王 涵 李佳怡（哈尔滨工程大学）
摘 要：本文针对国内核设施网络安全的法律监管开展研究，剖析核设施网络安全的特殊性，梳理现行监管制度，指出这一领域长久以来存在“通用规则充足、专项规范欠缺”的现象，且跨部门监管协同亟待加强、新兴技术与供应链风险的监管存在薄弱环节等问题，提出以《中华人民共和国原子能法》为依托推进配套法规建设、优化跨部门监管协作模式、完善全流程法律责任体系等改进思路。
关键词：核设施；网络安全；监管协同
当前，数字技术已深度融入核设施的各项运行环节，涵盖核安全管控、核材料统计核算、应急响应保障等核心系统。近年来，全球接连发生多起核设施网络被攻击事件，核设施网络安全的重要性愈加突出。2026年1月15日起施行的《中华人民共和国原子能法》率先在国家法律层级明晰了关于核设施网络安全的法定责任，为核设施网络安全监管工作筑牢了上位法根基。
一、核设施网络安全的特殊性
核设施因战略特殊与涉密属性，监管部门及运营主体极少对外共享网络安全信息，行业内防护经验交流受限，形成“信息孤岛”。这种封闭状态让核设施运营方很难借鉴其他行业成熟防护经验，不利于有效应对新型网络攻击。
随着核设施数字化应用的不断深入，其供应链愈发复杂，进一步加剧了核设施网络安全隐患。核设施中的传感器、控制器等硬件，以及操作系统、工控软件等多由第三方供应商提供，攻击者可通过防护薄弱的供应商植入恶意程序，从内部发起攻击。震网病毒、美国Wolf Creek核电站黑客入侵等案例表明，此类针对供应链的攻击有着极强的隐蔽性，运营方难以全面把控组件安全状况。
小型堆、微堆及人工智能等新技术的应用，让部分从业者产生了“老旧核设施不易遭受网络攻击”的错误认知，造成核设施行业对数字化转型伴随的网络安全风险认知不足。部分老旧设施仍使用超服务期限的系统，潜藏着网络安全漏洞。此外，人工智能降低了攻击门槛，攻击者可精准识别和利用漏洞，运营方对新型风险的认知与应对均较为滞后。
二、我国核设施网络安全监管制度现状
我国核设施网络安全的法律监管，主要以《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《关键信息基础设施安全保护条例》等通用法规作为基础。《中华人民共和国网络安全法》搭建网络安全等级保护制度，要求运营主体落实防护责任，对关键信息基础设施提出更高防护标准，包括设置专属安全管理部门、对核心岗位人员开展安全背景审查、定期开展安全培训与应急演练等。《关键信息基础设施安全保护条例》进一步细化运营方供应链安全防控职责，要求运营方采购网络产品和服务时提前评估安全隐患，同时强制开展定期网络安全检测与风险研判，形成动态风险管理流程。《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》从数据处理层面提供补充保障，核设施运行生成的运行指标、设计图纸、人员个人信息等数据，需按法律规定实施分类分级管控。
当下，我国已构建以2026年施行的《中华人民共和国原子能法》为引领、2017年实施的《中华人民共和国核安全法》为核心的监管体系。《中华人民共和国原子能法》首次将网络安全纳入核安保工作体系，其第四十一条明确提出“核设施营运单位应当采取必要措施，防范网络攻击、侵入、干扰和破坏，应对网络安全事件，保障核设施安全稳定运行”。该条款破解了该领域长期缺少上位法支撑的难题。
《中华人民共和国核安全法》确立“安全第一”的核心原则与“纵深防御”等核心制度。配套行政法规如《核电厂核事故应急管理条例》《民用核安全设备监督管理条例》等，为应急信息系统建设、数据与软件清单报备、保密资料管理等提供了法律依据，但未对核设施网络安全、信息系统防护、数据加密等作出明确规定，难以适配当下数字技术发展需要。
国家原子能机构2020年印发的《核安保导则》里，有3项分导涉及核设施网络安全，但该文件仅作指导使用，不具备法律强制效力。
三、面临的难题
其一，核安保专项立法缺位引发监管断层。《中华人民共和国原子能法》第四十一条为授权类原则性条文，落地实施急需配套专项法规、行政规章与强制技术标准予以支撑。现行行政法规聚焦核材料管理、实体防护、应急处置等传统核安全领域，未对核设施工控系统网络安全作出明确规范。最具针对性的《核安保导则》并无法律强制约束力。目前主要依靠《中华人民共和国网络安全法》等通用法律监管，此类条款偏原则化、普适化，无法适配核工业控制系统的特殊属性，易使运营主体应对震网类复杂网络攻击时无具体规则可依。
其二，跨部门监管协同亟待加强。核设施网络安全监管牵涉核安全、能源、公安、网信等多个主管部门。传统实体安保监管本就存在主体独立性欠缺、权责交叉、协同不畅等问题，数字时代新增网络安全监管主体后，监管协同难度进一步加大。国家核安全局依据《中华人民共和国核安全法》立足核能行业特点实施专业监管；网信与公安部门依据《中华人民共和国网络安全法》，按网络治理通用要求开展宏观管控。不同法规对核电站工控系统等同一设施可能提出差异化安全配置与事件上报要求，或导致运营方合规成本提升。
其三，新兴技术与供应链风险的监管存在薄弱环节。现行法律体系对数字化供应链风险的管控力度还有待加强。《中华人民共和国原子能法》仅要求运营主体采取必要举措防范网络攻击，其他现有法规多为框架性要求，缺少契合核领域高风险特点的具体实施细则，未明确供应商全周期安全管理、责任划分与追责流程。现行法规侧重明确运营方的最终责任，未赋予其足够法律权限约束、核查与追责供应商，致使运营方很难将核安全管控要求传导至供应链上游各主体。
四、优化我国核设施网络安全监管制度的建议
一是制定专项法规与配套行政规范。推动核安保法立法进程，或先行出台核设施安保条例等。在此类法规中，应设立网络安全专门章节，系统规定核设施网络安全的基本准则、监管职责、运营主体责任、供应链安全要求等核心内容。也可以《中华人民共和国原子能法》为基础，制定核设施网络安全监管条例，贴合工业控制系统与运营技术环境的独特属性，构建由通用监管转向专项监管的精准法律框架。
二是优化监管架构与跨部门协同模式。建议明确核行业网络安全主管部门，并由其统一负责行业标准拟定、安全审核、日常监管等工作。同时搭建跨部门协同小组，负责信息统一报送与共享、统筹应急预案编制、开展联合执法与安全事件调查等工作。
三是明确并细化运营、供应及第三方主体法律责任。建议在专项法规中划定核设施网络安全全流程责任边界。首先，夯实核设施运营单位的首要责任，将其管理范围拓展至整个供应链；其次，规定若因供应商产品存在未披露漏洞或恶意后门引发安全事件，供应商需承担连带法律责任；最后，实施供应商资质审核制度，建立可信供应商清单，只有通过国家级安全检测与背景核查的供应商方可参与核设施采购。
（王涵系哈尔滨工程大学人文社会科学学院副教授，李佳怡系哈尔滨工程大学人文社会科学学院硕士研究生）