政策解读| 《电力行业网络安全管理办法》及《电力行业网络安全等级保护管理办法》

国家能源局于近日相继发布了《电力行业网络安全管理办法》（国能发安全规〔2022〕100号）和《电力行业网络安全等级保护管理办法》（国能发安全规〔2022〕101号）两项管理办法。

本次发布的两项管理办法均是针对2014年相应政策文件的修订与补充。

首先，从编制依据上，随着近几年《网络安全法》、《密码法》、《数据安全法》、《个人信息保护法》、《关键信息基础设施安全保护条例》等众多政策法规的实施，此次两项管理办法中也根据电力行业的特点做出了相应的补充。

其次，在适用范围上，明确了除核安全，以及涉及国家密码的网络以外，在中国境内建设、运营、维护和使用网络，均适用于本管理办法。

第三，在管理内容上，《网络安全管理办法》明确“国家能源局及其地方能源主管部门在各自职责范围内依法依规履行电力行业网络安全监督管理职责（以下简称：行业部门）”，其管理工作涵盖电力行业网络安全等级保护、关键信息基础设施保护、电力监控系统安全防护、网络安全监测预警和信息通报、网络安全事件应急处置等多方面的政策、标准制定和监督实施工作，提出“依法管理、分工负责、统筹规划、突出重点”的工作原则。而《等级保护管理办法》则是对其中电力行业网络安全等级保护工作的具体管理办法，其再次明确了国家能源局及其地方能源主管部门在电力企业等级保护工作中的重要职能，在等级划分方面保持与等级保护2.0标准一致，要求电力企业开展网络安全等级保护遵循“分级保护、突出重点、积极防御、综合防范”的原则。

Part.1 监督管理职责

在监督管理职责方面，行业部门除了负责组织编制包括电力行业关键信息基础设施在内的各项政策、标准，并监督实施外，还包括组织认定电力行业关基设施，制定规划，建立安全监测预警制度、组织开展检查检测，指导关键运营者做好应急事件的处置工作。可以看出，电力行业的关键信息基础设施保护工作将逐步走向统一化、标准化、规范化。

此外，在行业部门的监督管理职责方面还包括：推动网络安全仿真验证环境（靶场）建设，组织建立网络安全监督管理技术支撑体系。未来电力行业的仿真靶场建设将更将趋向于真实化、实战化，且部署场景更靠近于电力生产企业，生产工艺的还原程度也将更加贴近于真实生产系统，在技术实现上有可能采用5G+ AR、VR、数字孪生等新型技术。

各省、地、市级电力调度机构负责各自调度范围内的下一级调度机构、集控、电站、电厂涉网部分电力监控系统的安全防护监督工作，包括定期组织开展自评估工作、指挥调度应急事件、组织开展培训交流、制定专用安全产品监督管理办法，并将调度管理范围内的电厂涉网系统网络安全运行状态接入监测范围。

Part.2 电力企业责任义务

与《网络安全法》中保持一致，电力企业作为本单位的网络安全责任主体，负责网络安全整体工作，企业的主要负责人则是网络安全**责任人。企业应建立健全网络安全管理制度、体系，成立工作领导机构、明确责任部门、设立专职专岗、明确责任分工和技能要求，建立健全网络安全责任制。

《等级保护管理办法》在《网络安全管理办法》基础上，针对电力行业等级保护工作提出了具体要求，电力行业的等保定级以最新等保定级标准为基础，结合电力行业的业务特点进行定级，且对不同级别、不同类型电力企业的定级审批提出明确要求。

而对于电力行业关基设施，要明确任命首席网络安全官，每个关基设施都应明确一名安全管理责任人，且要求对相关人员进行背景审查。

除满足等级保护要求外，电力企业还应按照关基保护条例、数据安全制度、网络安全审查机制和电力监控系统安全防护规定执行安全防护。

（1）在安全产品的选择方面，要求选用符合国家规定、满足安全要求的产品和服务，涉网部分安全产品需经过专用认证，电力关保设施应优先选择安全可信的产品和服务。

（2）在检测评估方面，要求电力企业按照国家规定开展电力监控系统安全评估、等保测评、关保检测和评估、商密评估，以及网络安全审查等工作，但在《等级保护管理办法》中提出要做好以上几项评估工作的衔接工作，避免重复测评。针对三级以上新建电厂投运前必须经过第三方安全评估。《等级保护管理办法》中要求二级系统每两年开展一次等保测评，同时每两年开展一次自查，可选择交叉进行；三级系统要求每年开展一次等保测评和自查，电力企业每年可先组织开展风险评估自查工作，再请测评机构进行等保测评，针对测评中可能发现的问题提前做出应对措施。

《等级保护管理办法》中对于电力行业等保测评机构的能力认证提出了具体要求，且鼓励电力企业自身开展测评机构建设、申请测评机构服务认证，并参与制定行业网络安全等级保护标准。

（3）在监测预警方面，电力企业应当建立自有网络安全监测预警和信息通报平台，及时掌握本单位网络安全态势，及时处置网络安全事件。针对电力关基设施，应建立全天候值班值守制度，并将监测数据与行业部门、公安机关对接。

（4）在应急响应方面，要求电力企业不断完善应急预案、定期开展应急演练、快速响应突发事件、详细上报应急结果等。

除此以外，电力企业应建立健全数据档案和个人信息档案，严格按照国家相关法律法规执行；电力企业每年网络安全投入不低于信息化总投入5%；加强网络安全人才培养与考核管理，持证上岗；每年定期上报本年度网络安全工作报告及下一年度工作计划等。

Part.3 监督检查

明确了行业部门开展监督检查和事件调查的具体措施，包括：入厂现场检查、人员询问、查阅资料，并对发现的问题责令改正或整改。对于监督检查过程中发现较大安全风险或者发生安全事件的，可对企业**责任人或主要负责人进行约谈。行业部门可就发现的安全缺陷、漏洞风险、网络攻击、恶意程序等开展行业通报，督促关联企业及时排查、防范。

在《等级保护管理办法》的法律责任部分，针对电力企业、测评机构，以及其他监督管理部门在等级保护工作开展过程中存在的各类问题，提出了具体的处罚措施。

Part.4 小结

随着《电力行业网络安全管理办法》及《电力行业网络安全等级保护管理办法》的发布执行，电力行业的网络安全建设将进入一个新的阶段，无论针对电力生产企业、电力调度机构、行业监管部门，还是检测评估机构、安全设备厂商、安全服务商都提出了新的要求，电力企业的网络安全工作也应该是全面的、规范的、体系化的、可追溯的。