重庆市计算机信息系统安全保护条例

《重庆市计算机信息系统安全保护条例（修订）》已于2006年9月29日经重庆市第二届人民代表大会常务委员会第二十六次会议通过，现予公布，自2006年12月1日起施行。

重庆市人民代表大会常务委员会

2006年9月29日

重庆市计算机信息系统安全保护条例

（1998年8月1日重庆市第一届人民代表大会常务委员会第十次会议通过，2001年11月30日重庆市第一届人民代表大会常务委员会第三十七次会议修正，2006年9月27日重庆市第二届人民代表大会常务委员会第二十六次会议修订）

第一条 为了保护计算机信息系统的安全,促进计算机的应用和发展,根据《中华人民共和国治安管理处罚法》和《中华人民共和国计算机信息系统安全保护条例》等有关法律、法规的规定，结合本市实际，制定本条例。

第二条 本条例所称的计算机信息系统，是指由计算机及配套的设备、设施（含网络）构成的，按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统。

第三条 计算机信息系统的安全保护，应当保障计算机及配套设备、设施（含网络）的安全，运行环境以及计算机信息的安全，确保计算机信息系统安全运行。

第四条 本市行政区域内计算机信息系统安全保护工作，适用本条例。

第五条 公安机关是计算机信息系统安全保护工作的主管部门，其主要职责是：

（一）监督、检查、指导计算机信息系统安全保护工作；

（二）查处危害计算机信息系统安全的违法犯罪案件；

（三）宣传计算机信息系统安全保护法规，组织培训安全保护人员；

（四）对重要的计算机信息系统新建、改建、扩建工程方案进行安全指导；

（五）指导对计算机病毒和其它有害数据的防治工作；

（六）监督、检查、指导计算机信息系统等级保护工作；

（七）监督计算机信息系统安全专用产品的制造、销售；

（八）对国际联网的计算机信息系统进行备案审查及安全管理；

（九）对重要的计算机信息系统进行监控；

（十）法律、法规规定的其他职责。

国家安全机关、国家保密机关及政府有关部门，在规定的职责范围内负责计算机信息系统的安全保护工作。

第六条 信息系统的运营、使用单位应当履行下列信息系统安全保护职责：

（一）遵守计算机信息系统安全保护的有关法律、法规；

（二）建立健全计算机信息系统安全管理制度和落实责任制；

（三）对管理人员和应用操作人员进行计算机安全教育；

（四）落实计算机信息系统安全保护技术措施；

（五）按照法律、法规的规定要求如实提供有关计算机信息系统安全保护工作所需的信息、资料和数据文件；

（六）协助公安机关查处涉及计算机信息系统安全的违法犯罪案件；

（七）建立信息安全事件的等级响应、处置制度；

（八）法律、法规规定的其他应当履行的安全保护职责。

第七条 任何单位和个人不得利用计算机信息系统从事危害国家利益、集体利益和公民合法权益的活动，不得危害计算机信息系统的安全。

第八条 计算机信息系统实行安全等级保护。建设和应用计算机信息系统必须符合国家规定的标准。

第九条 重要的计算机信息系统使用单位，应配备安全保护人员；对可能遭受的侵害和破坏，应制定应急处置预案。

计算机信息系统的安全保护人员应接受计算机安全培训，未经培训不得上岗。

第十条 计算机机房应符合国家标准和国家有关规定。

在计算机机房附近施工或者进行其他活动，不得危害计算机信息系统的安全。

第十一条 未经市公安局批准，任何单位和个人不得从事下列活动：

（一）收集和保存计算机病毒；

（二）制作、传播、销售有关计算机病毒机理及病毒源程序的书刊资料和计算机信息媒体；

（三）公开发布计算机病毒疫情信息；

开展计算机病毒防治研究，须报市公安局备案。

第十二条 任何单位和个人不得制造或故意输入、传播计算机病毒或其他有害数据，不得违法复制、截收、删除、增加、修改、查阅计算机信息系统中的数据。

第十三条 对计算机信息系统中发生的违法案件、计算机病毒和危害社会公共安全的其他有害数据，有关使用单位和个人应在发现后二十四小时内向所在地县级以上公安机关报告，并保护现场及相关资料，公安机关应立即采取措施进行处理。

第十四条 进行国际联网的计算机信息系统，互联单位、接入单位和网络信息服务单位应在网络正式联通后三十日内向市公安局备案。

进行国际联网，必须使用国家规定的国际出入信道，不得自行建立或者使用其他通道。

第十五条 重要计算机信息系统的使用单位发现计算机信息系统出现安全问题，应及时处理，并报告公安机关。

公安机关发现影响计算机信息系统的安全隐患时，应及时向使用单位发出整改通知书，限期整改。

第十六条 公安机关计算机安全监察人员履行职责时，应不少于二人并出示执法身份证件。

第十七条 市公安局在紧急情况下，可以在本市范围内就涉及计算机信息系统安全的特定事项发布专项通令。

第十八条 违反本条例的规定，有下列行为之一的，由县级以上公安机关责令限期改正，拒不改正的，处一千元以上三千元以下罚款，可并处停机整顿：

（一）未落实计算机信息系统安全保护技术措施的；

（二）未建立计算机安全管理制度和落实责任制的；

（三）不按法律、法规规定向公安机关备案的；

（四）破坏计算机信息系统安全保护技术措施或妨碍其功能正常发挥的。

第十九条 有下列行为之一的，由县级以上公安机关给予警告或对个人处一千元以上五千元以下罚款，对单位处三千元以上一万五千元以下的罚款，并没收其违法所得和违法工具：

（一）违法收集和保存计算机病毒的；

（二）违法制作、传播、销售有关计算机病毒机理及病毒源程序的书刊资料和计算机信息媒体的；

（三）违法公开发布计算机病毒疫情消息的；

（四）制造、故意输入和传播计算机病毒或其他有害数据的；

（五）违法入侵计算机信息系统或违法复制、截收、删除、增加、修改、查阅计算机信息系统中的数据的；

（六）进行国际联网，不使用国家规定的国际出入信道，自行建立或者使用其他信道的。

有前款（四）、（五）项行为之一的，可按《中华人民共和国治安管理处罚法》的规定，并处五日以下拘留；情节较重的，并处五日以上十日以下拘留。

第二十条 有重大计算机安全隐患，公安机关要求限期整改，仍不改正的，对单位处五千元以上一万元以下罚款，可并处停机整顿；对单位负责人处一千元以上三千元以下罚款。

第二十一条 运输、携带、邮寄计算机信息媒体进出境，不如实向海关申报的，由海关依照《中华人民共和国海关法》等法律、法规的规定处理。

第二十二条 违反本条例的规定，构成犯罪的，依照《中华人民共和国刑法》的有关规定处罚。

第二十三条 当事人对公安机关依照本条例作出的具体行政行为不服的，可以依法申请行政复议或向人民法院提起行政诉讼。

第二十四条 执行本条例的人民警察利用职权，索贿受贿、徇私舞弊、玩忽职守，构成犯罪的，依法追究刑事责任；未构成犯罪的，由所在单位给予行政处分。

第二十五条 本条例下列用语的含义：

计算机病毒，是指编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据，影响计算机使用，并能自我复制的一组计算机指令或者程序代码。

有害数据，是指计算机信息系统及其存储介质中存在、出现的，以计算机程序、图像、文字、声音等多种形式表示的危害国家及社会公共安全的信息，宣扬封建迷信、淫秽色情、凶杀、教唆犯罪等危害社会治安秩序的信息，以及危害计算机信息系统运行功能发挥，应用软件、数据可靠性、完整性和保密性，用于违法活动的计算机程序（含计算机病毒）。

计算机信息媒体，是指可存储、携带计算机程序、数据和信息的计算机硬磁盘、软磁盘、光盘、磁卡、磁带、纸带、卡片、打印纸等。

计算机信息系统安全专用产品，是指用于保护计算机信息系统的安全专用硬件和软件产品。

第二十六条 本条例自2006年12月1日起施行。

重庆市人大内务司法委员会

关于《重庆市计算机信息系统安全保护条例（修正案草案）》的说明

--2006年7月25日在市二届人大常委会第二十五次会议上

市人大内务司法委员会副主任委员 李同明

主任、各位副主任、秘书长、各位委员：

我受市人大内务司法委员会的委托，现就《重庆市计算机信息系统安全保护条例（修正案草案）》（以下简称草案）作如下说明：

一、关于修正的必要性

自《重庆市计算机信息系统安全保护条例》（以下简称《条例》）施行以来，国家相继出台了一系列与计算机信息系统相关的法律法规。尤其是制定《条例》时所主要依据的上位法《中华人民共和国治安管理处罚条例》已被新制订的《中华人民共和国治安管理处罚法》（以下简称《治安管理处罚法》）所取代，且后者与前者相比，在适用条件、适用范围、处罚幅度等方面均作了重大调整。为了避免《条例》的部分内容与新制订的上位法相抵触，同时使《条例》的内容更趋科学、合理，按照法制统一的原则，有必要对《条例》加以修正。同时，随着计算机信息技术的发展和计算机、互联网的逐步普及，计算机信息系统安全保护工作面临新的挑战，出现了一些《条例》不能有效调整的情况和问题，也迫切需要通过修正加以解决。

二、需要说明的几个问题

（一）关于跨区县（自治县、市）、跨行业、跨部门联网的计算机信息系统备案审查的问题

鉴于《中华人民共和国计算机信息系统安全保护条例》和公安部颁布的《计算机信息网络国际联网安全保护管理办法》只规定了对国际联网的计算机信息系统进行备案管理，没有规定对跨区县（自治县、市）、跨行业、跨部门联网的计算机信息系统也进行备案审查管理。同时，在草案起草、论证过程中，社会各界有不少人士认为，上位法没有规定的内容，《条例》不宜扩大规范范围。因此，草案删除了《条例》第五条第八项、第十五条第一款和第十九条第三项中对跨区县（自治县、市）、跨行业、跨部门联网的计算机信息系统进行备案管理的内容。

（二）关于是否以"尚未造成严重后果"作为行政处罚要件的问题

由于《中华人民共和国计算机信息系统安全保护条例》第二十条和公安部《计算机信息网络国际联网安全保护管理办法》第二十一条规定的行政处罚中都没有以"尚未造成严重后果"作为实施行政处罚的必备要件，且实践中危害计算机信息系统安全的行为往往后果严重、危害较大，处罚"危险行为"而非"结果行为"更符合客观实际，也便于实践操作。因此，草案删除了《条例》第十九条、第二十条中"尚未造成严重后果"的表述。

（三）关于增加信息服务单位为备案主体的问题

随着互联网技术被广泛运用，利用互联网的增值业务大量出现。这给广大人民群众的生产、生活提供便捷服务的同时，也为违法犯罪行为提供了便利，通过计算机网络发送传销、色情、赌博等有害信息的现象大量存在，危害计算机信息系统安全的案件时有发生。究其原因，主要是缺乏对信息服务单位的有效监管。鉴于《条例》没有规定"信息服务单位应向公安机关备案"的内容，存在着明显的法律漏洞，草案对《条例》第十五条第二款作了相应修改，即："进行国际联网的计算机信息系统，互联单位、接入单位、信息服务单位及用户应在网络正式联通后三十日内向市公安局备案"。

（四）关于"安全保护人员"与"安全监察人员"的概念问题

《条例》第九条将计算机信息系统的使用、操作人员称为"安全监察人员"、"操作人员"，第十七条将公安机关的网监民警称为计算机"安全保护人员"。鉴于该种分类未能明确划分上述两类人员的职责，且在实践中容易发生混淆，因此，草案作了相应修改，将计算机信息系统的使用、操作人员统称为计算机"安全保护人员"，将公安机关的网监民警统称为计算机"安全监察人员"。

此外，草案根据《治安管理处罚法》等上位法的有关表述，对个别文字作了修改。如将《条例》第五条中的"检察"修改为"检查"，"扩建、工程"修改为"扩建工程方案"，"审核、评定计算机信息系统安全等级"修改为"监督、检查、指导计算机信息系统等级保护工作"等。 　　以上说明连同草案，请一并审议。

重庆市人大法制委员会

关于《重庆市计算机信息系统安全保护条例（修订草案）》审议结果的报告

2006年9月26日在市二届人大常委会第二十六次会议上

市人大法制委员会副主任委员 江材讯

主任、各位副主任、秘书长、各位委员：

我受市人大法制委员会的委托，现就《重庆市计算机信息系统安全保护条例（修订草案）》（以下简称修订草案）的审议结果报告如下： 　　2006年7月27日，市二届人大常委会第二十五次会议对修订草案进行了分组审议。会后，法制委员会分两个片区召开了由区县（自治县、市）人大常委会分管领导和法工委负责人参加的征求意见座谈会，充分听取了区县的意见。然后，法制委员会又会同市人大内务司法委员会、市公安局就修订草案中的有关问题进行了集中研究。根据常委会组成人员的意见、区县的意见以及各方面的意见，对修订草案进行了修改，经2006年9月14日市人大法制委员会第四十一次会议审议，形成了提交本次常委会会议审议的《重庆市计算机信息系统安全保护条例（修订草案）》（二次审议稿）。

一、修订草案第五条第（七）项规定，公安机关的主要职责包括对从事计算机系统（网络）安全技术服务实施监督。有意见认为该规定没有上位法依据，建议不在法规中规定。法制委员会采纳了这一意见，将该项修改为："监督计算机信息系统安全专用产品的制造、销售"。

二、修订草案第六条第（七）项规定，信息系统的运营、使用单位应当履行定期进行安全状况检测和风险评估的职责。法制委员会认为，作为一项内部的安全管理措施，安全状况检测和风险评估工作应当仅限于由信息系统的运营单位实施，不应该要求信息系统的使用单位也进行这项工作。并且，检测和评估的主体应该是信息系统运营单位，而不是行政机关或其他指定的机构或组织。因此，建议将该项单列一款，表述为："信息系统的运营单位应当定期进行安全状况检测和风险评估"，作为修订草案第六条第二款。

三、修订草案第十二条规定："任何单位和个人不得制造或输入、传播计算机病毒或其他有害数据，不得非法复制、截收、删除、增加、修改、查阅计算机信息系统中的数据。"审议中，有常委会组成人员指出输入和传播计算机病毒或其他有害数据的行为也可能是在无意间或不知晓的情况下完成的，对这样的行为法规不应处罚，法规只禁止故意行为即可。根据这一意见，法制委员会将修订草案第十二条修改为："任何单位和个人不得制造或故意输入、传播计算机病毒或其他有害数据，不得违法复制、截收、删除、增加、修改、查阅计算机信息系统中的数据。"同时，对修订草案第二十条的法律责任也作了相应的修改。

四、修订草案第十五条规定："进行国际联网的计算机信息系统，互联单位、接入单位、信息服务单位及用户应在网络正式联通后三十日内向市公安局备案。"有不少常委会组成人员以及区县认为由计算机互联网用户直接向公安机关备案，既没有上位法依据，也没有必要性，不应设定用户备案的义务，不能对用户的不备案行为进行处罚。法制委员会采纳了这一意见，将该款修改为："进行国际联网的计算机信息系统，互联单位、接入单位和网络信息服务单位应在网络正式联通后三十日内向市公安局备案。同时，对修订草案第十九条第（三）项关于备案的法律责任作了相应修改。

此外，还对修订草案个别文字进行了修改和调整。

以上报告连同二次审议稿，请一并审议。

重庆市人大法制委员会关于《重庆市工会条例（修订草案）》等6件法规案修改情况的说明

2006年9月29日在市二届人大常委会第二十六次会议上

市人大法制委员会主任委员 俞荣根

主任、各位副主任、秘书长、各位委员：

我受市人大法制委员会的委托，现就《重庆市工会条例（修订草案）》等6件法规案的修改情况作如下说明：

2006年9月27日，市二届人大常委会第二十六次会议对《重庆市工会条例（修订草案）》、《重庆市计算机信息系统安全保护条例(修订草案)》、《重庆市查禁赌博条例（修订草案）》、《重庆市查禁卖淫嫖娼条例（修订草案）》、《重庆市社会治安综合治理条例（修订草案）》、《重庆市宗教事务条例(草案)》等6件法规案进行了审议。常委会组成人员认为，这6件法规案经修改完善后已经基本成熟，同意经进一步修改后提请本次会议表决。同时，组成人员也提出了一些意见和建议。法制委员会对这些意见和建议进行了认真的研究，对其中3件法规案进行了修改。在此基础上分别形成了《重庆市工会条例（修订草案表决稿）》等6件法规案表决稿，经2006年9月28日法制委员会第四十二次会议审议通过，提请本次会议表决。

一、关于《重庆市工会条例（修订草案）》（略）

二、关于《重庆市计算机信息系统安全保护条例（修订草案）》

根据有的组成人员的建议，表决稿将修订草案二次审议稿第五条第一款第五项中的"管理对计算机病毒和其它有害数据的防治工作"修改为"指导对计算机病毒和其它有害数据的防治工作"。

修订草案二次审议稿第六条第二款规定："信息系统的运营单位应当定期进行安全状况检测和风险评估。"有的组成人员认为，该款的内容属于运营单位的内部规章制度，法规不宜作出规定，因此，表决稿删去了该款。

修订草案二次审议稿第十四规定："运输、携带、邮寄计算机信息媒体进出境的，应如实向海关申报。海关发现有危害计算机信息系统安全的信息媒体，应及时向所在地县级以上公安机关通报。"有的组成人员认为，根据立法法第八条第八项的规定，基本经济制度以及财政、税收、海关、金融和外貌的基本制度属于全国人大及其常委会的专属立法权，地方性法规不宜对海关的职责作出规定，建议删去该条。表决稿采纳了这一意见。

三、关于《重庆市宗教事务条例（草案）》（略）

四、关于《重庆市社会治安综合治理条例（修订草案）》和《重庆市查禁赌博条例（修订草案）》（略）

五、关于《重庆市查禁卖淫嫖娼条例（修订草案）》（略）

上述5件法规案如获本次会议表决通过，建议自2006年12月1日起施行。

以上说明,连同法规案表决稿，请一并审议。