中华人民共和国网络安全法（2025年修正）
全国人民代表大会常务委员会 · 2016年11月7日第十二届全国人大常委会第二十四次会议通过，根据2025年10月28日第十四届全国人大常委会第十八次会议《关于修改〈中华人民共和国网络安全法〉的决定》修正
中国网络空间的基础法律，2025 年 10 月经全国人大常委会修正。核心企业义务集中在第三章：网络安全等级保护制度下的五项安全保护义务（第二十三条第（一）项至第（五）项，含网络日志留存不少于六个月）、网络产品与服务须符合国家标准强制性要求且发现漏洞立即补救并报告（第二十四条）、网络关键设备与网络安全专用产品的认证检测（第二十五条）、用户真实身份信息认证（第二十六条）、应急预案与事件报告（第二十七条）。修正后新增第二十条确立人工智能的国家支持与安全监管方针。
只要在中国境内建设、运营、维护或使用网络就适用（第二条）。对 AI 企业的具体触发点：把模型服务部署在境内云上即成为网络运营者，须完成等级保护定级备案并留存不少于六个月的网络日志；向用户提供信息发布或即时通讯功能（含对话式产品的社区、分享功能）须做真实身份信息认证；出售的 AI 一体机、机器人控制器若属于网络关键设备或网络安全专用产品目录，须先通过认证或检测方可销售；被认定为关键信息基础设施运营者或向其供货时，采购的网络产品和服务可能影响国家安全的须通过网络安全审查。
重点行业：通用、大模型 / 生成式 AI、企业软件 SaaS、AI 硬件与算力、具身智能与机器人
2017-06-01
原法施行
网络安全等级保护、网络日志留存不少于六个月、用户真实身份信息认证、网络安全事件应急预案与报告等义务开始适用。
2021-09-01
《关键信息基础设施安全保护条例》施行，落地 CIIO 认定与采购安全审查衔接
第三十七条的关键信息基础设施运营者采购网络产品和服务的国家安全审查有了认定与程序依据。
2025-10-28
全国人大常委会通过修改决定，新增人工智能条款并大幅提高罚则
新增第二十条：国家支持人工智能基础理论研究和算法等关键技术研发，推进训练数据资源、算力等基础设施建设，完善人工智能伦理规范，加强风险监测评估和安全监管。第六十一条对造成关键信息基础设施丧失主要功能等特别严重后果的，罚款上限提高至一千万元。
每条都写明触发条件、需要留存的证据与条款出处
第二十三条逐项列举五项义务：（一）制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任；（二）采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施；（三）采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月；（四）采取数据分类、重要数据备份和加密等措施；（五）法律、行政法规规定的其他义务。目标是保障网络免受干扰、破坏或未经授权的访问，防止网络数据泄露或者被窃取、篡改。关键信息基础设施运营者在第二十三条之外还须履行第三十六条的加重义务。
首次达标投入估算：20–50 人日（估算，非承诺）
采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月。对模型服务而言，需要覆盖登录与鉴权日志、API 调用日志、管理操作与数据导出审计日志，并保证日志的完整性与防篡改。
首次达标投入估算：5–15 人日（估算，非承诺）
网络产品、服务应当符合相关国家标准的强制性要求，不得设置恶意程序；发现安全缺陷、漏洞等风险时应立即采取补救措施，按规定及时告知用户并向有关主管部门报告。提供者还应为其产品、服务持续提供安全维护，在规定或约定期限内不得终止。产品具有收集用户信息功能的，须向用户明示并取得同意。
首次达标投入估算：10–30 人日（估算，非承诺）
为用户办理网络接入、域名注册，办理固定电话、移动电话入网手续，或者为用户提供信息发布、即时通讯等服务的，在与用户签订协议或确认提供服务时应当要求用户提供真实身份信息；用户不提供的，不得为其提供相关服务。
首次达标投入估算：8–20 人日（估算，非承诺）
制定网络安全事件应急预案，及时处置系统漏洞、计算机病毒、网络攻击、网络侵入等安全风险；发生危害网络安全的事件时，立即启动应急预案，采取相应补救措施，并按照规定向有关主管部门报告。
首次达标投入估算：8–20 人日（估算，非承诺）
第六十一条：网络运营者不履行第二十三条、第二十七条义务的，责令改正、警告，可处一万元以上五万元以下罚款；拒不改正或导致危害后果的，处五万元以上五十万元以下罚款，对责任人处一万元以上十万元以下。关键信息基础设施运营者不履行相关义务的，罚款区间提高至五万元以上十万元以下、拒不改正十万元以上一百万元以下。造成大量数据泄露、关键信息基础设施丧失局部功能等严重后果的，处五十万元以上二百万元以下；造成关键信息基础设施丧失主要功能等特别严重后果的，处二百万元以上一千万元以下罚款，对责任人处二十万元以上一百万元以下。第六十四条：未落实用户真实身份信息认证的，拒不改正或情节严重的处五万元以上五十万元以下罚款，并可责令暂停业务、关闭网站或应用程序、吊销许可或营业执照。
本轮抓取到的是国家网信办于 2025-12-29 转载中国人大网的修正后合并文本，题注确认修正依据为 2025 年 10 月 28 日全国人大常委会《关于修改〈中华人民共和国网络安全法〉的决定》。但合并文本第八十一条仍记载原法施行日 2017-06-01，未载明修改决定本身的施行日期；本轮未能取得该决定原文或对应主席令，因此 timeline 中不写修正条款的生效日。引用修正后条款（尤其是第二十条与第六十一条罚则区间）前，请以主席令原文核实生效日。
内容截至 2026-09-12 · 语料版本 2026.09|本内容基于公开官方来源整理，标注了来源链接与复核日期，供合规决策参考；监管要求可能变化，正式对外披露、监管申报或合同承诺前请由持证专业人士复核。