工信部網安〔2024〕68號

各省、自治區、直轄市、計劃單列市及新疆生產建設兵團工業和信息化主管部門，各省、自治區、直轄市及計劃單列市通信管理局，有關企事業單位：

現將《工業互聯網安全分類分級管理辦法》印發給你們，請認真抓好落實。

工業和信息化部

2024年4月11日 

工業互聯網安全分類分級管理辦法

第一章  總  則

第一條 為加強工業互聯網安全分類分級管理，落實企業網絡安全主體責任，提升工業互聯網安全防護水平，促進工業互聯網深度融合應用，護航新型工業化高質量發展，維護國家安全和發展利益，根據《中華人民共和國網絡安全法》《中華人民共和國數據安全法》等法律法規及國家有關規定，制定本辦法。

第二條 在中華人民共和國境內開展工業互聯網安全分類分級管理工作的，應當遵守相關法律、行政法規和本辦法的要求。

第三條 工業和信息化部統籌指導開展工業互聯網安全分類分級管理工作，主要涉及原材料工業、裝備工業、消費品工業和電子信息制造業等主管行業領域。

各省、自治區、直轄市及計劃單列市、新疆生產建設兵團工業和信息化主管部門（以下稱地方工業和信息化主管部門），各省、自治區、直轄市及計劃單列市通信管理局（以下稱地方通信管理局）開展本行政區域內工業互聯網安全分類分級管理。地方工業和信息化主管部門主要負責指導本行政區域內聯網工業企業的安全分類分級管理，同步加強工業控制系統網絡安全防護。地方通信管理局主要負責開展本行政區域內平臺企業、標識解析企業的安全分類分級管理，并在公共互聯網上對聯網設備、系統等進行安全監測。

地方工業和信息化主管部門、地方通信管理局統稱地方主管部門。

第四條 工業互聯網安全分類分級管理工作遵循統籌指導、分類施策、分級防護、突出重點的原則，指導企業提升安全防護能力。

第二章  企業分類分級

第五條 工業互聯網安全分類分級管理以工業互聯網企業為對象，企業類型主要包括以下三類：

（一）應用工業互聯網的工業企業（以下稱聯網工業企業），主要是指將新一代信息通信技術與工業系統深度融合，推動開展數字化研發、智能化制造、網絡化協同、個性化定制、服務化延伸等的工業企業；

（二）工業互聯網平臺企業（以下稱平臺企業），主要是指面向制造業數字化、網絡化、智能化需求，基于云平臺等方式對外提供工業大數據、工業APP等資源和公共服務的企業；

（三）工業互聯網標識解析企業（以下稱標識解析企業），主要是指工業互聯網標識解析根節點運行機構、國家頂級節點運行機構、標識注冊服務機構、遞歸節點運行機構等提供工業互聯網標識服務的機構。

第六條 工業互聯網企業應當按照工業互聯網安全定級相關標準規范，結合企業規模、業務范圍、應用工業互聯網的程度、運營重要系統的程度、掌握重要數據的程度、對行業發展和產業鏈供應鏈安全的重要程度以及發生網絡安全事件的影響后果等要素，開展自主定級。工業互聯網企業級別由高到低分為三級、二級、一級。

當企業定級要素發生較大變化，可能影響企業定級結果時，企業應當在發生變化的三個月內重新定級。同時具有聯網工業企業、平臺企業、標識解析企業中兩種及以上屬性的企業，應當按照不同類型分別定級。

第七條 完成自主定級的工業互聯網企業通過全國工業互聯網安全分類分級管理平臺（以下稱分類分級管理平臺）開展信息登記，登記內容包括但不限于企業名稱、企業類型、企業級別、聯系方式、網絡安全負責人等相關情況。地方主管部門通過分類分級管理平臺對企業提交登記的材料，在三十個工作日內開展核查，對材料內容不齊全、定級不準確的，應當通知企業在二十個工作日內予以補正。

第八條 工業互聯網企業應當按照聯網工業企業、平臺企業、標識解析企業、數據等相關安全防護標準規范，根據企業類型、自身級別落實相適應的安全要求，提升相關設備、控制、網絡、平臺、數據等的安全防護能力。

第九條 工業互聯網企業應當按照法律法規和相關標準，自行或委托第三方評測機構，定期開展符合性評測，三級工業互聯網企業每年至少開展一次評測，二級工業互聯網企業每兩年至少開展一次評測。一級工業互聯網企業可參照二級企業相關要求開展評測。

第十條 工業互聯網企業針對發現存在的網絡安全風險，應當積極采取措施消除隱患。

第三章  網絡安全管理

第十一條 工業和信息化部建立健全工業互聯網安全分類分級管理制度體系，組織制定評估評測、信息通報、應急預案等相關制度，以及分類分級、安全管理、安全服務等相關標準，建立完善安全檢查、監測預警、應急處置、成效評價等工作機制。

地方主管部門應當建立健全屬地工業互聯網安全分類分級管理制度機制，將工業互聯網安全納入重點工作任務，督促企業落實網絡安全主體責任，強化重點企業指導管理，定期向工業和信息化部報送工業互聯網安全管理工作情況。地方工業和信息化主管部門、通信管理局加強工作協同，共同做好工業互聯網安全工作。

工業互聯網企業承擔本企業網絡安全主體責任，企業主要負責人為本企業網絡安全第一責任人，要建立健全企業內部網絡安全管理制度，積極將網絡安全納入企業發展規劃和工作考核，加大網絡安全投入，加強網絡安全防護能力建設，有效防范化解網絡安全風險。企業應當配合工業和信息化部、地方主管部門的監督管理。

第十二條 工業和信息化部建立健全工業互聯網安全監測預警和信息通報機制，建設國家級安全態勢感知與風險預警手段，組織開展安全風險監測、預警和通報，加強威脅信息共享。

地方主管部門建立屬地工業互聯網安全監測預警機制，建設地方工業互聯網安全技術平臺，組織開展本行政區域內安全風險監測，及時向相關企業通報安全風險隱患，指導企業及時整改。

工業互聯網企業應當根據自身級別，建設監測網絡運行狀態、網絡安全事件的技術手段，留存相關的網絡日志不少于六個月，采取防范網絡攻擊、病毒入侵等危害網絡安全行為的技術措施，有效發現網絡安全風險隱患并及時處置。三級工業互聯網企業按照有關標準，加強企業平臺與國家、地方平臺之間的協同聯動。

第十三條 工業和信息化部建立健全工業互聯網安全應急處置制度機制，組織協調工業互聯網重大及以上網絡安全事件應急處置，開展工業互聯網安全演練。

地方主管部門建立屬地工業互聯網安全應急處置制度，組織開展工業互聯網安全演練，做好本行政區域內工業互聯網安全事件應急處置工作，發現重大及以上安全事件，及時上報工業和信息化部。

工業互聯網企業應當制定網絡安全事件應急預案，定期開展安全演練，檢驗安全防護和應急處置能力。企業在網絡安全事件發生后，立即啟動應急預案，采取相應補救措施。發生一般及以上安全事件的，應當立即向地方主管部門報告。

第十四條 工業和信息化部建立健全工業互聯網安全檢查評估機制，定期組織開展對工業互聯網企業的安全檢查評估。

地方工業和信息化主管部門開展本行政區域內聯網工業企業的安全評估，地方通信管理局開展本行政區域內平臺企業、標識解析企業的安全檢查，對發現的網絡安全風險隱患，指導企業加強安全整改。地方主管部門每年面向三級工業互聯網企業開展安全檢查評估，定期面向二級、一級工業互聯網企業開展安全檢查評估。

工業互聯網企業應當配合工業和信息化部、地方主管部門的網絡安全檢查評估。

第四章 支持與保障

第十五條 地方主管部門要加大人員投入和經費支持力度，加強工業互聯網安全工作相關考核激勵，建設工業互聯網安全資源池，壯大屬地安全支撐服務力量。

第十六條 地方主管部門要加強工業互聯網安全政策標準宣貫，充分利用大會、論壇等方式，提升工業互聯網安全意識和能力。加強工業互聯網安全人才培養力度，鼓勵行業企業、聯盟協會、研究機構等開展工業互聯網安全人才培訓和崗位能力評價，支持舉辦工業互聯網安全相關賽事活動。

第十七條 工業和信息化部鼓勵、支持具備相關專業能力的第三方機構、網絡安全企業等依據相關標準，開展工業互聯網安全檢測評估、安全咨詢、安全運維、人員培訓等安全服務，推動工業互聯網安全服務認證，規范安全服務要求，提高安全服務質量。

第十八條 工業和信息化部指導聯網工業企業識別重要工業控制系統，推動將分布式控制系統（DCS）等納入網絡關鍵設備目錄，支持開展工業控制系統和設備安全檢測。

第十九條 工業和信息化部支持地方主管部門以及行業企業、研究機構、高等學校等，通過專項項目、試點示范等方式，加大工業互聯網安全技術研發和成果轉化應用，選樹分類分級防護典型案例，推廣工業互聯網安全產品和服務。

第五章 附則

第二十條 工業互聯網企業違反本辦法規定，不履行網絡和數據安全保護義務的，工業和信息化部、地方主管部門按照《中華人民共和國網絡安全法》《中華人民共和國數據安全法》等相關法律法規予以處理。

第二十一條 涉及關鍵信息基礎設施安全保護的，按照有關規定執行。

第二十二條 本辦法自印發之日起施行。