《电力行业网络安全管理办法》和《电力行业网络安全等级保护管理办法》正式发布

12月12日，国家能源局正式印发《电力行业网络安全管理办法》 和《电力行业网络安全等级保护管理办法》，要求加强电力行业网络安全监督管理，规范电力行业网络安全工作。

据悉，这2个管理办法自发布之日起施行，有效期5年。

在前期征求意见的基础上，修订后的《电力行业网络安全管理办法》共计5章35条，目标是建立健全网络安全保障体系和工作责任体系，提高网络安全防护能力，保障电力系统安全稳定运行和电力可靠供应。

该办法明确，电力企业是本单位网络安全的责任主体，负责本单位的网络安全工作。 电力企业主要负责人是本单位网络安全的第一责任人。电力企业应当建立健全网络安全管理、评价考核制度体系，成立工作领导机构，明确责任部门，设立专职岗位，定义岗位职责，明确人员分工和技能要求，建立健全网络安全责任制。

该办法要求，电力行业关键信息基础设施运营者的主要负责人对关键信息基础设施安全保护负总责，要明确一名领导班子成员（非公有制经济组织运营者明确一名核心经营管理团队成员）作为首席网络安全官，专职管理或分管关键信息基础设施安全保护工作；为每个关键信息基础设施明确一名安全管理责任人；设立专门安全管理机构，确定关键岗位及人员，并对机构负责人和关键岗位人员进行安全背景审查。

办法还明确，电力企业应依法依规开展关键信息基础设施认定、报送工作，关键信息基础设施发生重大变化，可能影响其认定结果的，应及时将相关情况报告国家能源局和地方能源主管部门；应当按照电力监控系统安全防护规定、国家网络安全等级保护制度、关键信息基础设施安全保护制度、数据安全保护制度及网络安全审查工作机制的要求，对本单位的网络与信息系统进行安全保护，并将网络安全纳入安全生产管理体系。应当选用符合国家有关规定、满足网络安全要求的信息技术产品和服务，开展信息系统安全建设或改建工作。接入生产控制大区的涉网安全产品需经电力调度机构同意。

《电力行业网络安全等级保护管理办法》明确，本办法所称网络是指由计算机或者其他信息终端及相关设备组成的按照一定的规则和程序对信息进行收集、存储、传输、交换、处理的系统，包括电力监控系统、管理信息系统及通信网络设施。

电力企业依照国家和电力行业相关法律法规和规范性文件，履行网络安全等级保护的义务和责任。电力行业网络安全等级保护坚持分等级保护、突出重点、积极防御、综合防范的原则。

根据电力行业网络在国家安全、经济建设、社会生活中的重要程度，以及一旦遭到破坏、丧失功能或者数据被篡改、泄露、丢失、损毁后，对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等因素，电力行业网络划分为五个安全保护等级：

第一级，受到破坏后，会对相关公民、法人和其他组织的合法权益造成一般损害，但不危害国家安全、社会秩序和公共利益。

第二级，受到破坏后，会对相关公民、法人和其他组织的合法权益造成严重损害或特别严重损害，或者对社会秩序和公共利益造成危害，但不危害国家安全。

第三级，受到破坏后，会对社会秩序和公共利益造成严重危害，或者对国家安全造成危害。

第四级，受到破坏后，会对社会秩序和公共利益造成特别严重危害，或者对国家安全造成严重危害。

第五级，受到破坏后，会对国家安全造成特别严重危害。

该办法要求，电力企业应当在网络规划设计阶段，依据《信息安全技术 网络安全等级保护定级指南》（GB/T 22240）等国家标准规范和电力行业网络安全等级保护定级指南，确定定级对象（网络）及其安全保护等级，并在网络功能、服务范围、服务对象和处理的数据等发生重大变化时，及时申请变更其安全保护等级。