两份金融业网络安全办法，啥关系？

昨天周五，金融监管总局就《银行业保险业网络安全管理办法（征求意见稿）》公开征求意见。瞬间在合规社群引发讨论。

“怎么又来一个？”

“不是刚出了个金融业的网络安全新规吗？”

“还好，和数据安全关系不大！”

“网络安全、数据安全、AI安全都要看的人，表示已经麻木了。”

“这俩啥关系？我是银行的该看哪个？”

“券商基金的是不是就不用管了？”

大家的困惑非常真实，两份新规发布时间接近、名称相似，很容易让人混淆、摸不准合规对标口径。事实上，两份文件并不重复，整体是全行业统一标准打底、银保领域细化从严的配套监管思路，互为补充、并行落地。

点击阅读 →《金融业网络安全管理办法（征求意见稿）》发布

点击阅读 →《银行业保险业网络安全管理办法（征求意见稿）》发布

01.

规范对象对比：金融全行业通用覆盖 VS 银保及银行系非银专项覆盖

• 《金融业网络安全管理办法》以“金融从业机构”为统一规范对象，全面覆盖银行、保险、证券、基金、支付、征信等各类金融从业机构，实现金融全行业合规兜底；

• 《银行业保险业网络安全管理办法》仅适用于国家金融监督管理总局监管的三类并列主体：银行业金融机构、保险业金融机构、金融控股公司。其中监管口径下的“银行业金融机构”为广义概念，除各类存款类银行外，还包含信托、理财、消金、金租、货币经纪、AMC、财务公司等银行系非银持牌机构。

02.

规范定位差异：全行业底线框架 VS 银保落地实操细则

前者定原则、划底线、统一全行业标准；后者定流程、划细则、给可落地的检查问责依据。

（一）《金融业网络安全管理办法》：金融行业网络安全通用基本准则

作为金融全行业统一规范，本办法围绕网络运行安全、数据与个人信息保护、安全责任制、等级保护、商用密码、技术创新应用等核心领域，概括性明确金融业网络安全合规底线及触碰底线时应承担的法律责任。条款以方向性、原则性规定为主，不细化具体操作流程，适用于所有金融机构统一对标。

（二）《银行业保险业网络安全管理办法》：银保行业专项落地细则

本办法衔接《金融业网络安全管理办法》，结合银行、保险、金控的行业特性，从治理架构、运行管理、风险监测、安全事件响应与处置、关基保护、新技术安全、监督问责等全维度细化管控要求，是银保类机构日常合规管理、自查整改及监管检查的直接执行依据。

03.

核心内容差异：原则兜底 VS 逐条细化拆解

《金融业网络安全管理办法》做底线原则要求，《银行业保险业网络安全管理办法》对核心义务进行颗粒度细化、责任落地、流程固化，核心差异对比如下：

04.

效力关系与适用规则

（一）立法与衔接逻辑

《金融业网络安全管理办法》，概括性明确金融业网络安全合规底线及触碰 底线时应承担的法律责任；《银行业保险业网络安全管理办法》与通用办法衔接适配、互补落地。两份文件属于同层级配套监管规则。

核心效力原则：行业专项细则不得低于全行业通用底线，可在底线之上增设更严、更细的管控要求。

（二）分机构适用规则

1.同时适用两份文件

国家金融监督管理总局监管的三类并列主体：一是各类银行业金融机构（含存款银行、信托、理财、AMC、财务公司、金融租赁、消金、汽金、货币经纪等银行系非银机构）；二是各类保险业金融机构；三是金融控股公司。以上主体需同时满足通用底线要求和银保专项细化要求，双线对标、双向查漏。

2.仅适用《金融业网络安全管理办法》

证监会监管的证券、期货、公募基金、基金销售、交易所、中证登等机构；人民银行/外管局监管的支付、征信、清算、外汇机构。应以通用办法为核心合规依据，同时仍需遵守《网络安全法》《数据安全法》《个人信息保护法》《关键信息基础设施安全保 护条例》《网络数据安全管理条例》等上位法的通用要求。

3.参照适用《银行业保险业网络安全管理办法》

外国银行分行、贷款公司、外国保险公司分公司、保险专业代理机构、保险经纪人等金融监管总局及其派出机构监管的其他机构，参照适用《银行业保险业网络安全管理办法》（第二条第二款）。

4.监管部门参照执行《金融业网络安全管理办法》

小贷、融资担保、典当等地方金融组织，其本身无直接适用《金融业网络安全管理办法》的义务。由地方金融管理机构在履行监督管理职责时，参照该办法执行（《金融业网络安全管理办法》第三十一条）。

05.

合规建议

结合两份文件的起草逻辑，本次双规并行的模式，主要是为了兼顾金融业整体合规统一性和细分业态风险差异。不同类型金融机构的合规压力、对标重点存在明显区别，可结合自身监管归口适配对应的规则体系。

现阶段两份文件均为征求意见稿，最终条款、执行尺度和过渡期安排尚未固化。机构可结合自身业态属性，针对性梳理合规短板，待正式稿落地后快速对标整改。