上海市公安局关于印发上海市公安局关于网络安全管理行政处罚的裁量基准的通知年月日沪公行规号各分局市局各部门各公安处局上海市公安局关于网络安全管理行政处罚的裁量基准已经年月日市局党委会审议通过现印发给你们请认真贯彻执行裁量基准自年月日起施行有效期至年月日上海市公安局关于网络安全管理行政处罚的裁量基准第一章总则一为规范公安机关行使网络安全管理行政处罚裁量权促进行政执法公平公正保障网络安全维护网络空间主权和国家安全社会公共利益保护公民法人和其他组织的合法权益依照中华人民共和国行政处罚法公安机关办理行政案件程序规定等有关规定结合本市实际制定本裁量基准二本市公安机关依据中华人民共和国网络安全法以下简称网络安全法中华人民共和国计算机信息系统安全保护条例以下简称信息系统安全保护条例互联网上网服务营业场所管理条例以下简称上网场所管理条例计算机信息网络国际联网安全保护管理办法以下简称联网安全管理办法等规定作出行政处罚决定的适用本裁量基准三对违反公安机关网络安全管理行为的处罚必须以事实为依据与违法行为的事实性质情节以及社会危害程度相当四违法行为人有下列情形之一的应当依法从轻或者减轻行政处罚一主动消除或者减轻违法行为危害后果的二受他人胁迫或者诱骗实施违法行为的三配合行政机关查处违法行为有立功表现的四其他依法从轻或者减轻行政处罚的违法行为轻微并及时改正没有造成危害后果的不予行政处罚违法行为人有下列情形之一的应当从重处罚一违法情节恶劣造成严重后果的二经公安机关责令改正违法行为后继续实施违法行为的三隐匿销毁违法行为证据的四共同违法行为中起主要作用或者教唆胁迫诱骗他人实施违法行为的五多次实施违法行为的六对报案人控告人举报人证人等打击报复的七一年内因同类违法行为受到两次以上公安行政处罚的八妨碍执法人员查处违法行为的从轻减轻从重处罚和不予处罚应有证据证明并将相关证据材料附卷第二章裁量基准一网络运营者不履行网络安全保护义务法律依据网络安全法第二十一条国家实行网络安全等级保护制度网络运营者应当按照网络安全等级保护制度的要求履行下列安全保护义务保障网络免受干扰破坏或者未经授权的访问防止网络数据泄露或者被窃取篡改一制定内部安全管理制度和操作规程确定网络安全负责人落实网络安全保护责任二采取防范计算机病毒和网络攻击网络侵入等危害网络安全行为的技术措施三采取监测记录网络运行状态网络安全事件的技术措施并按照规定留存相关的网络日志不少于六个月四采取数据分类重要数据备份和加密等措施五法律行政法规规定的其他义务第二十五条网络运营者应当制定网络安全事件应急预案及时处置系统漏洞计算机病毒网络攻击网络侵入等安全风险在发生危害网络安全的事件时立即启动应急预案采取相应的补救措施并按照规定向有关主管部门报告第五十九条第一款网络运营者不履行本法第二十一条第二十五条规定的网络安全保护义务的由有关主管部门责令改正给予警告拒不改正或者导致危害网络安全等后果的处一万元以上十万元以下罚款对直接负责的主管人员处五千元以上五万元以下罚款裁量基准初次违反规定且未导致危害网络安全等后果的责令改正给予警告有下列情形之一的处一万元以上五万元以下罚款对直接负责的主管人员处五千元以上两万元以下罚款一拒不改正的二导致危害网络安全等后果的三在发生危害网络安全的事件时未立即启动应急预案或者未采取相应的补救措施或者未按照规定向有关主管部门报告的四对国家安全社会秩序和公共利益造成较重影响后果影响人民群众工作生活或者造成较大经济损失的有下列情形之一的处五万元以上十万元以下罚款对直接负责的主管人员处两万元以上五万元以下罚款一拒不改正且导致危害网络安全等后果或者因不履行网络安全保护义务被罚款后一年内再次被查获的二未履行网络安全法第二十一条规定的多项网络安全保护义务导致危害网络安全等后果的三在发生危害网络安全的事件时未立即启动应急预案且未采取相应的补救措施且未按照规定向有关主管部门报告的四致使网络系统被攻击篡改导致被张贴违法有害信息造成不良社会影响的五导致刑事案件证据灭失的六对国家安全社会秩序和公共利益造成严重影响后果严重影响人民群众工作生活或者造成重大经济损失的二关键信息基础设施的运营者不履行网络安全保护义务法律依据网络安全法第三十三条建设关键信息基础设施应当确保其具有支持业务稳定持续运行的性能并保证安全技术措施同步规划同步建设同步使用第三十四条除本法第二十一条的规定外关键信息基础设施的运营者还应当履行下列安全保护义务一设置专门安全管理机构和安全管理负责人并对该负责人和关键岗位的人员进行安全背景审查二定期对从业人员进行网络安全教育技术培训和技能考核三对重要系统和数据库进行容灾备份四制定网络安全事件应急预案并定期进行演练五法律行政法规规定的其他义务第三十六条关键信息基础设施的运营者采购网络产品和服务应当按照规定与提供者签订安全保密协议明确安全和保密义务与责任第三十八条关键信息基础设施的运营者应当自行或者委托网络安全服务机构对其网络的安全性和可能存在的风险每年至少进行一次检测评估并将检测评估情况和改进措施报送相关负责关键信息基础设施安全保护工作的部门第五十九条第二款关键信息基础设施的运营者不履行本法第三十三条第三十四条第三十六条第三十八条规定的网络安全保护义务的由有关主管部门责令改正给予警告拒不改正或者导致危害网络安全等后果的处十万元以上一百万元以下罚款对直接负责的主管人员处一万元以上十万元以下罚款裁量基准初次违反规定且未导致危害网络安全等后果的责令改正给予警告有下列情形之一的处十万元以上五十万元以下罚款对直接负责的主管人员处一万元以上五万元以下罚款一拒不改正的二导致危害网络安全等后果的三未履行第三十三条第三十四条第三十六条第三十八条规定的两项网络安全保护义务导致危害网络安全等后果的四对国家安全社会秩序和公共利益造成较重影响后果影响人民群众工作生活或者造成较大经济损失的有下列情形之一的处五十万元以上一百万元以下罚款对直接负责的主管人员处五万元以上十万元以下罚款一拒不改正且导致危害网络安全等后果或者因不履行网络安全保护义务被罚款后一年内再次被查获的二未履行第三十三条第三十四条第三十六条第三十八条规定的多项网络安全保护义务导致危害网络安全等后果的三致使网络系统被攻击篡改导致被张贴违法有害信息造成不良社会影响的四导致刑事案件证据灭失的五对国家安全社会秩序和公共利益造成严重影响后果严重影响人民群众工作生活或者造成重大经济损失的三设置恶意程序未按规定告知报告安全风险法律依据网络安全法第二十二条第一款网络产品服务应当符合相关国家标准的强制性要求网络产品服务的提供者不得设置恶意程序发现其网络产品服务存在安全缺陷漏洞等风险时应当立即采取补救措施按照规定及时告知用户并向有关主管部门报告第二十二条第二款网络产品服务的提供者应当为其产品服务持续提供安全维护在规定或者当事人约定的期限内不得终止提供安全维护第四十八条第一款任何个人和组织发送的电子信息提供的应用软件不得设置恶意程序不得含有法律行政法规禁止发布或者传输的信息第六十条违反本法第二十二条第一款第二款和第四十八条第一款规定有下列行为之一的由有关主管部门责令改正给予警告拒不改正或者导致危害网络安全等后果的处五万元以上五十万元以下罚款对直接负责的主管人员处一万元以上十万元以下罚款一设置恶意程序的二对其产品服务存在的安全缺陷漏洞等风险未立即采取补救措施或者未按照规定及时告知用户并向有关主管部门报告的三擅自终止为其产品服务提供安全维护的裁量基准初次违反规定且未导致危害网络安全等后果的责令改正给予警告有下列情形之一的处五万元以上二十五万元以下罚款对直接负责的主管人员处一万元以上五万元以下罚款一拒不改正的二导致危害网络安全等后果的三对国家安全社会秩序和公共利益造成较重影响后果影响人民群众工作生活或者造成较大经济损失的有下列情形之一的处二十五万元以上五十万元以下罚款对直接负责的主管人员处五万元以上十万元以下罚款一拒不改正且导致危害网络安全等后果或者因设置恶意程序未按规定告知报告安全风险被罚款后一年内再次被查获的二发现其网络产品服务存在安全缺陷漏洞等风险时未立即采取补救措施且未按照规定及时告知用户并向有关主管部门报告的同时拒不改正或者导致危害网络安全等后果的三对国家安全社会秩序和公共利益造成严重影响后果严重影响人民群众工作生活或者造成重大经济损失的四网络运营者不履行身份信息核验义务法律依据网络安全法第二十四条第一款网络运营者为用户办理网络接入域名注册服务办理固定电话移动电话等入网手续或者为用户提供信息发布即时通讯等服务在与用户签订协议或者确认提供服务时应当要求用户提供真实身份信息用户不提供真实身份信息的网络运营者不得为其提供相关服务第六十一条网络运营者违反本法第二十四条第一款规定未要求用户提供真实身份信息或者对不提供真实身份信息的用户提供相关服务的由有关主管部门责令改正拒不改正或者情节严重的处五万元以上五十万元以下罚款并可以由有关主管部门责令暂停相关业务停业整顿关闭网站吊销相关业务许可证或者吊销营业执照对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款裁量基准初次违反规定且情节较轻的责令改正有下列情形之一的处五万元以上十万元以下罚款并可以责令暂停相关业务停业整顿对直接负责的主管人员和其他直接责任人员处一万元以上二万元以下罚款一拒不改正的二为五十个以上不足一百个不提供真实身份信息的用户提供接入服务的三为一百个以上不足两百个不提供真实身份信息的用户提供信息发布即时通讯等服务的四为不提供真实身份信息的用户提供相关服务该用户涉嫌违法被追究行政责任的五致使公安机关办理行政案件时无法调取证据或者证据灭失的六其他情节较重的情形有下列情形之一的处十万元以上五十万元以下罚款并可以责令暂停相关业务停业整顿通报有关主管部门关闭网站吊销相关业务许可证或者吊销营业执照对直接负责的主管人员和其他直接责任人员处二万元以上十万元以下罚款一拒不改正且有第二款规定情形之一或者因不履行身份信息核验义务被罚款后一年内再次被查获的二为一百个以上不提供真实身份信息的用户提供接入服务的三为两百个以上不提供真实身份信息的用户提供信息发布即时通讯等服务的四为不提供真实身份信息的用户提供相关服务该用户涉嫌犯罪被追究刑事责任的五致使公安机关办理刑事案件时无法调取证据或者证据灭失的六其他情节严重的情形五未按规定开展网络安全检测风险评估等活动违法发布网络安全信息法律依据网络安全法第二十六条开展网络安全认证检测风险评估等活动向社会发布系统漏洞计算机病毒网络攻击网络侵入等网络安全信息应当遵守国家有关规定第六十二条违反本法第二十六条规定开展网络安全认证检测风险评估等活动或者向社会发布系统漏洞计算机病毒网络攻击网络侵入等网络安全信息的由有关主管部门责令改正给予警告拒不改正或者情节严重的处一万元以上十万元以下罚款并可以由有关主管部门责令暂停相关业务停业整顿关闭网站吊销相关业务许可证