再谈美光网络安全审查：审查不通过的后果

洪延青网安寻路人

编者按：

关于中美与国家安全相关的审查机制，本公号发布过以下文章：

今天再次大家分享的公号君对美光网络安全审查一事【关于对美光公司在华销售产品启动网络安全审查的公告】的理解和认识

继上一篇探讨了对美光网络安全审查的性质、审查重点的认识后【关于美光网络安全审查的一些理解和认识】，今天设想一下如果网络安全审查对美光在华销售产品的审查结论是不通过，将对美光公司在中国运营产生的后果。

首先，《网络安全审查办法》的上位法是《中华人民共和国国家安全法》、《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《关键信息基础设施安全保护条例》。同时，《网络安全审查办法》第二十条明确：“当事人违反本办法规定的，依照《中华人民共和国网络安全法》、《中华人民共和国数据安全法》的规定处理。”

其次，由于此次对美光的网络安全审查公告中明确指出，审查的对象是美光“在华销售的产品”，审查的目标是“为保障关键信息基础设施供应链安全，防范产品问题隐患造成网络安全风险”。因此，我们应当着重关注《网络安全法》对网络安全审查方面的规定。

《网络安全法》第三十五条明确规定：“关键信息基础设施的运营者采购网络产品和服务，可能影响国家安全的，应当通过国家网信部门会同国务院有关部门组织的国家安全审查。”显然，如果美光产品的审查结论为不通过，则关键信息基础设施的运营者就无法采购美光的产品。

进而，《网络安全法》第六十五条明确规定，“关键信息基础设施的运营者违反本法第三十五条规定，使用未经安全审查或者安全审查未通过的网络产品或者服务的，由有关主管部门责令停止使用，处采购金额一倍以上十倍以下罚款;对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。”

到此就很明了了，如果美光产品的网络安全审查结论为不通过，中国的关键信息基础设施的运营者将不得购买美光的产品。不光是购买单位要接受处罚，直接负责的人员也将被罚款。

而且再考虑到国家互联网信息办公室于2022年9月对外公布了“关于公开征求《关于修改〈中华人民共和国网络安全法〉的决定（征求意见稿）》意见的通知”中，提出将《网络安全法》第六十五条修改为：“关键信息基础设施的运营者违反本法第三十五条规定，使用未经安全审查或者安全审查未通过的网络产品或者服务的，由有关主管部门责令停止使用，处采购金额一倍以上十倍以下或者上一年度营业额百分之五以下罚款，对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。”

如果在美光的网络安全审查期间，对《网络安全法》的修改正式通过，则对违法采购美光的关键信息基础设施运营者的处罚将可以达到上一年度营业额百分之五。上一次网络安全审查作出的80亿元人民币罚款的事例，应该足以敲响每一个关键信息基础设施运营者的警钟。

根据近期外媒的报道，2022年美光在中国实现33亿美元的销售额，占其去年308亿美元年收入的10%以上。而根据《华尔街日报》3月29日的一篇报道，美光“第二财季的收入比上年同期暴跌53%，至约37亿美元。这是继上一季度下降47%之后，该公司预计在5月结束的本期将下滑57%。根据标普全球市场情报公司(S&P Global Market Intelligence)的数据，内存业务长期以来一直是一个波动较大的行业，但自2001年该行业从互联网崩溃中恢复以来，美光还没有出现过同样程度的持续销售下滑”。

显然，如果美光的网络安全审查结论为不通过，其在中国市场的份额和销售将大幅下滑，其全球范围亏损下滑的趋势将很可能难以扭转。

数据保护官（DPO）社群主要成员是个人信息保护和数据安全一线工作者。他们主要来自于国内头部的互联网公司、安全公司、律所、会计师事务所、高校、研究机构等。在从事本职工作的同时，DPO社群成员还放眼全球思考数据安全和隐私保护的最新动态、进展、趋势。2018年5月，DPO社群举行了第一次线下沙龙。沙龙每月一期，集中讨论不同的议题。目前DPO社群已超过400人。关于DPO社群和沙龙更多的情况如下：

DPO线下沙龙的实录见：

域外数据安全和个人信息保护领域的权威文件，DPO社群的全文翻译：

传染病疫情防控与个人信息保护系列文章

关于数据与竞争政策的翻译和分析：

健康医疗大数据系列文章：

网联汽车数据和自动驾驶的系列文章：

网络空间的国际法适用问题系列文章：

《网络数据安全管理条例（征求意见稿）》系列文章：

《数据安全法》的相关文章包括：

赴美上市的网络、数据安全方面的两国监管乃至冲突方：

个性化广告或行为定向广告（behavioral targeting advertising）系列的文章：

人脸识别系列文章：

内容安全方面的文章如下：

关于健康医疗数据方面的文章有：

第29条工作组/EDPB关于GDPR的指导意见的翻译：

数字贸易专题系列：

关于中国数据出境安全管理制度的文章

美国方面的个人信息保护立法的文章：

关于个人信息安全影响评估的文章如下：

关于印度的数据保护和数据治理政策和技术文件的文章有：

关于欧盟技术主权相关举措的翻译和分析：

关于我国《个人信息保护法》的文章：

关于数据的安全、个人信息保护、不正当竞争等方面的重大案例：

本公号发表过的关于数据要素治理的文章有：

围绕供应链安全，本公众号曾发表文章：

围绕着出口管制，本公众号曾发表文章：

本公号发表过的关于数据执法跨境调取的相关文章：

关于业务场景中数据跨境流动的文章如下：

通过技术增强对个人信息的保护的文章包括：

关于保护网络和信息系统安全的相关文章包括：

关于个人数据和域外国家安全审查之间的关系：

关于人工智能安全风险和监管的文章：

围绕着TIKTOK和WECHAT的总统令，本公号发表了以下文章：

地缘政治与跨国科技公司运营之间的互动影响：

关于LLMs（大型语言模型）的风险和监管，本公号发布过以下文章：

继续滑动看下一个

再谈美光网络安全审查：审查不通过的后果

美国电信行业涉及外国参与的安全审查（一）：基本制度介绍

美国电信行业涉及外国参与的安全审查（二）：国际性的第214节授权

美国电信行业涉及外国参与的安全审查（三）：建立外国参与安全审查的行政令

美国电信行业涉及外国参与的安全审查（四）：FCC对中国企业的陈述理由令

再谈美光网络安全审查：审查不通过的后果