網絡產品安全漏洞管理規定

網絡產品安全漏洞管理規定

根據《網絡安全法》關於漏洞管理有關要求，工業和信息化部、國家互聯網信息辦公室、公安部聯合制定《網絡產品安全漏洞管理規定》，主要目的是維護國家網絡安全，保護網絡產品和重要網絡系統的安全穩定運行;規範漏洞發現、報告、修補和發佈等行為，明確網絡產品提供者、網絡運營者、以及從事漏洞發現、收集、發佈等活動的組織或個人等各類主體的責任和義務;鼓勵各類主體發揮各自技術和機制優勢開展漏洞發現、收集、發佈等相關工作。
《網絡產品安全漏洞管理規定》的出台將推動網絡產品安全漏洞管理工作的制度化、規範化、法治化，提高相關主體漏洞管理水平，引導建設規範有序、充滿活力的漏洞收集和發佈渠道，防範網絡安全重大風險，保障國家網絡安全。

頒佈單位：工業和信息化部，國家互聯網信息辦公室，公安部

文       號：工信部聯網安〔2021〕66號

頒佈時間：2021-07-12

實施時間：2021-09-01

時 效  性：現行有效

效力級別：部門規範性文件

第一條 為了規範網絡產品安全漏洞發現、報告、修補和發佈等行為，防範網絡安全風險，根據《中華人民共和國網絡安全法》，制定本規定。

第二條 中華人民共和國境內的網絡產品(含硬件、軟件)提供者和網絡運營者，以及從事網絡產品安全漏洞發現、收集、發佈等活動的組織或者個人，應當遵守本規定。

第三條 國家互聯網信息辦公室負責統籌協調網絡產品安全漏洞管理工作。工業和信息化部負責網絡產品安全漏洞綜合管理，承擔電信和互聯網行業網絡產品安全漏洞監督管理。公安部負責網絡產品安全漏洞監督管理，依法打擊利用網絡產品安全漏洞實施的違法犯罪活動。

有關主管部門加強跨部門協同配合，實現網絡產品安全漏洞信息實時共享，對重大網絡產品安全漏洞風險開展聯合評估和處置。

第四條 任何組織或者個人不得利用網絡產品安全漏洞從事危害網絡安全的活動，不得非法收集、出售、發佈網絡產品安全漏洞信息;明知他人利用網絡產品安全漏洞從事危害網絡安全的活動的，不得為其提供技術支持、廣告推廣、支付結算等幫助。

第五條 網絡產品提供者、網絡運營者和網絡產品安全漏洞收集平台應當建立健全網絡產品安全漏洞信息接收渠道並保持暢通，留存網絡產品安全漏洞信息接收日誌不少於6個月。

第六條 鼓勵相關組織和個人向網絡產品提供者通報其產品存在的安全漏洞。

第七條 網絡產品提供者應當履行下列網絡產品安全漏洞管理義務，確保其產品安全漏洞得到及時修補和合理髮布，並指導支持產品用户採取防範措施：

(一)發現或者獲知所提供網絡產品存在安全漏洞後，應當立即採取措施並組織對安全漏洞進行驗證，評估安全漏洞的危害程度和影響範圍;對屬於其上游產品或者組件存在的安全漏洞，應當立即通知相關產品提供者。

(二)應當在2日內向工業和信息化部網絡安全威脅和漏洞信息共享平台報送相關漏洞信息。報送內容應當包括存在網絡產品安全漏洞的產品名稱、型號、版本以及漏洞的技術特點、危害和影響範圍等。

(三)應當及時組織對網絡產品安全漏洞進行修補，對於需要產品用户(含下游廠商)採取軟件、固件升級等措施的，應當及時將網絡產品安全漏洞風險及修補方式告知可能受影響的產品用户，並提供必要的技術支持。

工業和信息化部網絡安全威脅和漏洞信息共享平台同步向國家網絡與信息安全信息通報中心、國家計算機網絡應急技術處理協調中心通報相關漏洞信息。

鼓勵網絡產品提供者建立所提供網絡產品安全漏洞獎勵機制，對發現並通報所提供網絡產品安全漏洞的組織或者個人給予獎勵。

第八條 網絡運營者發現或者獲知其網絡、信息系統及其設備存在安全漏洞後，應當立即採取措施，及時對安全漏洞進行驗證並完成修補。

第九條 從事網絡產品安全漏洞發現、收集的組織或者個人通過網絡平台、媒體、會議、競賽等方式向社會發佈網絡產品安全漏洞信息的，應當遵循必要、真實、客觀以及有利於防範網絡安全風險的原則，並遵守以下規定：

(一)不得在網絡產品提供者提供網絡產品安全漏洞修補措施之前發佈漏洞信息;認為有必要提前發佈的，應當與相關網絡產品提供者共同評估協商，並向工業和信息化部、公安部報告，由工業和信息化部、公安部組織評估後進行發佈。

(二)不得發佈網絡運營者在用的網絡、信息系統及其設備存在安全漏洞的細節情況。

(三)不得刻意誇大網絡產品安全漏洞的危害和風險，不得利用網絡產品安全漏洞信息實施惡意炒作或者進行詐騙、敲詐勒索等違法犯罪活動。

(四)不得發佈或者提供專門用於利用網絡產品安全漏洞從事危害網絡安全活動的程序和工具。

(五)在發佈網絡產品安全漏洞時，應當同步發佈修補或者防範措施。

(六)在國家舉辦重大活動期間，未經公安部同意，不得擅自發佈網絡產品安全漏洞信息。

(七)不得將未公開的網絡產品安全漏洞信息向網絡產品提供者之外的境外組織或者個人提供。

(八)法律法規的其他相關規定。

第十條 任何組織或者個人設立的網絡產品安全漏洞收集平台，應當向工業和信息化部備案。工業和信息化部及時向公安部、國家互聯網信息辦公室通報相關漏洞收集平台，並對通過備案的漏洞收集平台予以公佈。

鼓勵發現網絡產品安全漏洞的組織或者個人向工業和信息化部網絡安全威脅和漏洞信息共享平台、國家網絡與信息安全信息通報中心漏洞平台、國家計算機網絡應急技術處理協調中心漏洞平台、中國信息安全測評中心漏洞庫報送網絡產品安全漏洞信息。

第十一條 從事網絡產品安全漏洞發現、收集的組織應當加強內部管理，採取措施防範網絡產品安全漏洞信息泄露和違規發佈。

第十二條 網絡產品提供者未按本規定採取網絡產品安全漏洞補救或者報告措施的，由工業和信息化部、公安部依據各自職責依法處理;構成《中華人民共和國網絡安全法》第六十條規定情形的，依照該規定予以處罰。

第十三條 網絡運營者未按本規定採取網絡產品安全漏洞修補或者防範措施的，由有關主管部門依法處理;構成《中華人民共和國網絡安全法》第五十九條規定情形的，依照該規定予以處罰。

第十四條 違反本規定收集、發佈網絡產品安全漏洞信息的，由工業和信息化部、公安部依據各自職責依法處理;構成《中華人民共和國網絡安全法》第六十二條規定情形的，依照該規定予以處罰。

第十五條 利用網絡產品安全漏洞從事危害網絡安全活動，或者為他人利用網絡產品安全漏洞從事危害網絡安全的活動提供技術支持的，由公安機關依法處理;構成《中華人民共和國網絡安全法》第六十三條規定情形的，依照該規定予以處罰;構成犯罪的，依法追究刑事責任。

第十六條 本規定自2021年9月1日起施行。