工业和信息化部国家互联网信息办公室公安部关于印发网络产品安全漏洞管理规定的通知工信部联网安号各省自治区直辖市及新疆生产建设兵团工业和信息化主管部门网信办公安厅局各省自治区直辖市通信管理局现将网络产品安全漏洞管理规定予以发布自年月日起施行工业和信息化部国家互联网信息办公室公安部年月日网络产品安全漏洞管理规定第一条为了规范网络产品安全漏洞发现报告修补和发布等行为防范网络安全风险根据中华人民共和国网络安全法制定本规定第二条中华人民共和国境内的网络产品含硬件软件提供者和网络运营者以及从事网络产品安全漏洞发现收集发布等活动的组织或者个人应当遵守本规定第三条国家互联网信息办公室负责统筹协调网络产品安全漏洞管理工作工业和信息化部负责网络产品安全漏洞综合管理承担电信和互联网行业网络产品安全漏洞监督管理公安部负责网络产品安全漏洞监督管理依法打击利用网络产品安全漏洞实施的违法犯罪活动有关主管部门加强跨部门协同配合实现网络产品安全漏洞信息实时共享对重大网络产品安全漏洞风险开展联合评估和处置第四条任何组织或者个人不得利用网络产品安全漏洞从事危害网络安全的活动不得非法收集出售发布网络产品安全漏洞信息明知他人利用网络产品安全漏洞从事危害网络安全的活动的不得为其提供技术支持广告推广支付结算等帮助第五条网络产品提供者网络运营者和网络产品安全漏洞收集平台应当建立健全网络产品安全漏洞信息接收渠道并保持畅通留存网络产品安全漏洞信息接收日志不少于个月第六条鼓励相关组织和个人向网络产品提供者通报其产品存在的安全漏洞第七条网络产品提供者应当履行下列网络产品安全漏洞管理义务确保其产品安全漏洞得到及时修补和合理发布并指导支持产品用户采取防范措施一发现或者获知所提供网络产品存在安全漏洞后应当立即采取措施并组织对安全漏洞进行验证评估安全漏洞的危害程度和影响范围对属于其上游产品或者组件存在的安全漏洞应当立即通知相关产品提供者二应当在日内向工业和信息化部网络安全威胁和漏洞信息共享平台报送相关漏洞信息报送内容应当包括存在网络产品安全漏洞的产品名称型号版本以及漏洞的技术特点危害和影响范围等三应当及时组织对网络产品安全漏洞进行修补对于需要产品用户含下游厂商采取软件固件升级等措施的应当及时将网络产品安全漏洞风险及修补方式告知可能受影响的产品用户并提供必要的技术支持工业和信息化部网络安全威胁和漏洞信息共享平台同步向国家网络与信息安全信息通报中心国家计算机网络应急技术处理协调中心通报相关漏洞信息鼓励网络产品提供者建立所提供网络产品安全漏洞奖励机制对发现并通报所提供网络产品安全漏洞的组织或者个人给予奖励第八条网络运营者发现或者获知其网络信息系统及其设备存在安全漏洞后应当立即采取措施及时对安全漏洞进行验证并完成修补第九条从事网络产品安全漏洞发现收集的组织或者个人通过网络平台媒体会议竞赛等方式向社会发布网络产品安全漏洞信息的应当遵循必要真实客观以及有利于防范网络安全风险的原则并遵守以下规定一不得在网络产品提供者提供网络产品安全漏洞修补措施之前发布漏洞信息认为有必要提前发布的应当与相关网络产品提供者共同评估协商并向工业和信息化部公安部报告由工业和信息化部公安部组织评估后进行发布二不得发布网络运营者在用的网络信息系统及其设备存在安全漏洞的细节情况三不得刻意夸大网络产品安全漏洞的危害和风险不得利用网络产品安全漏洞信息实施恶意炒作或者进行诈骗敲诈勒索等违法犯罪活动四不得发布或者提供专门用于利用网络产品安全漏洞从事危害网络安全活动的程序和工具五在发布网络产品安全漏洞时应当同步发布修补或者防范措施六在国家举办重大活动期间未经公安部同意不得擅自发布网络产品安全漏洞信息七不得将未公开的网络产品安全漏洞信息向网络产品提供者之外的境外组织或者个人提供八法律法规的其他相关规定第十条任何组织或者个人设立的网络产品安全漏洞收集平台应当向工业和信息化部备案工业和信息化部及时向公安部国家互联网信息办公室通报相关漏洞收集平台并对通过备案的漏洞收集平台予以公布鼓励发现网络产品安全漏洞的组织或者个人向工业和信息化部网络安全威胁和漏洞信息共享平台国家网络与信息安全信息通报中心漏洞平台国家计算机网络应急技术处理协调中心漏洞平台中国信息安全测评中心漏洞库报送网络产品安全漏洞信息第十一条从事网络产品安全漏洞发现收集的组织应当加强内部管理采取措施防范网络产品安全漏洞信息泄露和违规发布第十二条网络产品提供者未按本规定采取网络产品安全漏洞补救或者报告措施的由工业和信息化部公安部依据各自职责依法处理构成中华人民共和国网络安全法第六十条规定情形的依照该规定予以处罚第十三条网络运营者未按本规定采取网络产品安全漏洞修补或者防范措施的由有关主管部门依法处理构成中华人民共和国网络安全法第五十九条规定情形的依照该规定予以处罚第十四条违反本规定收集发布网络产品安全漏洞信息的由工业和信息化部公安部依据各自职责依法处理构成中华人民共和国网络安全法第六十二条规定情形的依照该规定予以处罚第十五条利用网络产品安全漏洞从事危害网络安全活动或者为他人利用网络产品安全漏洞从事危害网络安全的活动提供技术支持的由公安机关依法处理构成中华人民共和国网络安全法第六十三条规定情形的依照该规定予以处罚构成犯罪的依法追究刑事责任第十六条本规定自年月日起施行