網絡產品安全漏洞管理規定

　　第一條 為了規范網絡產品安全漏洞發現、報告、修補和發布等行為，防范網絡安全風險，根據《中華人民共和國網絡安全法》，制定本規定。

　　第二條 中華人民共和國境內的網絡產品（含硬件、軟件）提供者和網絡運營者，以及從事網絡產品安全漏洞發現、收集、發布等活動的組織或者個人，應當遵守本規定。

　　第三條 國家互聯網信息辦公室負責統籌協調網絡產品安全漏洞管理工作。工業和信息化部負責網絡產品安全漏洞綜合管理，承擔電信和互聯網行業網絡產品安全漏洞監督管理。公安部負責網絡產品安全漏洞監督管理，依法打擊利用網絡產品安全漏洞實施的違法犯罪活動。

　　有關主管部門加強跨部門協同配合，實現網絡產品安全漏洞信息實時共享，對重大網絡產品安全漏洞風險開展聯合評估和處置。

　　第四條 任何組織或者個人不得利用網絡產品安全漏洞從事危害網絡安全的活動，不得非法收集、出售、發布網絡產品安全漏洞信息；明知他人利用網絡產品安全漏洞從事危害網絡安全的活動的，不得為其提供技術支持、廣告推廣、支付結算等幫助。

　　第五條 網絡產品提供者、網絡運營者和網絡產品安全漏洞收集平臺應當建立健全網絡產品安全漏洞信息接收渠道并保持暢通，留存網絡產品安全漏洞信息接收日志不少于6個月。

　　第六條 鼓勵相關組織和個人向網絡產品提供者通報其產品存在的安全漏洞。

　　第七條 網絡產品提供者應當履行下列網絡產品安全漏洞管理義務，確保其產品安全漏洞得到及時修補和合理發布，并指導支持產品用戶采取防范措施：

　　（一）發現或者獲知所提供網絡產品存在安全漏洞后，應當立即采取措施并組織對安全漏洞進行驗證，評估安全漏洞的危害程度和影響范圍；對屬于其上游產品或者組件存在的安全漏洞，應當立即通知相關產品提供者。

　　（二）應當在2日內向工業和信息化部網絡安全威脅和漏洞信息共享平臺報送相關漏洞信息。報送內容應當包括存在網絡產品安全漏洞的產品名稱、型號、版本以及漏洞的技術特點、危害和影響范圍等。

　　（三）應當及時組織對網絡產品安全漏洞進行修補，對于需要產品用戶（含下游廠商）采取軟件、固件升級等措施的，應當及時將網絡產品安全漏洞風險及修補方式告知可能受影響的產品用戶，并提供必要的技術支持。

　　工業和信息化部網絡安全威脅和漏洞信息共享平臺同步向國家網絡與信息安全信息通報中心、國家計算機網絡應急技術處理協調中心通報相關漏洞信息。

　　鼓勵網絡產品提供者建立所提供網絡產品安全漏洞獎勵機制，對發現并通報所提供網絡產品安全漏洞的組織或者個人給予獎勵。

　　第八條 網絡運營者發現或者獲知其網絡、信息系統及其設備存在安全漏洞后，應當立即采取措施，及時對安全漏洞進行驗證并完成修補。

　　第九條 從事網絡產品安全漏洞發現、收集的組織或者個人通過網絡平臺、媒體、會議、競賽等方式向社會發布網絡產品安全漏洞信息的，應當遵循必要、真實、客觀以及有利于防范網絡安全風險的原則，并遵守以下規定：

　　（一）不得在網絡產品提供者提供網絡產品安全漏洞修補措施之前發布漏洞信息；認為有必要提前發布的，應當與相關網絡產品提供者共同評估協商，并向工業和信息化部、公安部報告，由工業和信息化部、公安部組織評估后進行發布。

　　（二）不得發布網絡運營者在用的網絡、信息系統及其設備存在安全漏洞的細節情況。

　　（三）不得刻意夸大網絡產品安全漏洞的危害和風險，不得利用網絡產品安全漏洞信息實施惡意炒作或者進行詐騙、敲詐勒索等違法犯罪活動。

　　（四）不得發布或者提供專門用于利用網絡產品安全漏洞從事危害網絡安全活動的程序和工具。

　　（五）在發布網絡產品安全漏洞時，應當同步發布修補或者防范措施。

　　（六）在國家舉辦重大活動期間，未經公安部同意，不得擅自發布網絡產品安全漏洞信息。

　　（七）不得將未公開的網絡產品安全漏洞信息向網絡產品提供者之外的境外組織或者個人提供。

　　（八）法律法規的其他相關規定。

　　第十條 任何組織或者個人設立的網絡產品安全漏洞收集平臺，應當向工業和信息化部備案。工業和信息化部及時向公安部、國家互聯網信息辦公室通報相關漏洞收集平臺，并對通過備案的漏洞收集平臺予以公布。

　　鼓勵發現網絡產品安全漏洞的組織或者個人向工業和信息化部網絡安全威脅和漏洞信息共享平臺、國家網絡與信息安全信息通報中心漏洞平臺、國家計算機網絡應急技術處理協調中心漏洞平臺、中國信息安全測評中心漏洞庫報送網絡產品安全漏洞信息。

　　第十一條 從事網絡產品安全漏洞發現、收集的組織應當加強內部管理，采取措施防范網絡產品安全漏洞信息泄露和違規發布。

　　第十二條 網絡產品提供者未按本規定采取網絡產品安全漏洞補救或者報告措施的，由工業和信息化部、公安部依據各自職責依法處理；構成《中華人民共和國網絡安全法》第六十條規定情形的，依照該規定予以處罰。

　　第十三條 網絡運營者未按本規定采取網絡產品安全漏洞修補或者防范措施的，由有關主管部門依法處理；構成《中華人民共和國網絡安全法》第五十九條規定情形的，依照該規定予以處罰。

　　第十四條 違反本規定收集、發布網絡產品安全漏洞信息的，由工業和信息化部、公安部依據各自職責依法處理；構成《中華人民共和國網絡安全法》第六十二條規定情形的，依照該規定予以處罰。

　　第十五條 利用網絡產品安全漏洞從事危害網絡安全活動，或者為他人利用網絡產品安全漏洞從事危害網絡安全的活動提供技術支持的，由公安機關依法處理；構成《中華人民共和國網絡安全法》第六十三條規定情形的，依照該規定予以處罰；構成犯罪的，依法追究刑事責任。

　　第十六條 本規定自2021年9月1日起施行。

　　圖片

　　《網絡產品安全漏洞管理規定》解讀

　　一、《網絡產品安全漏洞管理規定》（以下簡稱《規定》）出臺的目的和意義是什么？

　　答：根據《網絡安全法》關于漏洞管理有關要求，工業和信息化部、國家互聯網信息辦公室、公安部聯合制定《規定》，主要目的是維護國家網絡安全，保護網絡產品和重要網絡系統的安全穩定運行；規范漏洞發現、報告、修補和發布等行為，明確網絡產品提供者、網絡運營者、以及從事漏洞發現、收集、發布等活動的組織或個人等各類主體的責任和義務；鼓勵各類主體發揮各自技術和機制優勢開展漏洞發現、收集、發布等相關工作。《規定》的出臺將推動網絡產品安全漏洞管理工作的制度化、規范化、法治化，提高相關主體漏洞管理水平，引導建設規范有序、充滿活力的漏洞收集和發布渠道，防范網絡安全重大風險，保障國家網絡安全。

　　二、《規定》制定過程是什么樣的？

　　答：2019年，工業和信息化部會同有關部門成立了專項起草組，深入開展調研、座談、論證工作，研究分析國內外漏洞管理現狀，梳理各方面漏洞管理需求，聽取網絡安全領域專家學者意見建議，形成《規定》征求意見稿。之后，多次面向網絡產品提供者、網絡運營者、網絡安全企業、專業機構征求意見，并于2019年6月向社會公開征求意見，組織相關部門和企事業單位集中討論，充分采納各方建議，形成《規定》送審稿，經工業和信息化部和相關部門審議通過后出臺。

　　三、《規定》中網絡產品提供者，網絡運營者，從事漏洞發現、收集、披露等活動的組織或個人有哪些方面責任和義務？

　　答：網絡產品提供者和網絡運營者是自身產品和系統漏洞的責任主體，要建立暢通的漏洞信息接收渠道，及時對漏洞進行驗證并完成漏洞修補。同時，《規定》還對網絡產品提供者提出了漏洞報送的具體時限要求，以及對產品用戶提供技術支持的義務。對于從事漏洞發現、收集、發布等活動的組織和個人，《規定》明確了其經評估協商后可提前披露產品漏洞、不得發布網絡運營者漏洞細節、同步發布修補防范措施、不得將未公開漏洞提供給產品提供者之外的境外組織或者個人等八項具體要求。

　　四、《規定》中將及時修補網絡產品安全漏洞作為網絡產品提供者應當履行的安全義務，其主要考慮是什么？

　　答：網絡產品漏洞信息可通過網絡平臺、媒體、會議等方式在社會上快速傳播，危害大量網絡用戶權益，有必要采取措施防止風險擴大或者避免損害發生。《網絡安全法》明確指出，網絡產品提供者發現其網絡產品存在安全缺陷、漏洞等風險時，應當立即采取補救措施，按照規定及時告知用戶并向有關主管部門報告。因此，《規定》要求網絡產品提供者于2日內向工業和信息化部報送漏洞信息，并及時進行修補，將修補方式告知可能受影響的產品用戶。

　　五、《規定》對漏洞收集平臺的管理要求是什么？

　　答：近年來，不少專業機構、企業和社會組織等建立了從事漏洞發現和收集的漏洞收集平臺，在實際工作中部分漏洞收集平臺也暴露出內部運營不規范、擅自發布漏洞等問題，亟需加強管理。為此，《規定》明確對漏洞收集平臺實行備案管理，由工業和信息化部對通過備案的漏洞收集平臺予以公布，并要求漏洞收集平臺采取措施防范漏洞信息泄露和違規發布。

　　六、下一步如何推進相關工作？

　　答：《規定》出臺后，工業和信息化部將從政策宣貫、機制完善、平臺建設多方面抓好落實。一是加強政策宣貫，做好對相關企業機構的政策咨詢和工作指導，引導漏洞收集平臺依法依規開展漏洞收集和發布。二是完善相關工作機制，建立健全漏洞評估、發布、通報等重要環節的工作機制，明確漏洞收集平臺備案方式和報送內容。三是加強工業和信息化部網絡安全威脅和漏洞信息共享平臺建設，做好與其他漏洞平臺、漏洞庫的信息共享，提升平臺技術支撐能力。