北京市经济和信息化局 北京市通信管理局关于开展2022年工业互联网企业网络安全分类分级管理工作的通知

各区经信主管部门、相关工业互联网企业：

为落实工业和信息化部办公厅《关于开展工业互联网安全深度行活动的通知》及《北京工业互联网发展行动计划（2021-2023年）》相关要求，进一步提升本市工业互联网企业网络安全管理水平和防护能力，推进北京市工业互联网创新发展，北京市经济和信息化局、北京市通信管理局现联合开展2022年工业互联网企业网络安全分类分级管理工作（以下简称“分类分级管理工作”）。有关事项通知如下：

一、工作目标

到2022年底，组织50家以上代表性企业开展网络安全分类分级管理工作，进一步完善定级核查、风险评估、整改落实等工作机制，提升企业网络安全防护水平；初步建成全市工业互联网企业网络安全分类分级管理体系，建立全市工业互联网企业网络安全分类分级管理名录，培育遴选一批分类分级管理典型解决方案和优秀示范企业，持续加强工业互联网安全保障体系能力建设。

二、组织方式

市经济和信息化局、市通信管理局统筹开展全市分类分级管理工作，各区经信主管部门具体指导本行政区域内工业互联网企业开展分类分级管理工作，督促企业落实网络安全主体责任。本次分类分级管理工作依托全国工业互联网企业网络安全分类分级管理服务平台（以下简称“管理服务平台”，平台网址：https://mii-ciiflfj.cn/）组织实施。

三、工作流程

（一）企业自主定级。各区经信主管部门督促企业于9月16日前完成管理服务平台注册及基础信息填报工作。企业依据《工业互联网企业网络安全分类分级管理指南（试行）》（见附件1）等文件要求开展自主定级，并于9月23日前将自主定级报告上传至管理平台。

（二）组织定级核查。9月底前，各区经信主管部门组织第三方专业机构对本行政区内企业网络安全定级结果进行核查，对于自主定级不合理、定级材料不符合要求的企业，提出定级调整建议，指导企业科学、准确定级。市经济和信息化局、市通信管理局对自主定级为三级的企业定级结果进行复核确认。

（三）落实防护要求。企业应按照工业互联网企业网络安全分类分级防护系列规范（见附件2），落实与自身安全级别相适应的防护要求，包括开展应急演练、人才培养、安全监测技术手段建设等，并将应急演练报告、人员培训情况、监测预警手段建设情况等及时上传管理服务平台。

（四）开展评估整改。企业可委托第三方专业机构开展标准符合性评测和安全风险评估，形成评估评测报告并于10月20日前上传至管理服务平台。企业对照分类分级防护规范要求，根据企业评估评测结果制定整改方案，落实安全防护要求和整改措施，于11月15日前在管理服务平台上传整改报告。

（五）组织安全抽查。11月底前，市经济和信息化局、市通信管理局组织第三方专业机构对不少于20%的三级企业、不少于10%的一级、二级企业开展安全抽查，形成评估抽查结果并通报有关企业，督促企业在30天内对抽查过程中发现的网络安全重大风险及问题隐患进行整改。

（六）开展工作总结。各区经信主管部门对分类分级工作开展情况、经验成效、存在问题等进行梳理总结，12月10日前将电子版上传至管理服务平台。市经济和信息化局、市通信管理局将依托分类分级管理服务平台，结合企业分类分级工作开展情况，遴选一批分类分级管理典型解决方案和优秀示范企业。

四、工作要求

（一）加强组织领导。各区经信主管部门应明确分类分级工作对接人与责任人，加强对分类分级管理工作的组织指导，建立“市-区-企”层层落实的分类分级工作机制，并于9月16日前反馈分类分级管理工作对接信息表和参与企业信息表（附件3与附件4）。

（二）提高重视程度。各区经信主管部门要加强分类分级管理工作规划，细化实施举措，加大宣传推广力度，积极组织本行政区内工业互联网企业开展或参与工业互联网安全宣贯培训与产业活动，落实工作要求，定期上报工作进展。

（三）落实服务保障。各区经信主管部门应加大政策、资金、人才等保障措施，发挥好第三方专业机构作用，确保分类分级管理工作顺利推进和有效实施。对于在分类分级管理工作中整改防护成效显著、达到一定防护能力且符合条件的企业给予一定奖励，并在工业互联网安全试点示范等工作中优先推荐支持，加强优秀案例的示范推广。

五、联系方式

陈  雷  市经济和信息化局   联系方式：55578431

王荣华  市通信管理局       联系方式：63319011

孟  烨  管理服务平台       联系方式：15046171117

特此通知。

附件：1.工业互联网企业网络安全分类分级管理指南（试行）

          2.工业互联网企业网络安全分类分级防护系列规范（试行）

          3.分类分级管理工作对接人员信息表

          4.分类分级管理参与企业信息表 

北京市经济和信息化局        北京市通信管理局

2022年8月29日

附件1 

工业互联网企业网络安全分类分级管理指南（试行）

第一章  总  则

第一条 为贯彻落实《中华人民共和国网络安全法》《关 于深化“互联网+先进制造业”发展工业互联网的指导意见》， 根据《加强工业互联网安全工作的指导意见》有关要求，开 展工业互联网企业网络安全分类分级，加强工业互联网企业 差异化、精细化管理，落实企业网络安全主体责任，提高网 络安全防护能力和水平，促进工业互联网高质量发展，制定 本指南。

第二条 工业和信息化部以及地方工业和信息化主管部 门、通信管理局开展工业互联网企业网络安全分类分级工 作，适用本指南。

第三条 工业互联网企业网络安全分类分级工作遵循统 筹指导、分类施策、分级负责、突出重点的方针，建立健全 工业互联网企业网络安全保障体系，提升工业互联网企业网 络安全防护能力。

第四条 工业互联网企业应当依照法律、行政法规的规 定和相关标准的要求，采取技术、管理等综合措施，保障工 业互联网相关设备、控制、网络、平台、应用、数据等网络 安全，有效防范应对网络安全事件。

第二章  企业网络安全分类分级  第五条 工业互联网企业主要包括以下三类：

( 一 ) 应用工业互联网的工业企业 ( 简称联网工业企

业 ) ，主要是指将新一代信息通信技术与工业系统深度融合， 推动企业模型化研发、智能化制造、网络化协同、个性化定 制、数字化管理、服务化延伸，实现智能控制、运营优化和 生产组织方式的变革，主要涉及原材料工业、装备工业、消 费品工业和电子信息制造业等行业；

( 二 ) 工业互联网平台企业 (简称平台企业) ，主要指 面向工业企业提供云服务等资源协作、信息服务及应用 ( 工 业 App) 服务等的企业；

( 三 ) 标识解析企业，主要指从事工业互联网标识注册 服务、解析服务及其运行维护的机构。

第六条 根据工业互联网企业网络安全分类分级评定规

则，参照行业重要性、企业规模、安全风险程度等因素，将 企业网络安全等级由高到低划分为三级、二级、一级。

第七条 综合工业互联网企业网络安全分类分级评定规

则，结合实际情况，开展企业网络安全自主定级，落实与自 身等级相适应的安全防护措施，形成定级报告。

当企业业务规模、服务范围、服务对象等发生重大变化

时，应当自变化之日起三十个工作日内重新定级。

第八条 工业互联网企业应在自主定级后十个工作日内 将定级结果报地方主管部门。

联网工业企业应将定级报告报属地工业和信息化主管

部门，平台企业、标识解析企业应将定级报告报属地通信管 理局，分属多个类别的工业互联网企业，按照其业务活动涉 及的不同属性分别定级并上报。

第九条 省级工业和信息化主管部门、通信管理局形成 属地工业互联网企业清单，其中，定级为三级的工业互联网 企业清单定期报工业和信息化部。清单发生变化时，十个工 作 日内将变化情况报工业和信息化部。鼓励省级工业和信息 化主管部门、通信管理局建立工作机制，加强工业互联网企 业定级情况通报，形成工作合力。

第十条 地方工业和信息化主管部门、通信管理局每年 对工业互联网企业开展抽查，指导企业准确定级，落实安全 防护措施。

第三章  企业网络安全防护

第十一条 工业互联网企业承担本企业网络安全主体责

任，主动开展自主定级、安全建设、风险评估、安全整改和 应急保障等工作，落实安全防护标准，有效应对网络安全风 险，保障本企业工业互联网安全。

第十二条 工业互联网企业主要负责人为本企业网络安 全第一责任人，负责建立健全网络安全责任制并组织落实， 建设完善企业网络安全管理制度，建立网络安全事件应急处 置机制，加强网络安全投入和考核，将网络安全防护作为企 业经营管理的重要部分。

第十三条 工业互联网企业应当制定并落实网络安全总 体规划，制定合理的安全建设方案，划分生产业务区域和管

理信息区域，明确重要数据，实行分区分域边界防护，部署 必要的安全防护措施。

第十四条 工业互联网企业应当建立网络安全监测预警 和信息通报制度，建设完善工业互联网安全监测技术手段， 发现重大网络安全隐患，开展安全影响评估，及时采取针对 性有效防范措施，并及时上报属地工业和信息化主管部门、 通信管理局。

( 一 ) 三级工业互联网企业建设企业级工业互联网安全 监测平台，并接入属地省级工业互联网安全监测平台；

( 二 ) 鼓励二级工业互联网企业积极建设企业级工业互 联网安全监测平台，并接入属地省级工业互联网安全监测平 台。

第十五条 工业互联网企业应当依据工业互联网安全相 关规范，落实与自身安全级别相适应的防护措施， 自行或委 托第三方评测机构开展标准符合性评测和风险评估。对评估 评测发现的重大安全风险，制定整改方案，落实整改措施。

( 一 ) 三级工业互联网企业每年开展一次符合性评测和 风险评估；

( 二 ) 二级工业互联网企业每两年开展一次符合性评测 和风险评估。

第十六条 工业互联网企业应当制定本企业网络安全应 急预案，定期开展应急演练。发现重大网络安全风险和事件， 应及时向属地工业和信息化主管部门、通信管理局报告。

( 一 ) 三级工业互联网企业每年至少开展一次应急演

练；

( 二 ) 二级工业互联网企业每两年至少开展一次应急演 练。

第十七条 一级工业互联网企业参照二级企业相关要求 落实安全防护措施。

第四章  支持与保障

第十八条 工业和信息化部指导地方工业和信息化主管 部门、通信管理局做好工业互联网企业网络安全分类分级工 作，制定工业互联网企业网络安全分类分级相关标准。

地方工业和信息化主管部门指导本行政区域内联网工 业企业开展网络安全分类分级工作。地方通信管理局对本行 政区域内平台企业、标识解析企业进行网络安全分类分级监 督管理，并加强对公共互联网上的联网设备、系统等的安全 监测。

第十九条 地方工业和信息化主管部门、通信管理局加 强对工业互联网企业网络安全分类分级工作的宣传动员，制 定宣贯培训计划，定期开展宣传教育，提升工业互联网企业 网络安全防范意识。

鼓励和支持企事业单位、行业协会、研究机构等开展工 业互联网企业网络安全分类分级教育与培训，加强工业互联 网企业网络安全分类分级管理和技术人才培养。

第二十条 地方工业和信息化主管部门、通信管理局组 建本地区工业互联网企业网络安全分类分级工作专家库，充 分发挥专家在分类分级管理中的作用。

地方工业和信息化主管部门、通信管理局联合开展工业 互联网网络安全产品、安全服务、解决方案等提供商推荐遴 选工作，建立安全评估评测机构队伍，鼓励支持基础电信企 业、安全企业、安全评估评测机构等依托专业技术优势，提 供安全服务，形成供给资源池，引导工业互联网企业自主选 择使用安全服务。

第二十一条 地方工业和信息化主管部门、通信管理局 建立健全工业互联网安全监测预警、信息通报、应急处置等 制度，加强威胁信息共享，对监测发现的安全风险隐患及时 通报相关企业。地方主管部门监测发现重大安全隐患或安全 事件，及时报工业和信息化部。

第二十二条 地方工业和信息化主管部门组织开展针对 本行政区域内联网工业企业的网络安全风险评估，对发现的 重大网络安全风险隐患，指导企业及时整改。

地方通信管理局对本行政区域内平台企业、标识解析企

业，每年开展一次工业互联网安全检查，对发现的重大网络 安全风险隐患，责令企业及时整改。

第二十三条 工业互联网企业未有效落实网络安全分类 分级防护要求，违反《中华人民共和国网络安全法》有关规 定的，有关主管部门依法给予处罚。

附：1.工业互联网企业网络安全分类分级评定规则

2.工业互联网行业网络安全影响程度分类目录 3.工业互联网企业网络安全分类分级定级报告

附 1

工业互联网企业网络安全分类分级评定规则

一、定级对象

本规则适用的定级对象为工业和信息化部主管行业范 围内的工业互联网企业，主要包括：应用工业互联网的工业 企业 (简称联网工业企业)、工业互联网平台企业 (简称平 台企业)、从事工业互联网标识注册服务、解析服务及其运 行维护的机构 (简称标识解析企业)。

二、等级划分

工业互联网企业根据行业重要性、企业规模、安全风险 程度等因素，将企业网络安全等级由高到低划分为三级、二 级、一级。

企业定级采用计分方式进行，满分为 100 分：

评分大于等于80 分的，为三级企业；

评分大于等于 60 分，且小于80 分的，为二级企业；

评分小于 60 分的，为一级企业。

三、定级方法

工业互联网企业结合自身实际情况，综合考虑各定级要 素进行安全等级评定。

( 一 ) 联网工业企业定级

联网工业企业定级要素包括企业所属行业网络安全影 响程度、企业规模、企业应用工业互联网的程度和企业一旦发生工业互联网网络安全事件的影响程度。联网工业企业定 级要素及评分规则如下：

1.企业所在行业网络安全影响程度

2.企业规模

3.企业应用工业互联网的程度

4.企业一旦发生工业互联网网络安全事件的影响程度

注：对于涉及 “两重点一重大”的石化化工企业纳入三级企业。

(二) 平台企业定级

平台企业定级要素包括企业平台服务行业的网络安全 影响程度、平台业务范围、平台业务规模、平台一旦发生网 络安全事件的影响程度。平台企业定级要素和评分规则如下：

1.企业平台服务行业的网络安全影响程度

 2.企业平台业务范围

3.企业平台业务规模

4.企业平台一旦发生网络安全事件的影响程度

同一平台企业建设运营多个工业互联网平台，企业定级 依照其建设运营的平台中较高级别确定。

( 三 ) 标识解析企业定级

结合目前标识解析业务现状，建议标识解析企业参考如 下规则进行定级：

1.建设运营工业互联网标识解析国家顶级节点的为三 级；

2.建设运营工业互联网标识解析二级节点和公共递归解 析节点的为二级；

3.建设运营工业互联网标识解析企业节点的为一级。

同一企业建设运营不同级别的标识解析节点，企业定级 依照其建设运营的标识解析系统中较高级别确定。

( 四 ) 多重属性企业分级

对于同时具有联网工业企业、平台企业、标识解析企业 中两种及以上属性的企业，按照其业务活动涉及的不同属性 分别定级。

附 2

工业互联网行业网络安全影响程度分类目录

注：分类依据《国民经济行业分类》( GB/T 4754-2017 )。

附 3

工业互联网企业网络安全分类分级定级报告

一、企业基本情况

工业互联网企业的基本情况，主要包括以下内容：

1.概述企业工业互联网相关业务规模及范围、服务对象、 服务范围、主要用户类型等内容；

2.简述企业工业互联网安全管理情况，包括但不限于安 全管理制度及组织架构等内容；

3.简述企业工业互联网安全技术情况，包括但不限于网 络安全物理环境、网络拓扑结构、硬件设备的部署情况、网 络边界划分等。

二、各定级要素描述及分值确定

( 一 ) 联网工业企业

1.企业所属行业网络安全影响程度分值确定

根据《国民经济行业分类(GB/T 4754-2017)》，说明企业 所属行业类别，按照《工业互联网行业网络安全影响程度分 类指导目录》，确定企业所属行业分类，确定分值。

2.企业规模分值确定

说明企业从业人员数量和资产总额多少，属于哪类规模 企业，确定分值。

3.企业应用工业互联网程度分值确定

说明企业工业相关智能设备、生产系统等联网情况，横向、纵向以及端到端集成情况，数据分析利用程度等，确定 分值。

4.企业一旦发生工业互联网网络安全事件的影响程度分值确定

说明企业一旦发生重大工业互联网网络安全事件后，受 到侵害的客体是什么，即对国家安全、社会秩序、经济运行、 公众利益、人身安全及企业自身运行中哪些客体造成侵害或 影响，说明对侵害客体的影响程度，确定分值。

(二) 平台企业

1.企业平台服务行业网络安全影响程度分值确定

根据《国民经济行业分类(GB/T 4754-2017)》，说明企业 平台服务对象所在的行业，按照《工业互联网行业网络安全 影响程度分类指导目录》，确定企业服务行业分类，确定分 值。

2.企业平台业务范围分值确定

说明企业工业互联网平台服务覆盖哪些行业等，确定分值。

3.企业平台业务规模分值确定

说明企业平台的名称、接入用户数量、接入设备数量、 运行工业 App 数量等基本情况，确定分值。

4.企业平台一旦发生网络安全事件的影响程度分值确定

说明企业平台一旦发生重大网络安全事件后，受到侵害 的客体是什么，即对国家安全、社会秩序、经济运行、公众 利益、企业平台运行以及平台承载数据中哪些客体造成侵害或影响，说明对侵害客体的影响程度，确定分值。

( 三 ) 标识解析企业

1.说明企业标识解析系统节点类型 (顶级节点、二级节 点、公共递归节点、企业内部节点等)、系统标识注册量、 日标识解析查询量等。

2.说明企业标识解析系统服务的主要行业类别和行业数 量等内容。

3.说明企业标识解析系统一旦发生重大网络安全事件后，受到侵害的客体是什么，即对国家安全、社会秩序、经 济运行、公众利益、企业系统运行以及系统承载数据中哪些 客体造成侵害或影响，说明对侵害客体的影响程度。

三、企业网络安全等级的确定

综合考虑各定级要素分值，参考《工业互联网企业网络 安全分类分级评定规则》确定企业网络安全等级。