网络运营者违反保密法第三十四条规定的由

《网络安全法》第三十四条写得清清楚楚：关键信息基础设施的网络运营者，采购网络产品和服务，运营可能影响国家安全的反保，应当通过国家网信部门会同国务院有关部门组织的密法国家安全审查。这条规定不是第条的由摆设。但现实里，规定栽在这条上的网络网络运营者，一个接一个。运营

先说个真事。反保某省级政务云平台，密法2019年上线了一套境外厂商的第条的由存储系统。采购流程走完了，规定合同签了，网络设备上架了。运营问题出在哪儿？反保这套系统带远程运维模块，数据回传路径经过境外节点。安全审查？没做。网信部门后来查出来，直接定性为违反第三十四条。整改通知下来，整个平台停摆两周，重新做审查。运维负责人跟我说，当时觉得“就是个存储设备，能有什么国家安全问题”。这种心态太典型了。

第三十四条的核心不是禁止采购境外产品。它要求的是审查程序。运营者可以买，但得先过审查这一关。很多网络运营者把这条和《密码法》里的商用密码审查搞混，或者干脆当成“建议性条款”。法律条文里“应当”两个字，在行政法语境下就是“必须”。没有裁量空间。

再看一个案例。某大型电商平台，自建了物流调度系统，底层用了境外开源数据库的商用发行版。这个发行版的许可协议里有一条：特定情况下厂商可以远程禁用。平台安全团队发现了，上报给法务。法务说“我们又不是关键信息基础设施”。结果那年正好被认定为CII（关键信息基础设施）。重新认定后，这套数据库的采购就触发了第三十四条。厂商配合审查花了四个月，期间平台被迫做了数据库迁移。CTO后来在内部会上说了一句话：“不是CII的时候没人管你，一旦是了，历史包袱全是雷。”

这里有个容易被忽略的点：第三十四条的触发条件是“可能影响国家安全”。这个判断权不在运营者手里。运营者觉得自己买的设备“只影响业务连续性，不影响国家安全”，没用。网信部门说影响，就是影响。所以实际操作中，关键信息基础设施运营者最稳妥的做法是：但凡采购网络产品和服务，先做一轮内部国家安全影响评估。评估结论如果是“可能影响”，就走审查流程。评估结论如果是“不影响”，留档备查。别自己拍脑袋。

处罚力度也在变。早期违反第三十四条，多是责令整改、警告。2021年《数据安全法》和《个人信息保护法》相继实施后，处罚开始叠加。某金融机构因为采购的境外风控系统未过审查，被认定为“未履行关键信息基础设施安全保护义务”，罚款五十万，直接负责人罚款五万。钱不算多，但通报批评上了行业黑名单，后续所有新系统采购都被重点监管。这种隐性成本比罚款疼得多。

还有个操作层面的坑：审查不是一次性的。系统升级、模块扩展、服务续期，只要涉及“可能影响国家安全”的变更，都得重新触发审查。很多运营者第一次采购时老老实实报了，后面续费或者打补丁就忘了。网信部门抽查时发现版本变了、功能变了，照样定性为违反第三十四条。有个运营商的云平台，就因为一次安全补丁更新引入了新的加密算法，被要求重新审查。安全团队觉得很冤，但规则就是规则。

说到底，第三十四条给网络运营者划了一条线：国家安全审查是采购流程的前置条件，不是事后补救措施。关键信息基础设施运营者没有“先上车后补票”的空间。那些栽跟头的案例，问题往往不出在技术上，出在流程意识和法律认知上。采购部门不懂法，法务部门不碰技术，安全部门没有否决权——三个部门各管一段，最后漏洞就出在衔接处。

写这些不是吓唬人。第三十四条执行这些年，真正被重罚的案例数量不算多，但每一个都足够让当事企业脱层皮。审查流程本身不复杂，复杂的是运营者内部有没有人把这条当回事。我的观察是：把国家安全审查写进采购SOP，明确法务或安全部门有一票否决权，比事后找关系、写整改报告管用得多。