2022年2月15日，由国家互联网信息办公室等十三部门联合修订发布的《网络安全审查办法》（以下简称《办法》）正式施行。该《办法》将网络平台运营者开展数据处理活动影响或者可能影响国家安全等情形纳入审查范围，并明确掌握超过100万用户个人信息的网络平台运营者赴国外上市必须向网络安全审查办公室申报网络安全审查。这一规定对海外及赴港上市企业，特别是涉及数据处理服务的企业产生了深远影响。本文将解读《办法》的核心要点，分析其对海外及赴港上市企业的具体影响，并提出合规应对建议。

一、《网络安全审查办法》的核心要点

1. 审查对象的扩展

《办法》在原有适用于关键信息基础设施运营者采购网络产品和服务的基础上，将网络平台运营者开展数据处理活动纳入审查范围。这意味着，不仅关键信息基础设施运营者，其他网络平台运营者如果其数据处理活动影响或可能影响国家安全，也可能面临网络安全审查。

1. 赴国外上市的审查要求

《办法》第七条明确规定，掌握超过100万用户个人信息的网络平台运营者赴国外上市，必须向网络安全审查办公室申报网络安全审查。这里的“国外上市”包括赴境外资本市场上市，如美国、香港等。值得注意的是，赴港上市是否属于“国外上市”在《办法》中并未明确，但根据 later 的实践和监管解读，赴港上市同样可能触发审查义务，尤其是涉及大量用户数据的企业。

1. 审查重点

网络安全审查重点评估相关对象或程序是否影响国家安全，包括但不限于：产品和服务的安全性、可控性；数据处理活动是否合法、正当、必要；数据出境是否安全；以及上市可能带来的数据安全风险等。

1. 审查流程与时限

审查流程包括申报、初步审查、特别审查等环节。一般情况下，初步审查在30个工作日内完成，特殊情况可延长15个工作日；特别审查在90个工作日内完成，特殊情况可延长。审查期间，企业需积极配合提供材料。

二、对海外及赴港上市企业的影响

1. 上市时间表与不确定性增加

对于计划赴海外或香港上市的企业，尤其是掌握大量用户数据的互联网平台、金融科技、医疗健康等领域的企业，网络安全审查成为上市前必须面对的合规环节。审查过程可能延长上市时间表，增加不确定性，甚至影响上市估值。例如，某知名出行平台在赴美上市后即遭遇网络安全审查，导致其股价大幅波动并引发后续整改。

1. 数据处理服务的合规成本上升

《办法》要求企业建立完善的数据安全管理制度，加强数据分类分级、出境安全评估、个人信息保护等工作。对于提供数据处理服务的企业（如云服务、大数据分析、人工智能等），需确保其服务符合国家安全要求，这可能涉及技术改造、合规咨询等额外成本。

1. 数据出境限制与本地化要求

《办法》与《数据安全法》《个人信息保护法》形成联动，对数据出境实施严格管理。赴海外上市的企业可能面临数据出境安全评估，甚至被要求将数据存储于境内。对于赴港上市企业，虽然香港属于中国境内，但因其特殊地位，数据跨境流动仍需谨慎评估。
t

1. 市场准入与业务连续性风险

未通过网络安全审查的企业可能面临业务调整、产品下架等风险，影响其市场准入和业务连续性。对于已上市企业，若触发审查且未通过，可能面临监管处罚、投资者诉讼等后果。

三、企业的合规应对建议

1. 提前开展数据安全风险评估

企业应全面梳理自身数据处理活动，识别是否涉及大量个人信息或重要数据，评估数据处理活动对国家安全的影响。对于计划上市的企业，应在上市筹备初期即启动网络安全审查申报准备工作。

1. 建立健全数据安全管理制度

依据《数据安全法》《个人信息保护法》等法律法规，建立数据分类分级、权限管理、安全审计、应急响应等制度，确保数据处理活动合法合规。对于数据处理服务提供商，应加强对客户数据的安全保护，避免成为数据泄露的源头。

1. 审慎规划上市地点与数据出境策略

企业在选择上市地点时，应综合考虑网络安全审查的要求。对于赴港上市企业，虽不直接适用“国外上市”的申报条件，但仍需评估数据出境风险。建议与专业机构合作，制定数据本地化存储和出境安全评估方案。

1. 主动与监管机构沟通

在上市前，企业可主动与网络安全审查办公室等监管机构沟通，了解审查要求和流程，争取指导和支持。对于复杂的跨境数据流动场景，可申请 pre-consultation 以明确合规路径。

1. 加强供应链安全管理

对于依赖第三方数据处理服务的企业，应加强对供应商的安全评估，确保其服务符合国家安全要求。在合同中明确数据安全责任，要求供应商配合网络安全审查。

四、

《网络安全审查办法》的实施标志着我国网络安全审查制度进入新阶段，对海外及赴港上市企业提出了更高的合规要求。企业应将网络安全审查视为上市前的重要合规关卡，提前布局、主动合规，以降低上市风险。随着监管实践的不断丰富，企业需持续关注政策动态，及时调整合规策略，确保在全球化竞争中稳健发展。数据处理服务企业更应发挥专业优势，助力客户构建安全可靠的数据治理体系，共同维护国家网络安全。