《公路水路关键信息基础设施安全保护管理办法》已于2023年4月14日经第8次部务会议通过，现予公布，自2023年6月1日起施行。
第一条为保障公路水路关键信息基础设施安全，维护网络安全，根据《中华人民共和国网络安全法》、《关键信息基础设施安全保护条例》等法律、行政法规，制定本办法。
前款所称公路水路关键信息基础设施是指在公路水路领域，一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生和公共利益的重要网络设施、信息系统等。
第三条交通运输部负责全国公路水路关键信息基础设施安全保护和监督管理。对在全国范围运营以及其他经交通运输部评估明确由部管理的公路水路关键信息基础设施（以下统称部级设施），由交通运输部具体实施安全保护和监督管理工作。
省级人民政府交通运输主管部门按照职责对本行政区域内运营的公路水路关键信息基础设施（以下统称省级设施）具体实施安全保护和监督管理。
第四条公路水路关键信息基础设施安全保护坚持强化和落实公路水路关键信息基础设施运营者（以下简称运营者）主体责任，加强和规范交通运输主管部门监督管理，充分的发挥社会各方面的作用，共同保护公路水路关键信息基础设施安全。
第五条任何个人和组织不得实施非法侵入、干扰、破坏公路水路关键信息基础设施的活动，不得危害公路水路关键信息基础设施安全。
第六条交通运输部负责制定和修改公路水路关键信息基础设施认定规则，并报国务院公安部门备案。
（二）网络设施、信息系统等是否存储处理国家核心数据，以及网络设施、信息系统等一旦遭到破坏、丧失功能或者数据泄露可能带来的危害程度；
第七条交通运输部根据认定规则负责组织认定公路水路关键信息基础设施，形成公路水路关键信息基础设施清单，及时将认定结果通知运营者，并通报国务院公安部门。
第八条公路水路关键信息基础设施发生改建、扩建、运营者变更等较大变化，可能会影响其认定结果的，运营者应当及时将相关情况报告交通运输部。交通运输部自收到报告之日起3个月内完成重新认定，更新公路水路关键信息基础设施清单，并通报国务院公安部门。
第九条省级人民政府交通运输主管部门应当按照交通运输部的有关要求，负责组织筛选识别省级行政区域内运营的公路水路关键信息基础设施待认定对象，并研究提出初步认定意见报交通运输部。
第十条新建、改建、扩建或者升级改造公路水路关键信息基础设施的，安全保护的方法应当与公路水路关键信息基础设施同步规划、同步建设、同步使用。
第十一条运营者应当建立完整网络安全保护制度和责任制，保障人力、财力、物力投入。运营者的主要负责人对公路水路关键信息基础设施安全保护负总责，领导关键信息基础设施安全保护和重大网络安全事件处置工作，组织研究解决重大网络安全问题。
运营者应当明确管理本单位公路水路关键信息基础设施安全保护工作的具体负责人。
第十二条运营者应当设置专门安全管理机构，明确负责人和关键岗位人员并进行安全背景审查和安全技能培训，符合标准要求的人员方能上岗。鼓励网络安全专门人才从事公路水路关键信息基础设施安全保护工作。
运营者应当保障专门安全管理机构的人员配备，开展与网络安全与信息化有关的决策应当有专门安全管理机构人员参与。
专门安全管理机构的负责人和关键岗位人员的身份、安全背景等发生明显的变化或者必要时，运营者应当重新进行安全背景审查。
第十三条运营者应当保障专门安全管理机构的运行经费，并依法依规严格规范经费使用和管理，防止资金挤占挪用。
重要网络设施和安全设备达到有效期的，运营者应当优先保障设施设备更新经费。
第十四条运营者应当加强公路水路关键信息基础设施供应链安全管理，应当采购依法通过检验测试认证的网络关键设备和网络安全专用产品，优先采购安全可信的网络产品和服务；采购网络产品和服务可能会影响国家安全的，应当依照国家网络安全规定通过安全审查。
第十五条运营者应当加强公路水路关键信息基础设施个人隐私信息和数据安全保护，将在我国境内运营中收集和产生的个人隐私信息和重要数据存储在境内。因业务需要，确需向境外提供数据的，应当依照国家相关规定进行安全评估；法律、行政法规另有规定的，依照其规定执行。
运营者应当在网络安全等级保护的基础上，对公路水路关键信息基础设施实行重点保护，采取技术保护的方法和其他必要措施，应对网络安全事件，防范网络攻击和违法犯罪活动，保障公路水路关键信息基础设施安全稳定运行，维护数据的完整性、保密性和可用性。
第十七条运营者应当自行或委托网络安全服务机构对公路水路关键信息基础设施每年至少进行一次网络安全检测和风险评估，对发现的安全问题及时整改。部级设施的运营者应当直接向交通运输部报送相关情况；省级设施的运营者应当将相关情况报经省级人民政府交通运输主管部门审核后报送交通运输部。
第十八条法律、行政法规和国家相关规定要求使用商用密码进行保护的公路水路关键信息基础设施，其运营者应当使用商用密码进行保护，自行或者委托商用密码检测机构每年至少开展一次商用密码应用安全性评估。
商用密码应用安全性评估应当与公路水路关键信息基础设施安全检测评估、网络安全等级测评制度相衔接，避免重复评估、测评。
第十九条运营者应当加强保密管理，按照国家有关法律法规与网络产品和服务提供者等必要人员签订安全保密协议，明确提供者等必要人员的技术支持和安全保密义务与责任，并对义务与责任履行情况进行监督。
第二十条运营者应当制定网络安全教育培训制度，定期开展网络安全教育培训和技能考核。教育培训的具体内容和学时应当遵守国家有关规定。
第二十一条运营者应当建设本单位网络安全监测系统，对公路水路关键信息基础设施开展全天候监测和值班值守。
运营者应当加强本单位网络安全信息通报预警力量建设，依托国家网络与信息安全信息通报机制，及时收集、汇总、分析各方网络安全信息，组织开展网络安全威胁分析和态势研判，及时通报预警和处置。
第二十二条运营者应当依照国家有关要求制定网络安全事件应急预案，建立网络安全事件应急处置机制，加强应急力量建设和应急资源储备，每年至少开展一次应急演练，并针对应急演练发现的突出问题和漏洞隐患，及时整改加固，完善保护措施。
第二十三条部级设施发生重大网络安全事件或者发现重大网络安全威胁时，运营者应当直接向交通运输部、公安机关报告，并立即启动本单位网络安全事件应急预案。
省级设施发生重大网络安全事件或者发现重大网络安全威胁时，运营者应当立即向省级人民政府交通运输主管部门、公安机关报告，并启动本单位网络安全事件应急预案。省级人民政府交通运输主管部门应当将相关情况及时报告交通运输部。
公路水路关键信息基础设施发生特别重大网络安全事件或者发现特别重大网络安全威胁时，交通运输部应当在收到报告后，及时向国家网信部门、国务院公安部门报告。
第二十四条交通运输部应当制定公路水路关键信息基础设施安全规划，明确保护目标、基本要求、工作任务、具体措施。
第二十五条交通运输部应当建立公路水路关键信息基础设施网络安全监测预警制度，充分利用网络安全信息共享机制，及时掌握公路水路关键信息基础设施运行状况、安全态势，预警通报网络安全威胁和隐患，指导做好安全防范工作。
省级人民政府交通运输主管部门应当及时掌握省级设施的运行状况、安全态势，并组织做好预警通报和安全防范工作。
第二十六条交通运输部应当按照国家网络安全事件应急预案的要求，建立健全公路水路网络安全事件应急预案，定期组织应急演练；指导运营者做好网络安全事件应对处置，并根据需要组织提供技术支持与协助。
省级人民政府交通运输主管部门应当依据前款规定组织做好本行政区域内公路水路网络安全事件应急预案、应急演练相关工作，并将应急预案、应急演练情况及时报告交通运输部。省级人民政府交通运输主管部门应当指导省级设施运营者做好网络安全事件应对处置，并根据需要组织提供技术支持与协助。
第二十七条交通运输主管部门应当定期组织开展公路水路关键信息基础设施网络安全检查检测，指导监督运营者建立问题台账，制定整改方案，及时整改安全隐患、完善安全措施。省级人民政府交通运输主管部门应当将检查检测情况及时报告交通运输部。
公路水路关键信息基础设施网络安全检查检测应当在国家网信部门的统筹协调下开展，避免不必要的检查和交叉重复检查。检查工作不得收取费用，不得要求被检查单位购买指定品牌或者指定生产、销售单位的产品和服务。
第二十八条运营者对交通运输主管部门开展的网络安全检查检测工作，以及公安、国家安全、保密行政管理、密码管理等有关部门依法开展的公路水路关键信息基础设施网络安全检查工作应当予以配合，并如实提供网络安全管理制度、重要资产清单、网络日志等必要的资料。
第二十九条交通运输主管部门按照国家相关规定，对网络安全工作不力、重大安全问题隐患久拖不改，或者存在重大网络安全风险、出现重大网络安全事件的运营者，约谈单位负责人，并加大网络安全监督检查力度。
第三十条交通运输主管部门、网络安全服务机构及其工作人员对于在公路水路关键信息基础设施安全保护过程中获取的信息，只能用于维护网络安全，并严格按照有关法律、行政法规的要求确保信息安全，不得泄露、出售或者非法向他人提供。
第三十一条运营者违反本办法规定的，由交通运输主管部门按照《关键信息基础设施安全保护条例》等法律、行政法规的规定予以处罚。
第三十二条交通运输主管部门及其工作人员存在以下情形之一的，按照《关键信息基础设施安全保护条例》等法律、行政法规的规定予以处分：
（一）未履行公路水路关键信息基础设施安全保护和监督管理职责或者玩忽职守、滥用职权、徇私舞弊的；
（二）在开展公路水路关键信息基础设施网络安全检查工作中收取费用，或者要求被检查单位购买指定品牌或者指定生产、销售单位的产品和服务的；
（三）将在公路水路关键信息基础设施安全保护工作中获取的信息用于其他用途，或者泄露、出售、非法向他人提供的。