第四章 數據安全監測預警與應急管理

第二十六條 工業和信息化部建立數據安全風險監測機制，組織制定數據安全監測預警接口和標準，統籌建設數據安全監測預警技術手段，形成監測、預警、處置、溯源等能力，與相關部門加強信息共享。

地方行業監管部門分別建設本地區數據安全風險監測預警機制，組織開展數據安全風險監測，按照有關規定及時發布預警信息，通知本地區工業和信息化領域數據處理者及時采取應對措施。

工業和信息化領域數據處理者應當開展數據安全風險監測，及時排查安全隱患，采取必要的措施防范數據安全風險。

第二十七條 工業和信息化部建立數據安全風險信息上報和共享機制，統一匯集、分析、研判、通報數據安全風險信息，鼓勵安全服務機構、行業組織、科研機構等開展數據安全風險信息上報和共享。

地方行業監管部門分別匯總分析本地區數據安全風險，及時將可能造成重大及以上安全事件的風險上報工業和信息化部。

工業和信息化領域數據處理者應當及時將可能造成較大及以上安全事件的風險向本地區行業監管部門報告。

第二十八條 工業和信息化部制定工業和信息化領域數據安全事件應急預案，組織協調重要數據和核心數據安全事件應急處置工作。

地方行業監管部門分別組織開展本地區數據安全事件應急處置工作。涉及重要數據和核心數據的安全事件，應當立即上報工業和信息化部，并及時報告事件發展和處置情況。

工業和信息化領域數據處理者在數據安全事件發生后，應當按照應急預案，及時開展應急處置，涉及重要數據和核心數據的安全事件，第一時間向本地區行業監管部門報告，事件處置完成后在規定期限內形成總結報告，每年向本地區行業監管部門報告數據安全事件處置情況。

工業和信息化領域數據處理者對發生的可能損害用戶合法權益的數據安全事件，應當及時告知用戶，并提供減輕危害措施。

第二十九條 工業和信息化部委托相關行業組織建立工業和信息化領域數據安全違法行為投訴舉報渠道，地方行業監管部門分別建立本地區數據安全違法行為投訴舉報機制或渠道，依法接收、處理投訴舉報，根據工作需要開展執法調查。鼓勵工業和信息化領域數據處理者建立用戶投訴處理機制。

第五章 數據安全檢測、認證、評估管理

第三十條 工業和信息化部指導、鼓勵具備相應資質的機構，依據相關標準開展行業數據安全檢測、認證工作。

第三十一條 工業和信息化部制定行業數據安全評估管理制度，開展評估機構管理工作。制定行業數據安全評估規范，指導評估機構開展數據安全風險評估、出境安全評估等工作。

地方行業監管部門分別負責組織開展本地區數據安全評估工作。

工業和信息化領域重要數據和核心數據處理者應當自行或委托第三方評估機構，每年對其數據處理活動至少開展一次風險評估，及時整改風險問題，并向本地區行業監管部門報送風險評估報告。

第六章 監督檢查

第三十二條 行業監管部門對工業和信息化領域數據處理者落實本辦法要求的情況進行監督檢查。

工業和信息化領域數據處理者應當對行業監管部門監督檢查予以配合。

第三十三條 工業和信息化部在國家數據安全工作協調機制指導下，開展工業和信息化領域數據安全審查相關工作。

第三十四條 行業監管部門及其委托的數據安全評估機構工作人員對在履行職責中知悉的個人信息和商業秘密等，應當嚴格保密，不得泄露或者非法向他人提供。

第七章 法律責任

第三十五條 行業監管部門在履行數據安全監督管理職責中，發現數據處理活動存在較大安全風險的，可以按照規定權限和程序對工業和信息化領域數據處理者進行約談，并要求采取措施進行整改，消除隱患。

第三十六條 有違反本辦法規定行為的，由行業監管部門按照相關法律法規，根據情節嚴重程度給予沒收違法所得、罰款、暫停業務、停業整頓、吊銷業務許可證等行政處罰；構成犯罪的，依法追究刑事責任。

第八章 附則

第三十七條 中央企業應當督促指導所屬企業，在重要數據和核心數據目錄備案、核心數據跨主體處理風險評估、風險信息上報、年度數據安全事件處置報告、重要數據和核心數據風險評估等工作中履行屬地管理要求，還應當全面梳理匯總企業集團本部、所屬公司的數據安全相關情況，并及時報送工業和信息化部。

第三十八條 開展涉及個人信息的數據處理活動，還應當遵守有關法律、行政法規的規定。

第三十九條 涉及軍事、國家秘密信息等數據處理活動，按照國家有關規定執行。

第四十條 工業和信息化領域政務數據處理活動的具體辦法，由工業和信息化部另行規定。

第四十一條 國防科技工業、煙草領域數據安全管理由國家國防科技工業局、國家煙草專賣局負責，具體制度參照本辦法另行制定。

第四十二條 本辦法自2023年1月1日起施行。