網(wǎng)絡(luò)關(guān)鍵設(shè)備和網(wǎng)絡(luò)安全專用產(chǎn)品政府采購怎么采？

網(wǎng)絡(luò)關(guān)鍵設(shè)備和網(wǎng)絡(luò)安全專用產(chǎn)品政府采購怎么采？

■ 鄧亞林

隨著全領(lǐng)域數(shù)字化轉(zhuǎn)型深入推進(jìn)，政府采購網(wǎng)絡(luò)產(chǎn)品和信息服務(wù)日益增多。與此同時(shí)，與網(wǎng)絡(luò)設(shè)備和安全產(chǎn)品相關(guān)的采購也越來越多。

我國網(wǎng)絡(luò)安全領(lǐng)域的基本法——《中華人民共和國網(wǎng)絡(luò)安全法》（以下簡稱《網(wǎng)絡(luò)安全法》）于2017年實(shí)施?！毒W(wǎng)絡(luò)安全法》第23條明確提出網(wǎng)絡(luò)關(guān)鍵設(shè)備和網(wǎng)絡(luò)安全專用產(chǎn)品執(zhí)行強(qiáng)制認(rèn)證和檢測制度。2022年1月，隨著第一批網(wǎng)絡(luò)關(guān)鍵設(shè)備和網(wǎng)絡(luò)安全專用產(chǎn)品認(rèn)證和檢測結(jié)果發(fā)布，該制度正式落地，為國家網(wǎng)絡(luò)安全產(chǎn)業(yè)蓬勃發(fā)展提供了有力的保障。

網(wǎng)絡(luò)關(guān)鍵設(shè)備和網(wǎng)絡(luò)安全專用產(chǎn)品認(rèn)證和檢測制度成功落地運(yùn)行后，網(wǎng)絡(luò)關(guān)鍵設(shè)備和安全專用產(chǎn)品生產(chǎn)和銷售都有了明確可行的強(qiáng)制性標(biāo)準(zhǔn)。采購符合《網(wǎng)絡(luò)安全法》第二十三條規(guī)定的網(wǎng)絡(luò)關(guān)鍵設(shè)備和網(wǎng)絡(luò)安全專用產(chǎn)品，發(fā)揮采購調(diào)控功能，督促網(wǎng)絡(luò)關(guān)鍵設(shè)備和網(wǎng)絡(luò)安全專用產(chǎn)品企業(yè)持續(xù)做好產(chǎn)品和服務(wù)，引領(lǐng)國家網(wǎng)絡(luò)安全產(chǎn)業(yè)高質(zhì)量發(fā)展，是政府采購的重要職能。

政府采購涉及相關(guān)產(chǎn)品時(shí)該如何采購？如何按照《網(wǎng)絡(luò)安全法》第23條的規(guī)定，在采購相應(yīng)的產(chǎn)品時(shí)提出明確的實(shí)質(zhì)性要求？這需要我們深入了解《網(wǎng)絡(luò)安全法》并在理解的基礎(chǔ)上，在政府采購活動(dòng)中進(jìn)一步落實(shí)。

    何為網(wǎng)絡(luò)關(guān)鍵設(shè)備和網(wǎng)絡(luò)安全專用產(chǎn)品？

為了厘清網(wǎng)絡(luò)關(guān)鍵設(shè)備和網(wǎng)絡(luò)安全專用產(chǎn)品的概念，筆者對(duì)網(wǎng)絡(luò)關(guān)鍵設(shè)備和網(wǎng)絡(luò)安全專用產(chǎn)品認(rèn)證和檢測制度的發(fā)展過程進(jìn)行了梳理。

2016年11月，《網(wǎng)絡(luò)安全法》頒布，從系統(tǒng)安全、產(chǎn)品和服務(wù)安全、數(shù)據(jù)安全以及網(wǎng)絡(luò)安全監(jiān)測評(píng)估等方面出臺(tái)了近二十項(xiàng)配套制度，其第23條規(guī)定，網(wǎng)絡(luò)關(guān)鍵設(shè)備和網(wǎng)絡(luò)安全專用產(chǎn)品應(yīng)當(dāng)按照相關(guān)國家標(biāo)準(zhǔn)的強(qiáng)制性要求，由具備資格的機(jī)構(gòu)安全認(rèn)證合格或者安全檢測符合要求后，方可銷售或者提供。

網(wǎng)絡(luò)關(guān)鍵設(shè)備和網(wǎng)絡(luò)安全專用產(chǎn)品是國家網(wǎng)絡(luò)安全建設(shè)的基礎(chǔ)核心設(shè)備，其安全性至關(guān)重要。從法律層面建立強(qiáng)制安全認(rèn)證和安全檢測制度，是國家保障網(wǎng)絡(luò)安全總體質(zhì)量、實(shí)現(xiàn)網(wǎng)絡(luò)安全監(jiān)管的必要手段。但要落實(shí)這一制度，還需具備三個(gè)關(guān)鍵要素：實(shí)施范圍、實(shí)施主體和實(shí)施依據(jù)。

    明確制度實(shí)施范圍、實(shí)施主體及實(shí)施依據(jù)

2017年6月，國家互聯(lián)網(wǎng)信息辦公室會(huì)同工業(yè)和信息化部、公安部、國家認(rèn)證認(rèn)可監(jiān)督管理委員會(huì)等（以下簡稱四部門）部門聯(lián)合制定并發(fā)布了《網(wǎng)絡(luò)關(guān)鍵設(shè)備和網(wǎng)絡(luò)安全專用產(chǎn)品目錄（第一批）》，將4類網(wǎng)絡(luò)關(guān)鍵設(shè)備和11類網(wǎng)絡(luò)安全專用產(chǎn)品納入安全認(rèn)證和安全檢測對(duì)象。4類網(wǎng)絡(luò)關(guān)鍵設(shè)備包括指定參數(shù)范圍內(nèi)的路由器、交換機(jī)、服務(wù)器（機(jī)架式）、可編輯邏輯控制器（PLC設(shè)備），11類網(wǎng)絡(luò)安全專用產(chǎn)品包括指定參數(shù)范圍內(nèi)的數(shù)據(jù)備份一體機(jī)、防火墻（硬件）、WEB應(yīng)用防火墻（WAF）、入侵檢測系統(tǒng)（IDS）、入侵防御系統(tǒng)（IPS）、安全隔離與信息交換產(chǎn)品（網(wǎng)閘）、反垃圾郵件產(chǎn)品、網(wǎng)絡(luò)綜合審計(jì)系統(tǒng)、網(wǎng)絡(luò)脆弱性掃描產(chǎn)品、安全數(shù)據(jù)庫系統(tǒng)、網(wǎng)站恢復(fù)產(chǎn)品（硬件）。

總體而言，第一批目錄內(nèi)產(chǎn)品主要涵蓋系統(tǒng)組網(wǎng)所必須的信息技術(shù)基礎(chǔ)設(shè)施，是實(shí)現(xiàn)國家安全和社會(huì)管理的基本需要，也是保障工業(yè)互聯(lián)網(wǎng)安全的主要對(duì)象。該目錄目前只發(fā)布了第一批，后續(xù)還會(huì)新增其他關(guān)系國家安全和社會(huì)管理的基本需要的網(wǎng)絡(luò)產(chǎn)品。

2018年3月，四部門公布了《關(guān)于發(fā)布承擔(dān)網(wǎng)絡(luò)關(guān)鍵設(shè)備和網(wǎng)絡(luò)安全專用產(chǎn)品安全認(rèn)證和安全檢測任務(wù)機(jī)構(gòu)名錄（第一批）的公告》，確定了第一批有資格承擔(dān)安全認(rèn)證和安全檢測任務(wù)的機(jī)構(gòu)。

同年5月，國家認(rèn)證認(rèn)可監(jiān)督管理委員會(huì)和國家互聯(lián)網(wǎng)信息辦公室聯(lián)合發(fā)布《關(guān)于網(wǎng)絡(luò)關(guān)鍵設(shè)備和網(wǎng)絡(luò)安全專用產(chǎn)品安全認(rèn)證實(shí)施要求的公告》，進(jìn)一步明確了為安全認(rèn)證機(jī)構(gòu)提供檢測服務(wù)的實(shí)驗(yàn)室名錄。

2018年7月，中國國家認(rèn)證認(rèn)可監(jiān)督管理委員會(huì)發(fā)布《網(wǎng)絡(luò)關(guān)鍵設(shè)備和網(wǎng)絡(luò)安全專用產(chǎn)品安全認(rèn)證實(shí)施規(guī)則（CNCA-CCIS-2018）》，為安全認(rèn)證的實(shí)施提供了依據(jù)。

2021年8月，國家市場監(jiān)督管理總局（國家標(biāo)準(zhǔn)化管理委員會(huì)）發(fā)布《網(wǎng)絡(luò)關(guān)鍵設(shè)備安全通用要求》（GB 40050-2021），為網(wǎng)絡(luò)關(guān)鍵設(shè)備安全認(rèn)證和安全檢測提供了統(tǒng)一規(guī)范。

截至筆者發(fā)稿，經(jīng)在全國標(biāo)準(zhǔn)信息公共服務(wù)平臺(tái)查詢，網(wǎng)絡(luò)安全專用產(chǎn)品強(qiáng)制性國家標(biāo)準(zhǔn)《信息安全技術(shù) 網(wǎng)絡(luò)安全專用產(chǎn)品安全技術(shù)要求》已進(jìn)入批準(zhǔn)流程，發(fā)布時(shí)間指日可待。

2022年1月，為解決網(wǎng)絡(luò)安全重復(fù)檢測、重復(fù)認(rèn)證問題，實(shí)現(xiàn)安全認(rèn)證和安全檢測結(jié)果互認(rèn)。四部門聯(lián)合發(fā)布《關(guān)于統(tǒng)一發(fā)布網(wǎng)絡(luò)關(guān)鍵設(shè)備和網(wǎng)絡(luò)安全專用產(chǎn)品安全認(rèn)證和安全檢測結(jié)果的公告》。該公告還附上了首批網(wǎng)絡(luò)關(guān)鍵設(shè)備和網(wǎng)絡(luò)安全專用產(chǎn)品安全認(rèn)證和安全檢測結(jié)果，該結(jié)果的發(fā)布，意味著強(qiáng)制認(rèn)證和檢測制度從制度設(shè)立到配套建設(shè)到成果落地，實(shí)現(xiàn)了制度閉環(huán)。

截至目前，最新的網(wǎng)絡(luò)關(guān)鍵設(shè)備和網(wǎng)絡(luò)安全專用產(chǎn)品安全認(rèn)證和安全檢測結(jié)果2022年在9月29日發(fā)布。網(wǎng)絡(luò)關(guān)鍵設(shè)備和網(wǎng)絡(luò)安全專用產(chǎn)品認(rèn)證和檢測制度已經(jīng)有效運(yùn)行，為國家全面推進(jìn)國家網(wǎng)絡(luò)安全認(rèn)證檢測工作，促進(jìn)網(wǎng)絡(luò)安全產(chǎn)業(yè)高質(zhì)量發(fā)展起到了有力的推動(dòng)作用。

在政府采購活動(dòng)中如何落實(shí)

回到政府采購實(shí)務(wù)中，如何落實(shí)《網(wǎng)絡(luò)安全法》第23條的強(qiáng)制性規(guī)定呢？

筆者認(rèn)為，首先，若采購標(biāo)的屬于《網(wǎng)絡(luò)關(guān)鍵設(shè)備和網(wǎng)絡(luò)安全專用產(chǎn)品目錄》中的設(shè)備或產(chǎn)品，則應(yīng)在政府采購文件中將產(chǎn)品具備安全認(rèn)證或安全檢測作為實(shí)質(zhì)性要求。需要提醒的是，根據(jù)《關(guān)于統(tǒng)一發(fā)布網(wǎng)絡(luò)關(guān)鍵設(shè)備和網(wǎng)絡(luò)安全專用產(chǎn)品安全認(rèn)證和安全檢測結(jié)果的公告》的規(guī)定，所有認(rèn)證和檢測結(jié)果均會(huì)統(tǒng)一在網(wǎng)上發(fā)布，基于優(yōu)化營商環(huán)境及優(yōu)化政府采購活動(dòng)辦事程序的要求，采購文件可要求提供認(rèn)證或檢測結(jié)果的查詢網(wǎng)址作為替代，以便評(píng)審委員會(huì)評(píng)審時(shí)在線查詢。

其次，根據(jù)《中華人民共和國計(jì)算機(jī)信息系統(tǒng)安全保護(hù)條例》第十六條和《計(jì)算機(jī)信息系統(tǒng)安全專用產(chǎn)品檢測和銷售許可證管理辦法》規(guī)定，網(wǎng)絡(luò)關(guān)鍵設(shè)備和網(wǎng)絡(luò)安全專用產(chǎn)品同時(shí)也屬于計(jì)算機(jī)信息系統(tǒng)安全專用產(chǎn)品，因此還需將產(chǎn)品具備《計(jì)算機(jī)信息系統(tǒng)安全專用產(chǎn)品》作為實(shí)質(zhì)性條款。

最后，《網(wǎng)絡(luò)關(guān)鍵設(shè)備和網(wǎng)絡(luò)安全專用產(chǎn)品目錄》中的多個(gè)產(chǎn)品同時(shí)也屬于實(shí)行強(qiáng)制性認(rèn)證的國家信息安全專用產(chǎn)品，如服務(wù)器安全隔離與信息交換產(chǎn)品、網(wǎng)絡(luò)脆弱性掃描產(chǎn)品、入侵檢測系統(tǒng)等。根據(jù)《關(guān)于信息安全產(chǎn)品實(shí)施政府采購的通知》的要求，還應(yīng)當(dāng)將產(chǎn)品具備有效的國家信息安全產(chǎn)品認(rèn)證作為實(shí)質(zhì)性條款。

當(dāng)然，以上要求僅針對(duì)采購網(wǎng)絡(luò)關(guān)鍵設(shè)備和網(wǎng)絡(luò)安全專用產(chǎn)品，若采購項(xiàng)目中還涉及其他國家強(qiáng)制性的規(guī)定，還應(yīng)同步執(zhí)行。

（作者單位：四川國際招標(biāo)有限責(zé)任公司）

法規(guī)鏈接

1.《中華人民共和國網(wǎng)絡(luò)安全法》

第二十三條：網(wǎng)絡(luò)關(guān)鍵設(shè)備和網(wǎng)絡(luò)安全專用產(chǎn)品應(yīng)當(dāng)按照相關(guān)國家標(biāo)準(zhǔn)的強(qiáng)制性要求，由具備資格的機(jī)構(gòu)安全認(rèn)證合格或者安全檢測符合要求后，方可銷售或者提供。國家網(wǎng)信部門會(huì)同國務(wù)院有關(guān)部門制定、公布網(wǎng)絡(luò)關(guān)鍵設(shè)備和網(wǎng)絡(luò)安全專用產(chǎn)品目錄，并推動(dòng)安全認(rèn)證和安全檢測結(jié)果互認(rèn)，避免重復(fù)認(rèn)證、檢測。

2.《關(guān)于統(tǒng)一發(fā)布網(wǎng)絡(luò)關(guān)鍵設(shè)備和網(wǎng)絡(luò)安全專用產(chǎn)品安全認(rèn)證和安全檢測結(jié)果的公告》

國家互聯(lián)網(wǎng)信息辦公室會(huì)同工業(yè)和信息化部、公安部、國家認(rèn)證認(rèn)可監(jiān)督管理委員會(huì)統(tǒng)一發(fā)布網(wǎng)絡(luò)關(guān)鍵設(shè)備和網(wǎng)絡(luò)安全專用產(chǎn)品安全認(rèn)證和安全檢測結(jié)果（以下簡稱認(rèn)證和檢測結(jié)果），對(duì)經(jīng)具備資格的機(jī)構(gòu)安全認(rèn)證或檢測，符合相關(guān)國家標(biāo)準(zhǔn)強(qiáng)制性要求的產(chǎn)品予以公布。

認(rèn)證和檢測結(jié)果通過中國網(wǎng)信網(wǎng)、工業(yè)和信息化部網(wǎng)站、公安部網(wǎng)站和認(rèn)監(jiān)委網(wǎng)站同步公布和更新。

3.《中華人民共和國計(jì)算機(jī)信息系統(tǒng)安全保護(hù)條例》

第十六條：國家對(duì)計(jì)算機(jī)信息系統(tǒng)安全專用產(chǎn)品的銷售實(shí)行許可證制度。具體辦法由公安部會(huì)同有關(guān)部門制定。

4.《計(jì)算機(jī)信息系統(tǒng)安全專用產(chǎn)品檢測和銷售許可證管理辦法》（公安部令第32號(hào)）

第二條：本辦法所稱計(jì)算機(jī)信息系統(tǒng)安全專用產(chǎn)品, 是指用于保護(hù)計(jì)算機(jī)信息系統(tǒng)安全的專用硬件和軟件產(chǎn)品。

第三條：中華人民共和國境內(nèi)的安全專用產(chǎn)品進(jìn)入市場銷售, 實(shí)行銷售許可證制度。安全專用產(chǎn)品的生產(chǎn)者在其產(chǎn)品進(jìn)入市場銷售之前, 必須申領(lǐng)《計(jì)算機(jī)信息系統(tǒng)安全專用產(chǎn)品銷售許可證》。

5.《財(cái)政部關(guān)于信息安全產(chǎn)品實(shí)施政府采購的通知》 （財(cái)庫【2010】48號(hào)）

一、各級(jí)國家機(jī)關(guān)、事業(yè)單位和團(tuán)體組織（以下統(tǒng)稱采購人）使用財(cái)政性資金采購信息安全產(chǎn)品的，應(yīng)當(dāng)采購經(jīng)國家認(rèn)證的信息安全產(chǎn)品。

二、在政府采購活動(dòng)中，采購人或其委托的采購代理機(jī)構(gòu)按照政府采購法的規(guī)定，在政府采購招標(biāo)文件（包括談判文件、詢價(jià)文件）中應(yīng)當(dāng)載明對(duì)產(chǎn)品獲得信息安全認(rèn)證的要求，并要求產(chǎn)品供應(yīng)商提供由中國信息安全認(rèn)證中心按國家標(biāo)準(zhǔn)認(rèn)證頒發(fā)的有效認(rèn)證證書。

三、對(duì)采購人或其委托的采購代理機(jī)構(gòu)未按上述要求采購的，有關(guān)部門要按照有關(guān)法律、法規(guī)和規(guī)章予以處理，財(cái)政部門視情況可以拒付采購資金。

本報(bào)擁有此文版權(quán)，若需轉(zhuǎn)載或復(fù)制，請(qǐng)注明來源于中國政府采購報(bào)，標(biāo)注作者，并保持文章的完整性。否則，將追究法律責(zé)任。