护各方主体在网络空间的合法权益，促进经济社会信息化健康发展等具有重要意义。2025年10月28日，《网络安全法》在实施8年后迎来重要修改，新法自2026年1月1日起正式施行。修改后的《网络安全法》增加了关于网络安全工作根本遵循的规定，增加了关于促进人工智能安全发展的规定，并对网络安全法律责任制度作出修改完善，以适应网络安全的新形势和新要求。<br> 一、明确网络安全工作的基本遵循<br> 修改后的《网络安全法》第三条规定：“网络安全工作坚持中国共产党的领导，贯彻总体国家安全观，统筹发展和安全，推进网络强国建设。”这条规定揭示了网络安全工作的指导思想和精神，对于《网络安全法》的全面贯彻实施具有重要指引作用。首先，习近平总书记强调，“必须旗帜鲜明、毫不动摇坚持党管互联网，加强党中央对网信工作的集中统一领导，确保网信事业始终沿着正确方向前进。”坚持党的领导是推进网络强国建设、走中国特色治网之道的根本保证，也是网络安全工作的基本遵循。其次，随着信息技术的快速发展，网络已深度融入我国社会生产生活的各个方面，在促进技术创新、经济发展、文化繁荣、社会进步的同时，网络安全的重要性也日益凸显，成为国家安全的重要组成部分。习近平总书记指出，“没有网络安全就没有国家安全，就没有经济社会稳定运行，广大人民群众利益也难以得到保障。”在总体国家安全观的指导下，应当充分重视网络安全的整体性。加强网络等新兴领域国家安全能力的建设，对于保障政治、军事、经济、文化、社会、科技等各领域安全都具有重要意义。最后，网络发展与安全不是对立关系。一方面，稳定、健康、持续的发展为化解网络安全风险、应对网络安全挑战提供了能力支撑，不发展是最大的不安全；另一方面，只有在保障网络安全的前提下，网络技术、网络空间、网络生态的发展才具有可持续性。坚持统筹发展和安全，是加快推进网络强国建设的根本要求。<br> 二、促进人工智能安全发展<br> 修改后的《网络安全法》第二十条规定：“国家支持人工智能基础理论研究和算法等关键技术研发，推进训练数据资源、算力等基础设施建设，完善人工智能伦理规范，加强风险监测评估和安全监管，促进人工智能应用和健康发展。”“国家支持创新网络安全管理方式，运用人工智能等新技术，提升网络安全保护水平。”当前，人工智能已成为培育和发展新质生产力的重要引擎，是引领新一轮科技革命和产业变革的重要驱动力量。为加强人工智能安全风险防范，促进人工智能应用和发展，我国已制定出台《互联网信息服务算法推荐管理规定》《互联网信息服务深度合成管理规定》《生成式人工智能服务管理暂行办法》《人工智能生成合成内容标识办法》等一系列部门规章和规范性文件。执法机关和司法机关依照《网络安全法》《个人信息保护法》《数据安全法》《民法典》等相关法律的规定开展与人工智能安全相关的执法司法活动，审理涉人工智能纠纷案件，为人工智能法律治理体系的完善提供了实践经验。同时，总体来看，我国在人工智能治理方面的法律规范供给仍有待进一步加强。<br> 修改后的《网络安全法》第二十条首次在法律层面规定促进人工智能健康发展专条规定。在支持人工智能发展方面，算法是人工智能的灵魂，是决定人工智能水平和功能、推动人工智能技术迭代与效率提升的核心因素；高质量的训练数据是人工智能学习“教材”，是驱动人工智能发展的关键燃料；算力是人工智能训练和运作所需要的计算能力，是保障人工智能发展的重要基础。修改后的《网络安全法》第二十条明确规定国家统筹推进算法创新、数据供给、算力建设以及基础理论研究，全面支持人工智能高质量发展。在保障人工智能安全方面，修改后的《网络安全法》第二十条要求完善人工智能伦理规范，构建人工智能应用和发展的价值准则与行为准则，确保人工智能向善、造福全人类；加强人工智能风险监测评估和安全监管等方面的制度建设，通过行业企业自律、社会监督与政府监管的协同配合，厘清人工智能发展的安全红线，推动我国人工智能朝着有益、安全、公平方向健康有序发展。<br> 三、完善网络安全法律责任制度<br> 自《网络安全法》于2017年6月1日实施以来，我国持续推进网络领域相关立法，《数据安全法》《个人信息保护法》等法律相继颁布实施。由于原《网络安全法》的制定与《个人信息保护法》和《数据安全法》的制定相隔时间较长，存在违法行为处罚力度不一致等情况。修改后的《网络安全法》对网络安全法律责任制度作出重要修改完善，以强化不同法律之间的体系性与协同性。<br> 其一，提高违反网络安全义务行为的处罚力度。例如，依照《数据安全法》第四十五条第一款规定，开展数据处理活动的组织、个人不履行采取相应技术措施和其他必要措施保障数据安全的义务的，由有关主管部门责令改正，给予警告，可以并处五万元以上五十万元以下罚款，对直接负责的主管人员和其他直接责任人员可以处一万元以上十万元以下罚款。与此相比，依照原《网络安全法》第五十九条第一款的规定，网络运营者不履行网络安全保护义务，未防止网络数据泄露或者被窃取、篡改，拒不改正或者导致危害网络安全等后果的，处一万元以上十万元以下罚款，对直接负责的主管人员处五千元以上五万元以下罚款。由此可见，对于具有相似性质的违法行为，《数据安全法》的处罚力度明显较原《网络安全法》更高。新修改的《网络安全法》第六十一条第一款对原《网络安全法》第五十九条第一款作出修改，使违法行为的处罚力度与《数据安全法》第四十五条第一款基本保持一致，强化法律适用效果的统一性。<br> 其二，对造成严重危害网络安全后果行为的行政处罚作出特别规定。依照修改后的《网络安全法》第六十一条、第六十二条和第六十五条的规定，违法行为如果造成大量数据泄露、关键信息基础设施丧失局部功能等严重危害网络安全的后果，则由有关主管部门处五十万元以上二百万元以下罚款，对直接负责的主管人员和其他直接责任人员处五万元以上二十万元以下罚款，相较于未造成严重后果的行为处罚幅度更大。如果违法行为造成关键信息基础设施丧失主要功能等特别严重危害网络安全的后果，则适用更严厉的行政处罚措施，即处二百万元以上一千万元以下罚款，对直接负责的主管人员和其他直接责任人员处二十万元以上一百万元以下罚款。这种较高数额的行政处罚对于威慑和遏制严重危害网络安全的行为具有重要作用。<br> 其三，增设销售或者提供未经安全认证、安全检测或者安全认证不合格、安全检测不符合要求的网络关键设备和网络安全专用产品的法律责任。原《网络安全法》第二十三条对网络关键设备和网络安全专用产品销售或者提供前进行安全认证或者安全检测的义务作出规定，但是没有对违反此等义务的法律责任作出规定。新修改的《网络安全法》第六十三条对违反安全认证或者安全检测义务销售或者提供网络关键设备和网络安全专用产品的行政处罚作出明确规定，进一步筑牢网络安全防线，织密网络安全法律责任网。<br> 其四，加强与《数据安全法》《个人信息保护法》等相关法律的衔接。修改后的《网络安全法》第七十一条在原《网络安全法》第七十条的基础上，增设三类衔接适用其他法律、行政法规进行处罚的情形：一是对于侵害个人信息权益的行为，依照《个人信息保护法》第六十六条及相关法律、行政法规的规定进行处罚；二是对于关键信息基础设施的运营者违法在境外存储个人信息和重要数据，或者向境外提供个人信息和重要数据的行为，依照《个人信息保护法》第六十六条、《数据安全法》第四十六条及相关法律、行政法规的规定进行处罚；三是对于窃取或者以其他非法方式获取、非法出售或者非法向他人提供个人信息，尚不构成犯罪的，由公安机关依照有关法律、行政法规的规定进行处罚。（作者：申卫星，清华大学法学院教授）