國家能源局有關負責同志就《能源行業(yè)數據安全管理辦法（試行）》答記者問

國家能源局近日印發(fā)《能源行業(yè)數據安全管理辦法（試行）》（以下簡稱《管理辦法》）。國家能源局有關負責同志接受采訪，回答記者提問。

問：《管理辦法》出臺的背景和目的是什么？

答：2021年9月1日，《中華人民共和國數據安全法》正式施行，其中第六條提出“工業(yè)、電信、交通、金融、自然資源、衛(wèi)生健康、教育、科技等主管部門承擔本行業(yè)、本領域數據安全監(jiān)管職責”。目前，工業(yè)、電信、自然資源等主管部門均已出臺相應管理辦法。為規(guī)范能源行業(yè)數據處理活動，加強數據安全管理，防范數據安全風險，促進數據開發(fā)利用，保護個人、組織的合法權益，維護國家安全和發(fā)展利益，國家能源局制定了《管理辦法》。

問：《管理辦法》出臺的意義是什么？

答：《管理辦法》是能源行業(yè)落實《中華人民共和國數據安全法》的首個規(guī)范性文件，明確了國家能源主管部門、省級能源主管部門、能源數據處理者的基本職責和權利義務，對能源行業(yè)重要數據、核心數據的精準識別和安全保護提出了明確要求，為做好能源行業(yè)數據安全工作奠定了制度基礎。

問：《管理辦法》的主要內容有哪些？

答：《管理辦法》共六章37條。第一章總則，包括目的、適用范圍、基本定義。第二章能源行業(yè)數據安全基本職責，明確國家能源局、省級能源管理部門、能源央企、數據處理者在數據安全工作領域的職責要求，以及在數據目錄報送、審核、更新等環(huán)節(jié)職責要求。第三章能源行業(yè)數據保護要求，具體提出了能源行業(yè)重要數據、核心數據在處理、出境、跨主體提供等方面的保護要求。第四章能源行業(yè)數據安全監(jiān)測預警和應急處置，包括對能力建設、預警報告、應急處理、事件報告和處置總結報告等方面的要求。第五章監(jiān)督檢查和法律責任，包括監(jiān)督檢查、約談整改和處罰等。第六章附則，包括與個人信息保護相關要求相銜接，解釋和施行時間等。

問：《管理辦法》適用于哪些數據的管理？

答：《管理辦法》適用于在中華人民共和國境內開展能源行業(yè)數據處理活動及其安全監(jiān)督管理。一是聚焦能源行業(yè)數據，《管理辦法》明確，能源行業(yè)數據是指在開展能源活動中收集和產生的數據。能源活動主要包括與能源相關的規(guī)劃、設計、建設、生產、儲運、消費、科研等。二是聚焦非密數據，《管理辦法》明確，能源行業(yè)數據處理活動如涉及國家秘密或由其匯聚關聯后屬于國家秘密事項，相關能源數據處理者應遵守《中華人民共和國保守國家秘密法》等法律、行政法規(guī)的規(guī)定。三是聚焦能源行業(yè)主管部門職責，考慮城市燃氣、供熱、加油站等能源活動不在國家能源局職責范圍內，《管理辦法》明確，與這些領域相關的數據處理活動應遵守有關主管部門規(guī)定。

問：為加強能源行業(yè)數據安全管理，《管理辦法》提出建立哪些制度機制？

答：一是建立能源行業(yè)數據分類分級保護制度，《管理辦法》將不涉及國家秘密的能源行業(yè)數據分為三級：一般數據、重要數據、核心數據，并對重要數據、核心數據的保護提出相應技術要求。

二是建立重要數據目錄機制，依據《中華人民共和國數據安全法》，在國家數據安全工作協調機制統籌協調下，國家能源局負責建立并動態(tài)更新能源行業(yè)重要數據目錄，全面了解掌握重要數據基本信息、存儲地點、安全防護等情況。

三是建立數據安全風險評估機制，《管理辦法》要求重要數據、核心數據處理者每年至少開展一次風險評估，重要數據出境、核心數據跨主體轉移等依法依規(guī)開展風險評估。

四是建立能源行業(yè)數據安全監(jiān)測預警和應急處置機制，《管理辦法》明確了國家能源主管部門、省級能源主管部門、數據處理者在監(jiān)測預警和應急處置工作中的相應職責。

問：《管理辦法》規(guī)定能源數據處理者有哪些責任義務？

答：能源行業(yè)重要數據和能源行業(yè)核心數據的處理者對自身的數據安全負主體責任，應依據《中華人民共和國數據安全法》和《管理辦法》履行數據安全保護責任義務。一是依照能源行業(yè)數據分類分級標準規(guī)范，識別并編制本單位能源行業(yè)重要數據目錄，按照數據載體所在地省級能源主管部門要求報送重要數據目錄，發(fā)生重大變化的，應在三個月內重新按程序報送。二是建立健全本單位數據安全管理制度，明確數據全生命周期各環(huán)節(jié)的管理要求等。三是應采取必要數據安全技術手段，并落實網絡安全等級保護、關鍵信息基礎設施安全保護、密碼保護和保密等制度要求，確保能源行業(yè)重要數據、核心數據處于有效保護和合法利用的狀態(tài)。四是應自行或者委托具有風險評估能力的第三方評估機構，對本單位數據處理活動每年至少開展一次風險評估，及時整改風險問題，并按省級能源主管部門要求報送風險評估報告。五是對涉及重要數據出境、核心數據跨主體轉移，應按有關規(guī)定要求申請風險評估。六是發(fā)現數據安全缺陷、漏洞等風險時，應立即采取補救措施；發(fā)生數據安全事件時，應立即采取處置措施，按照規(guī)定及時告知相關用戶并向省級能源主管部門報告。

問：能源數據處理者如何識別重要數據和核心數據？

答：《管理辦法》明確，能源行業(yè)重要數據是指特定領域、特定群體、特定區(qū)域或達到一定精度和規(guī)模的能源行業(yè)數據，一旦被泄露或篡改、損毀，可能直接危害國家安全、經濟運行、社會穩(wěn)定、公共健康和安全。僅影響組織自身或公民個體的能源行業(yè)數據，一般不作為能源行業(yè)重要數據。能源行業(yè)核心數據是指對領域、群體、區(qū)域具有較高覆蓋度或達到較高精度、較大規(guī)模、一定深度的能源行業(yè)重要數據，一旦被非法使用或共享，可能直接影響政治安全。主要包括：關系國家安全重點領域的數據，關系國民經濟命脈、重要民生和重大公共利益的數據，經評估確定的其他能源行業(yè)數據。后續(xù)，國家能源局會根據《管理辦法》規(guī)定，組織制定和發(fā)布能源行業(yè)數據分類分級標準規(guī)范，便于能源數據處理者精準識別并保護能源行業(yè)重要數據和核心數據。

問：《管理辦法》施行時間有哪些考慮？

答：《管理辦法》自2026年7月1日起施行，有效期5年。《管理辦法》發(fā)布后，還將組織制定和發(fā)布能源行業(yè)數據分類分級標準規(guī)范，數據處理者應對照識別重要數據、核心數據并做好保護。考慮政策制定出臺、提升數據安全保護水平需要一定時間，《管理辦法》施行日期定為2026年7月1日。