第三章  安全保护
 
第十五条  计算机信息系统实行安全等级保护制度。
计算机信息系统安全保护等级应当根据信息系统在国家安全、经济建设、社会生活中的重要程度，信息系统遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等因素确定。
信息系统安全保护等级分为五级：
第一级，信息系统受到破坏后，可能对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。
第二级，信息系统受到破坏后，可能对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。
第三级，信息系统受到破坏后，可能对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。
第四级，信息系统受到破坏后，可能对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。
第五级，信息系统受到破坏后，可能对国家安全造成特别严重损害。
第十六条  计算机信息系统运营、使用单位应当设立信息系统安全保护组织，建立健全安全管理制度，制定信息系统安全事件应急预案。
  第十七条  计算机信息系统运营、使用单位在计算机信息系统建设前，应当根据国家规定确定信息系统安全保护等级。
第十八条  第二级以上计算机信息系统运营、使用单位，应当在确定信息系统安全保护等级之日起1个月内，报其所在地设区的市公安机关备案；属于跨设区的市或者全省统一联网的计算机信息系统，应当报省公安机关备案。
本条例实施以前已经投入使用的计算机信息系统，运营、使用单位应当自本条例实施之日起6个月内确定信息系统安全保护等级，并按照前款规定报公安机关备案。
对符合计算机信息系统安全等级保护要求的，公安机关应当在收到备案材料之日起15个工作日内，按照国家有关规定颁发计算机信息系统安全等级保护备案证明；对不符合计算机信息系统安全保护等级要求的，公安机关应当书面通知运营、使用单位予以纠正。
第十九条  计算机信息系统安全保护等级确定后，计算机信息系统运营、使用单位应当按照国家信息安全等级保护管理规范和技术标准，进行计算机信息系统建设。
第二十条  第三级以上计算机信息系统建设完成后，运营、使用单位或者其主管部门应当按照国家规定，选择符合国家规定条件的安全保护等级测评机构定期对其计算机信息系统安全状况进行等级测评。
测评结果不符合信息系统安全等级保护要求的，运营、使用单位应当进行整改，并重新进行等级测评。
第二十一条  公安机关应当加强对计算机信息系统安全保护等级测评工作的监督。
计算机信息系统安全保护等级测评机构及其工作人员，不得泄露用户信息，不得擅自占有、使用用户资源。
第二十二条  第二级计算机信息系统的运营、使用单位应当采取下列安全保护技术措施：
　　（一）重要数据库和系统主要设备的冗余或者备份；
　　（二）计算机病毒的防治；
　　（三）网络攻击的防范；
　　（四）网络安全事件的监测和记录；
（五）身份认证和授权的管理；
（六）用户帐号和网络地址的记录；
（七）有害信息的防治；
（八）系统运行和用户使用日志记录的保存；
（九）信息群发的控制。
第三级以上计算机信息系统运营、使用单位，除采取前款规定的安全保护技术措施外，还应当按照国家规定采取与其等级相应的其他安全保护技术措施。
第二十三条  计算机信息系统发生危害国家安全、社会秩序、公共利益等突发事件时，运营、使用单位应当及时向公安机关或者国家安全机关报告，公安机关可以采取24小时内暂时停机、暂停联网、备份数据等措施；必要时，由公安机关、国家安全机关或者其主管部门报其所在地设区的市以上人民政府启动突发事件应急预案。
    第二十四条  涉密计算机信息系统的安全保护工作，依照国家有关规定执行。
 
                                    第四章  法律责任
 
   第二十五条  违反本条例第七条、第八条规定的，由公安机关给予警告，有违法所得的，没收违法所得；对个人可以并处5000元以下罚款，对单位可以并处15000元罚款；情节严重的，公安机关可以给予6个月以内停止联网、停机整顿的处罚，并可以建议原发证、审批机构撤销许可或者取消联网资格。
违反《中华人民共和国治安管理处罚法》的，依法予以处罚；构成犯罪的，依法追究刑事责任。
第二十六条  违反本条例第九条、第二十一条第二款规定的，依照有关法律、行政法规的规定予以处罚。
第二十七条  违反本条例第十条、第十一条、第十二条、第二十二条规定的，由公安机关责令限期改正，给予警告，有违法所得的，没收违法所得；逾期不改正的，对主管人员和其他直接责任人员可以并处5000元以下的罚款，对单位可以并处5000元以上10000元以下的罚款；情节严重的，可以给予6个月以内的停止联网、停机整顿的处罚，必要时可以建议原发证、审批机构吊销经营许可证或者取消联网资格。
第二十八条  违反本条例第十六条规定的，由公安机关予以警告，并责令其限期改正。
违反本条例第十三条、第十八条规定，有关单位未报公安机关备案的，或者违反本条例第二十条规定，信息系统安全保护等级测评结果不符合等级保护要求而不进行整改的，由公安机关予以警告或者6个月以内停机整顿的处罚。
第二十九条  公安机关及其工作人员在计算机信息系统安全保护工作中，有下列情形之一的，对直接负责的主管人员和其他直接责任人员依法给予行政处分；构成犯罪的，依法追究刑事责任：
（一）泄露计算机信息系统运营、使用单位或者个人的有关信息、资料或者数据文件的；
（二）收到举报，未依据职责及时处理的；
（三）收到备案材料，未按照国家规定或者未在规定的时限内处理的；
（四）有徇私舞弊、滥用职权，不依法履行法定职责的其他情形的。
 
                                第五章  附  则
 
第三十条  本条例自2009年1月1日起施行。