内容摘要：2023年夏天，某外资咨询公司驻华办事处被要求提交一份数据出境安全评估报告。报告里列了服务器位置、传输路径、加密方式，还有一份涉及两千多名中国用户信息的清单。这家公司之前一直觉得，把数据传回纽约总部是

2023年夏天，网络某外资咨询公司驻华办事处被要求提交一份数据出境安全评估报告。安全报告里列了服务器位置、法审法传输路径、查办加密方式，网络还有一份涉及两千多名中国用户信息的安全清单。这家公司之前一直觉得，法审法把数据传回纽约总部是查办“内部管理需要”，没什么可申报的网络。结果审查没通过，安全业务停了六周，法审法损失按小时算。查办

这就是网络《网络安全法》审查办法落地后的真实节奏。它不是安全挂在墙上的标语，是法审法能直接掐断业务流水的阀门。

谁在审，审什么

审查主体分两层。网信部门牵头，公安、国安、工信、密码管理等部门各管一段。企业面对的不是一个窗口，而是一张网。审查内容集中在三块：关键信息基础设施的认定、网络产品和服务的采购、数据出境。

关键信息基础设施的认定最要命。一旦被定进去，采购任何网络产品都要过安全审查，哪怕你买的是美国某品牌的防火墙。2021年某省级电力公司换了一批境外品牌的工业路由器，没申报，后来被查出固件里有未公开的远程调试接口。罚了款，负责人被约谈。这事在圈内传开之后，很多国企的信息化采购清单上，境外品牌直接消失了。

数据出境：最容易被踩的雷

很多公司栽在数据出境上。不是他们故意违规，是根本不知道自己的数据在出境。举个例子：一家做跨境电商的深圳公司，用了某国际云服务商的CDN，用户访问日志默认存在新加坡节点。按照审查办法，这就算数据出境。公司创始人跟我说：“我以为只有我把数据库导出到美国才算。”后来他们花了三个月做数据映射，发现十七条隐蔽的出境路径，包括客服系统里的聊天记录、邮件营销平台的用户标签、甚至HR系统里的员工绩效数据。

审查办法要求，数据出境前要做安全评估。评估不是填表，是实打实的技术审计。CII运营者（关键信息基础设施运营者）采购网络产品，可能影响国家安全的，要报网信部门审查。这个“可能影响国家安全”没有明确清单，企业自己判断。判断错了，后果自负。

审查的实操细节

申报材料里有一项叫“源代码审查”。不是所有产品都要交源代码，但涉及加密、认证、边界防护的，大概率要。某欧洲安全厂商在中国卖VPN设备，被要求提供源代码。他们拒绝了，理由是知识产权。结果就是产品下架，已售设备限期替换。这家厂商后来通过合资公司做了源代码托管，才重新进入市场。

审查周期通常四十五个工作日，但实际拖到三、四个月很常见。材料补正、专家评审、部门会签，每一步都能卡住。有家企业为了赶一个政府项目，提前半年启动审查，结果还是没赶上投标。项目负责人说：“审查不是流程，是变数。”

企业的真实反应

大厂有专门的安全合规团队，小公司基本靠外包。我见过最离谱的案例：一家五十人的SaaS公司，花八万块买了份“网络安全法合规套餐”，里面是二十页模板文档，连公司名字都没改全。后来被抽查，直接判定不合规。

真正有效的做法是反向梳理。先确定自己是不是CII，再看数据流，最后定采购策略。某车企的做法值得参考：他们把中国区所有IT系统画了一张图，标出每个数据包的起点、终点、经过的节点。发现有三个系统用了境外短信网关，立刻换掉。成本不高，但避免了审查风险。

审查办法不是要关门，是要把门框做结实。企业觉得疼，是因为以前门框太松。现在松紧度变了，适应不了的，只能出局。