01 · 法律层义务详解
1.1 四部法律的云上合规要点
| 法律 | 与云上合规直接相关的核心条款要点 | 云上落地关注点 |
|---|---|---|
| 《网络安全法》 （2017.6.1施行） | 第21条：网络日志留存不少于六个月、采取监测记录措施；第31条：关基在等保基础上实行重点保护；第34条：关基采购网络产品服务可能影响国家安全的应通过安全审查；第37条：关基在境内运营中收集产生的个人信息与重要数据境内存储，确需出境的按国家规定评估；第59条：未履行等保义务的法律责任 | 云上日志架构（留存时长、不可篡改、时间同步）；关基上云的境内存储判定；采购云服务的安全审查触发判断 |
| 《数据安全法》 （2021.9.1施行） | 第21条：国家建立数据分类分级保护制度；重要数据目录管理；第30条：重要数据处理者明确数据安全负责人与管理机构；第31条：重要数据出境安全管理适用国家网信部门规定；第45条：拒不整改或大量数据泄露的法律责任 | 云上数据资产分类分级落地；重要数据识别与目录对接；云上数据活动（收集、存储、使用、加工、传输、提供、公开）全链条管控 |
| 《个人信息保护法》 （2021.11.1施行） | 第6条：目的明确、最小必要；第13条：处理的合法性基础；第21条：委托处理约定与监督；第23条：对外提供的告知与单独同意；第38条：个人信息出境路径（评估/认证/标准合同）；第51条：安全保护措施清单；第66条：法律责任（情节严重可处营业额5%以下罚款） | 云服务商作为受托人/独立处理者的角色界定；云上同意管理、告知实现；出境场景判断；多人格权（更正、删除、可携带）在云上的技术支持 |
| 《密码法》 （2020.1.1施行） | 第27条：商用密码产品与服务使用要求；关键信息基础设施运营者使用商用密码开展密评（第27条第三款）；第37条：密评制度与不合格处置 | 云上系统密评范围判定（等保三级及以上系统原则上应开展）；密码应用“四层面”技术方案；与云平台密码能力的责任衔接 |
要点提示：四部法律在云场景下形成“网络—数据—个人信息—密码”四条平行义务线：云上系统可能同时触发四条线的全部义务（等保三级+含重要数据+处理大规模个人信息+关基），合规规划应先行绘制义务交集图，避免按单线制度重复建设与遗漏。
02 · 行政法规与部门规章
2.1 云计算与数据出境专项制度
| 制度文件 | 施行时间 | 核心内容要点 |
|---|---|---|
| 《关键信息基础设施安全保护条例》 | 2021.9.1 | 确立关基认定规则（由保护工作部门认定并通知）；运营者主要负责人负总责；采购网络产品和服务应预判国家安全风险、申报安全审查；境内存储义务（第31条）；年度检测评估（第32条） |
| 《云计算服务安全评估办法》 | 2019.9.1 | 四部门联合规章；云服务商申报、专家组评估、评估结果发布；评估重点包括云平台基本安全能力、供应链管理、客户数据可迁移性等；党政机关与关基运营者采购的前置条件（详见第4页） |
| 《网络安全审查办法》 （2020年公布，2022年修订） | 修订版2022.2.15施行 | 两类触发：①关基运营者采购网络产品和服务（含云计算服务）；②网络平台运营者开展影响或可能影响国家安全的数据处理活动（含赴国外上市申报）；申报受理后审查时限、特别审查程序；掌握超100万用户个人信息的网络平台运营者赴国外上市必须申报审查（第7条） |
| 《数据出境安全评估办法》 | 2022.9.1 | 出境安全评估申报情形：重要数据出境；CIIO与处理100万人以上个人信息者出境；自上年1月1日起累计向境外提供10万人个人信息或1万人敏感个人信息（注：该申报门槛已由2024年《促进和规范数据跨境流动规定》上调为累计100万人个人信息或1万人敏感个人信息，现行适用以《规定》为准，详见第7页）；自上年1月1日起累计向境外提供10万人个人信息或1万人敏感个人信息；申报材料和评估要点（法律文件、数据清单、安全保障、境外接收方责任） |
| 《个人信息出境标准合同办法》 | 2023.6.1 | 不适用安全评估情形时，个人信息处理者可与境外接收方订立标准合同并备案；合同必备条款（处理目的、双方义务、数据安全事件处置、审计权利等）；个人信息保护影响评估（PIA）为前置义务 |
| 《促进和规范数据跨境流动规定》 | 2024年发布施行 | 豁免情形：不含个人信息与重要数据的出境；履行合同确需出境的少量个人信息（不含敏感个人信息累计不满10万人）；非关键信息基础设施运营者出境不满10万人个人信息免申报等；自由贸易试验区负面清单制度授权 |
| 《网络数据安全管理条例》 | 2025.1.1 | 网络数据安全管理行政法规：细化个人信息、重要数据保护义务；明确网络数据处理者义务与监管部门职责；数据出境管理细化衔接（豁免情形整合）；大型平台义务（第42条“重要数据年度风险评估报告”等） |
触发判断要点：云服务商自身是否构成关基或CIIO、客户系统是否被认定为关基，直接改变出境、采购审查与密评义务的适用集合。判断顺序应为：①系统是否在关基目录内 → ②是否处理重要数据 → ③个人信息规模是否达到出境申报阈值 → ④是否使用境外云/境外区域。四问完毕后义务集合即唯一确定。
03 · 国家标准层图谱
| 标准 | 状态 | 在本课题中的角色 |
|---|---|---|
| GB/T 22239-2019 网络安全等级保护基本要求 | 2019.12.1实施 | 等保2.0基线；第8章含云计算安全扩展要求（第3页逐域解读） |
| GB/T 28448-2019 网络安全等级保护测评要求 | 2019.12.1实施 | 测评方法学依据：测评单元、测评对象、测评实施（访谈/核查/测试）的输出要求 |
| GB/T 25070-2019 网络安全等级保护安全设计技术要求 | 2019.12.1实施 | 新建/改建云上系统的安全设计输入；云计算安全设计扩展要求 |
| GB/T 22240-2020 信息安全技术 网络安全等级保护定级指南 | 2020.11.1实施 | 定级的方法学依据：定级对象、受侵害客体与侵害程度的判定流程，云上系统定级备案的直接操作指引（第3页） |
| GB/T 31167-2014 云计算服务安全指南 | 现行 | 云计算服务安全使用框架：角色责任、服务生命周期安全、数据迁移与退出 |
| GB/T 31168-2014 云计算服务安全能力要求 | 现行 | 云服务商能力评估标尺：一般级/增强级两档要求（第4页详解） |
| GB/T 34942-2017 云计算服务安全能力评估方法 | 现行 | 31168的配套评估方法：评估指标、测评方式与结果判定 |
| GB/T 39786-2021 信息系统密码应用基本要求 | 2021.10.1实施 | 密评技术基线：四个层面密码应用要求+密钥管理+安全管理（第6、8页落地） |
| GB/T 43697-2024 数据安全技术 数据分类分级规则 | 2024.10.1实施 | 数据分类分级的国家规则：先按行业领域分类、再分级（核心数据/重要数据/一般数据）（第7页落地） |
| GB/T 35273-2020 信息安全技术 个人信息安全规范 | 现行 | 个人信息处理实务的国家推荐指引：告知同意、委托处理、共享转让、安全事件的细化操作要求 |
04 · 合规责任主体矩阵
云上合规涉及五类责任主体，义务错位是实践中最常见的合规失效根源。矩阵按“义务域×主体”标注主要责任（●）、配合责任（○）：
| 义务域 | 云服务商 | 云上系统运营者 | 测评机构 | 主管部门 |
|---|---|---|---|---|
| 云平台等保备案与云评估 | ● | ○（采购查验） | ○ | ● |
| 云上业务系统等保定级/备案/测评 | ○（提供能力证明） | ● | ●（实施测评） | ●（监管） |
| 云上日志留存与审计 | ○（平台审计日志） | ●（业务日志+账号日志） | — | ○ |
| 数据分类分级与重要数据保护 | ○（数据托管场景） | ● | — | ●（目录确定） |
| 个人信息保护（告知/同意/委托） | ○（受托处理） | ● | — | ● |
| 商用密码应用与密评 | ○（云密码服务） | ●（系统密码应用） | ●（密评实施） | ●（管理） |
| 数据出境合规 | ○（境外区域能力） | ●（申报/订立合同） | — | ●（评估与批准） |
委托处理关系要点：依据《个人信息保护法》第21条，云上业务系统的个人信息处理者是客户（云上系统运营者），云服务商在约定范围内为受托人；但云服务商对自身平台运营所必需的日志、安全分析数据又构成独立处理者——同一主体双重角色并存，合同必须分别界定两类数据处理边界。
05 · 云上系统运营者核心义务清单
| # | 义务 | 履行要点 | 主要证据形态 |
|---|---|---|---|
| 1 | 定级备案 | 云上业务系统按GB/T 22240-2020《信息安全技术 网络安全等级保护定级指南》确定等级（二级/三级常见），二级以上到公安机关备案 | 定级报告、备案证明 |
| 2 | 安全建设整改 | 按GB/T 22239-2019（含云扩展）差距整改；新建系统参考GB/T 25070-2019设计 | 建设方案、整改记录、基线核查报告 |
| 3 | 等级测评 | 三级系统每年至少一次测评，二级建议定期测评；选择具备资质的测评机构 | 测评报告 |
| 4 | 日志留存 | 网络日志留存不少于六个月；云上环境需覆盖控制面审计日志与业务日志 | 日志架构说明、留存策略配置、抽样审计记录 |
| 5 | 密码应用 | 按GB/T 39786-2021开展方案设计、改造与密评 | 密码应用方案、密评报告 |
| 6 | 数据分类分级 | 按GB/T 43697-2024及行业细则对云上数据分类分级，重要数据纳入目录管理 | 数据资产清单、分级台账、重要数据目录对接记录 |
| 7 | 个人信息保护 | 告知同意、最小必要、委托处理协议、PIA、权利响应机制 | 隐私政策、同意记录、委托处理协议、PIA报告 |
| 8 | 出境合规 | 适用情形判断，选择评估/标准合同/认证路径之一并履行申报或备案 | 出境申报回执/标准合同备案/认证证书 |
| 9 | 安全事件应急 | 应急预案、演练、事件报告（《网络安全法》第25条，按照规定向主管部门报告） | 预案、演练记录、事件报告存档 |
| 10 | 供应链与采购安全 | 采购云服务核验云评估结果；采购可能受影响产品服务时预判国家安全风险 | 服务商评估结果查验记录、采购安全审查材料 |
06 · 义务违反情形与执法依据
| 典型违反情形 | 执法依据 | 责任形态 |
|---|---|---|
| 云上系统未定级备案、未开展等保测评 | 《网络安全法》第59条 | 责令改正、警告；拒不改正处1万—10万元罚款，直接责任人5千—5万元罚款 |
| 关基运营者采购未经安全评估的云计算服务 | 《云计算服务安全评估办法》；《网络安全审查办法》 | 采购合规性追责；可能被责令停止使用并整改 |
| 网络日志留存不足六个月 | 《网络安全法》第21条、第59条 | 同上行政处罚框架 |
| 违法向境外提供重要数据 | 《数据安全法》第46条；《数据出境安全评估办法》 | 警告、没收违法所得、罚款（5万—50万元，拒不改正或大量泄露50万—500万元），责令停业整顿、吊销许可 |
| 侵害个人信息权益（无告知同意、超范围处理） | 《个人信息保护法》第66条 | 责令改正、警告、没收违法所得；拒不改正处100万元以下罚款；情节严重处5千万元以下或上一年度营业额5%以下罚款，并可责令暂停业务、停业整顿、吊销许可 |
| 未按要求开展密评或密评不合格未整改 | 《密码法》第37条 | 责令改正、警告；拒不改正或导致危害的罚款并追责 |
说明：上表罚款区间以法律条文公布文本为准，执法实践中具体裁量参考主管部门指导性案例。企业合规投入的合理量级应参照“最高罚款+停业损失+声誉成本”三者之和设定，而非仅对标罚款下限。
本节参考来源（第2页）
以下均为真实可查的权威来源（中国政府网、中国网信网、国家标准全文公开系统），条款编号以公布文本为准。
《网络安全法》第21、31、34、37、59条；《数据安全法》第21、30、31、45条；《个人信息保护法》第21、38、51、66条；《密码法》第27、37条：中国政府网。
《关键信息基础设施安全保护条例》（国务院令第745号，2021年9月1日施行）、《网络数据安全管理条例》（2025年1月1日施行）：中国政府网。
《网络安全审查办法》（2022年修订版，国家网信办等13部门联合修订发布）第7条；中国网信网。
《数据出境安全评估办法》（国家网信办令第11号，2022年9月1日施行）；《个人信息出境标准合同办法》（国家网信办令第13号，2023年6月1日施行）；《促进和规范数据跨境流动规定》（2024年发布）：中国网信网。
GB/T 22239-2019、GB/T 28448-2019、GB/T 25070-2019、GB/T 31167-2014、GB/T 31168-2014、GB/T 34942-2017、GB/T 39786-2021、GB/T 43697-2024、GB/T 35273-2020：国家标准全文公开系统。