CII 与等保是什么关系
关键信息基础设施（CII）在网络安全等级保护制度的基础上实行重点保护：由行业保护工作部门按照认定规则认定并通知运营者，被认定的运营者要承担比普通系统更严格的义务，包括设置专门安全管理机构、保障安全技术措施与主体工程三同步、每年至少开展一次网络安全检测评估、重要数据境内存储与出境安全管理等。等保是基础义务，CII 是叠加的强化保护。
基本信息
| 法律依据 | 网络安全法第三十一条、第三十三条、第三十八条等；关键信息基础设施安全保护条例 |
|---|---|
| 认定方式 | 行业保护工作部门按认定规则认定并通知运营者，不由企业自行判断 |
| 与等保关系 | 等保是基础义务，CII 在基础上实行重点保护 |
| 强化要求 | 专门安全管理机构与负责人、三同步、年度检测评估、数据出境管理 |
| 责任主体 | 运营者主要负责人对安全保护工作负总责 |
CII 运营者重点义务
CII 运营者重点义务
设置专门安全管理机构与负责人，并对负责人与关键岗位人员进行安全背景审查
保障安全技术措施与主体工程三同步（同步规划、同步建设、同步使用）
每年至少开展一次网络安全检测评估，并对发现问题及时整改
重要数据境内存储；确需向境外提供的按国家规定办理安全评估
履行网络安全事件报告与应急处置义务典型使用场景
- 合规对标：判断本单位是否已被认定为 CII，按强化义务梳理差距
- 年度检测评估：安排检测评估计划并与等保测评衔接
- 项目立项：三同步要求在建设方案与合同中体现安全建设内容
- 供应链管理：采购网络产品与服务时的安全审查与合同条款
CII 的认定权在保护工作部门：企业不能自行宣称或否认属于 CII，收到认定通知后应尽快启动义务对标与资源投入。
被认定为 CII 后仍按普通系统管理，年度检测评估与专门机构等特定义务会长期缺失，属于明显的合规风险敞口。