令第108/2016/ND-CP号关于详细规定经营网络安全产品和服务条件的决定

令

||| 详细规定经营条件

||| 网络信息安全产品和服务

根据 档案法，二零一一年十一月十一日；

根据 ||| 2015年11月19日《网络安全法》；

根据 二零一四年十一月二十六日《投资法》；

根据 二零一四年十一月二十六日企业法；

根据信息通信部部长的建议；

||| 政府发布关于详细规定网络信息安全产品和服务经营条件的法令。

第一章
总则

第一条 调整范围

1. 本通知规定：

||| a) 经营条件、程序、手续和申请材料；

||| 网络信息安全产品和服务；

||| 按照许可进口的网络信息安全产品；

||| 本法令不适用于经营民用密码产品和服务以及提供电子签名认证服务的活动。

第二条 适用对象

||| 本法令适用于直接参与或与在越南生产、进口网络信息安全产品和提供网络信息安全服务有关的组织和企业。

||| 第三条 网络信息安全产品和服务

||| 一、网络信息安全产品包括：

||| a) 网络安全检查评估产品是具有以下基本功能的硬件和软件：扫描、检查、分析系统配置、状态和日志数据；发现漏洞和弱点；进行风险评估；

||| b) 网络安全监控产品是具有以下基本功能的硬件和软件：监控和分析系统中的数据流；实时收集和分析日志数据；发现并警告异常事件，可能造成信息安全隐患；

||| c) 网络防攻击入侵产品是具有阻止对信息系统进行攻击和入侵的基本功能的硬件和软件；

||| 二、网络信息安全服务包括：

||| a) 网络安全监控服务是对系统中数据流进行监控和分析的服务；实时收集和分析日志数据；发现并警告异常事件，可能造成信息安全隐患；

||| b) 网络防攻击服务是通过监控、收集和分析系统中发生的事件来阻止攻击和入侵行为的服务；

||| c) 网络安全咨询服务是支持咨询、检查、评估、实施、设计和构建确保信息安全解决方案的服务；

||| d) 网络应急响应服务是及时处理和修复导致信息系统信息安全问题的服务；

||| e) 数据恢复服务是恢复已被删除或损坏的信息系统中的数据的服务；

||| f) 网络安全检查评估服务是对信息系统进行扫描、检查、分析配置、状态和日志数据；发现漏洞和弱点；进行信息安全风险评估的服务；

||| g) 非密码信息安全保护服务是帮助用户确保信息和信息系统保密性而不使用民用密码系统的服务；

||| 第四条 按照许可进口的网络信息安全产品目录

||| 一、按照许可进口的网络信息安全产品包括：

||| a) 网络安全检查评估产品；

||| b) 网络安全监控产品；

||| c) 网络防攻击入侵产品；

||| 二、工业和信息化部应制定按照许可进口的网络信息安全产品的具体目录，如本条款第一款所述。

||| 三、对于不属于本条款第一款规定的网络信息安全产品，进口企业无需申请进口许可证。

第二章
||| 核发网络信息安全产品和服务经营许可证

条 5. 经营网络信息安全产品和服务的许可证

1. 工业和信息化部颁发经营网络信息安全产品和服务的许可证。

2. 经营网络信息安全产品和服务的许可证向企业发放，期限为十年，采用本法令附表中的第01号格式。

条 6. 颁发经营网络信息安全产品和服务许可证的条件

1. 符合本法令第三条规定的企业，在满足《网络安全法》第四十二条规定的条件以及本法令规定的条件下，可以获得经营网络信息安全产品和服务的许可证。

2. 对于本法令第三条第一款规定的产品进口活动，企业需满足本条款第一款规定的条件。其中，《网络安全法》第四十二条第一款规定的具体条件如下：

a) 拥有符合专业要求的信息安全管理和运营团队；拥有主要负责人的技术人员，该人员具有相关专业的大学学位或信息安全、信息技术或电子通信证书，并且人数应符合业务规模和要求；

b) 制定合适的商业计划，包括：进口目的；产品供应范围和对象；每种产品的技术标准和规范的符合性；产品的基本技术功能细节。

3. 对于本法令第三条第一款规定的产品生产活动，企业需满足本条款第一款规定的条件。其中，《网络安全法》第四十二条第一款规定的具体条件如下：

a) 拥有与网络信息安全产品生产商业计划相适应的设备、基础设施和技术；

b) 拥有符合专业要求的信息安全管理和运营团队；拥有相关专业的大学学位或信息安全、信息技术或电子通信证书的技术人员，并且人数应符合业务规模和要求；

c) 制定合适的商业计划，包括：产品供应范围和对象；预计生产的类型；每种产品的技术标准和规范的符合性；产品的基本技术功能。

4. 对于本法令第三条第二款规定的信息网络服务提供活动，企业需满足本条款第一款规定的条件。其中，《网络安全法》第四十二条第一款规定的具体条件如下：

a) 拥有与服务规模和商业计划相适应的设备和基础设施；

b) 拥有符合专业要求的信息安全管理和运营团队；拥有相关专业的大学学位或信息安全、信息技术或电子通信证书的技术人员，并且人数应符合业务规模和要求；

c) 制定合适的商业计划，包括：服务供应范围和对象；预计提供的服务类型；客户信息保密方案；服务质量保障方案。

5. 对于网络信息安全检查评估服务提供活动，需满足《网络安全法》第四十二条第二款规定的条件。对于不使用民用密码的信息安全服务提供活动，需满足《网络安全法》第四十二条第三款规定的条件。《网络安全法》第四十二条第二款规定的具体条件如下：

a) 符合本条款第四款规定的条件；

b) 制定合适的技术方案，包括：整体技术系统；与预计提供的服务类型相对应的功能符合性；与适用的技术规范和强制性标准的符合性。

条7. 许可申请信息安全产品和服务的文件、程序和手续

按照《网络安全法》第43条、第44条、第45条的规定，许可申请、修改、补充、延期、暂时停止、撤销和重新发放信息安全产品和服务的许可文件的文件、程序和手续。

条8. 接收申请信息安全产品和服务许可的文件

1. 企业可以通过以下方式之一向国家信息通信管理局提交申请信息安全产品和服务许可的文件：

a) 直接提交给接收文件的单位；

b) 使用邮政服务提交；

c) 在国家信息通信管理局的门户网站上在线提交。

2. 接收文件的单位有责任在收到文件后的一个工作日内通过书面或电子邮件确认已收到企业的文件。

3. 对于直接提交的方式，文件接收日期为企业提交文件的接收单位收到文件的日期。

4. 对于使用邮政服务提交的方式，文件接收日期为接收单位收到邮政服务提供的企业提交的文件的日期。

5. 对于在线提交的方式，国家信息通信管理局将根据政府提供的在线公共服务流程发放信息安全产品和服务的许可。

条9. 审查申请信息安全产品和服务许可文件的有效性

1. 申请信息安全产品和服务许可的文件必须用越南语编写，包括一份原件和四份有效副本（对于申请许可的情况），一份原件和一份有效副本（对于申请修改、补充和延期许可的情况）。原件必须包含企业的签名和确认印章，如果文件从第二页开始，则每页都需加盖骑缝章。有效副本不需要确认印章或公证印章，但需要加盖企业的骑缝章。

2. 申请/重新申请/延期/修改许可的信息安全产品和服务的申请表格式规定在本法令附录中的表格编号02；经营方案规定在表格编号03；技术方案规定在表格编号04；执行许可情况报告规定在表格编号05。

3. 国家信息通信管理局将在收到文件后的三个工作日内审查并告知提交文件的企业关于文件的有效性。

4. 文件有效性审查依据以下标准进行：

a) 文件按照本条第1款的规定编制；

b) 符合不同类型的许可申请文件所需材料的规定，详见《网络安全法》第43条；

c) 提供的材料符合要求的信息项目，并遵循本法令附录中规定的相应文件模板。

5. 对于无效的文件，国家信息通信管理局将以书面形式通知提交文件的企业，并明确指出无效因素。企业有权重新提交补充文件或解释文件有效性的说明。重新提交的文件的有效性审查将按照本条第4款的规定进行。

条 10. 提交、说明和补充材料在审查过程中

1. 在审查材料期间，工业和信息化部有权向企业发出要求补充材料或书面说明的通知，或者直接进行说明，如果申请许可的材料未提供足够的信息，未能满足规定的条件，但不超过一次。

2. 企业有责任根据要求的内容和在收到本条第1款规定的通知之日起最多10个工作日内向工业和信息化部提交补充材料或书面说明。审查期限自单位接收补充材料或企业的书面说明之日或会议记录签字之日起继续计算。

3. 如果在本条第2款规定的补充材料和说明期限届满时，企业未提交补充材料或未进行说明且没有请求延期，则视为企业放弃提交材料。逾期提交补充材料、说明或在企业请求延期后提交的材料将被视为新提交的材料。

4. 审查初始材料、补充材料、意见说明及颁发许可证或不颁发许可证的时间：

a) 自收到有效材料之日起不超过15个工作日；

b) 自收到有效材料之日起不超过10个工作日（对于续期和修改、补充许可证的材料）；

c) 自收到有效材料之日起不超过5个工作日（对于重新颁发许可证的材料）。

条 11. 经营网络安全产品和服务的企业报告制度

获得网络安全产品和服务经营许可证的企业应按照本通知附件中附表5的要求，在每年12月31日前向工业和信息化部提交突发情况报告和年度报告，报告其网络安全产品和服务的经营状况。

第三章
实施条款

条 12. 过渡条款

1. 正在经营网络安全产品和服务的企业应在本通知生效之日起六个月内完成申请经营许可证所需的材料和程序。

2. 对于在本通知生效前已签订并有效的网络安全产品和服务经营合同，企业仍可继续执行合同内容。

条 13. 生效日期

本法令自2016年7月1日起生效。

条 14. 执行责任

1. 工业和信息化部部长负责指导和监督本条例的实施。

2. 各部部长、相当于部长级别的机构负责人、政府直属机构负责人、省、直辖市人民政府主席以及与本通知有关的组织和个人负责执行本通知。

 

附 录

（附属于国务院令第108号2016年7月1日发布）

样式编号01

 

经营许可证
||| 网络信息安全产品和服务
（有效期至.../.../...）

信息和通信部

依据2015年11月19日《网络安全法》；

根据国务院令第……/2016/NĐ-CP号2016年……月……日发布的《关于详细规定网络安全产品和服务经营条件的通知》；

根据国务院令第……/……/NĐ-CP号2016年……月……日发布的《关于工业和信息化部职能、任务、权限和组织结构的通知》；

根据……（1）于……月……日……年提出的申请颁发/重新颁发/修改、补充网络安全产品和服务经营许可证的材料；

根据……（2）的建议，

决定：

本通知附带制定地质基础调查、矿产地质调查和矿产勘查钻探工程经济和技术定额。 准许……（1）经营网络安全产品和服务

1. 企业信息

a) 企业名称（中文或外文，如有）：……

b) 法定代表人姓名：……

c) 工商注册证书编号：……由……颁发于……年……月……日在……

d) 在中国的总部地址：……

e) 电话：……

f) 传真号码：……

g) 税务登记号：……

2. 企业被允许：

a) …(3);

b) …(3);

c) …(3);

条 2. …(1) 必须遵守国务院令第……/2016/NĐ-CP号2016年……月……日发布的《关于详细规定网络安全产品和服务经营条件的通知》和其他相关法律法规的规定。

条 3. 本网络安全产品和服务经营许可证自签发之日起生效，并持续到……年……月……日；（4）取代编号为……/GP-BTTTT的网络安全产品和服务经营许可证，签发日期为……年……月……日。

清楚注明管理机关的名称和地点。

（1）获得许可证的企业名称。

（2）提出许可证申请的部门负责人。

（3）被允许经营的网络安全产品和服务。

（4）用于重新颁发/修改、补充许可证的情况。

 

样式编号02

 

申请颁发/重新颁发/续期/修改、补充

经营许可证 

网络安全产品和服务

根据国务院令第______号，

依据2015年11月19日《网络安全法》；

根据国务院令第……/2016/NĐ-CP号2016年……月……日发布的《关于详细规定网络安全产品和服务经营条件的通知》；

（企业名称）申请颁发/重新颁发/续期/修改、补充网络安全产品和服务经营许可证，具体内容如下：

编一. 基本信息
1. 企业名称：……

2. 企业名称（中文或外文，如有）：……

3. 法定代表人姓名：……

4. 工商注册证书编号：……由……颁发于……年……月……日在……

5. 总部地址：……

6. 电话：……

7. 传真号码：……

编 2. 附带文件（注明文件种类和数量）
1. …………………………………………………………………………………………………….

2. ……………………………………………………………………………………………………

3. ……………………………………………………………………………………………………

编 3. 再发/修改/补充理由（如需再发/修改/补充许可证）
编四. 承诺

（企业名称）承诺：

1. 对所提交的申请中关于发放/再发/延期/修改/补充经营网络安全产品和服务许可证内容的真实性及合法性承担法律责任。

2. 若获得发放/再发/延期/修改/补充网络安全产品和服务经营许可证，（企业名称）将严格遵守有关网络安全产品和服务经营活动的法律法规以及许可证中的规定。/

 

样式编号03

 

经营方案
（随附申请书编号...日期...年...月...日）

编 1. 概述
1. 企业的组织结构。

2. 企业的经营业务概述。

3. 企业设备和基础设施说明。

4. 人员描述：人数；在申请许可领域内的技术/商业经验。

编 2. 经营范围与对象
1. 预计经营的产品和服务类型。

2. 网络安全产品和服务经营活动规模。

3. 预计提供产品和服务的对象。

4. 设备系统实施计划以提供服务/生产产品。

编 3. 产品质量保障方案
1. 产品和服务质量标准。

2. 信息保密制度。

3. 客户信息安全保护方案（在服务提供前、中、后）。

4. 应用的质量保证标准/产品合格认证和符合性声明方案。

5. 处理客户服务质量投诉的程序。

 

样式编号04

 

技术方案
（随附申请书编号...日期...年...月...日）

1. 技术系统总体情况

描述设备配置、安装图、整体技术解决方案。

2. 系统功能

3. 符合强制性技术规范和标准的说明

根据所使用的技术解决方案的特性描述和技术规范，证明符合强制性技术规范和标准，依据供应商已进行测试并获得认可或认证机构的认可或认证的证书和认证。

对于需要描述和证明其来源的软件产品，应说明是否为授权软件或自主研发。

4. 附件

附件包括技术系统设备描述文件、已获得的符合标准的认证和证书。

 

样式编号05

 

网络安全产品和服务经营许可证执行情况报告
（从...月...日至...月...日）

编一. 基本信息
1. 企业名称：……

2. 主要办公地址：……

3. 电话：…4. 传真：…

5. 网络安全产品和服务经营许可证编号……颁发日期...月...日...年……

编 2. 许可证执行情况
1. 企业网络安全产品和服务经营活动概述：…

2. 进口、生产和销售的网络安全产品数量和种类：…

3. 按服务类型划分的客户数量：…

4. 年度总收入和利润：…

5. 直接参与进口、生产和提供网络安全服务的人数情况：…

6. 其他内容：…

编 3：承诺
（企业名称）承诺对报告内容及其附带文件的真实性承担法律责任。