关基采购网络产品要过安全审查：优先安全可信、保密协议与十倍罚款

关基运营者采购一套境外厂商的安全设备，签约前法务问「这个要不要走关基采购安全审查」——这一问问到的可能是一到十倍采购金额的罚款差别。关键信息基础设施安全保护条例第十九条、第二十条把关基采购管得很细：选品优先「安全可信」，涉国家安全的过国家安全审查，签约必须配安全保密协议。2026 年写的这篇，把两条逐款拆开，讲清采购流程怎么走、协议怎么签、审查怎么报，帮关基运营者把采购合规嵌进比价、签约、验收全流程。

⁠​‌​‌​​‌​‌‌‌​‌​‌​‌​‌​​‌‌​‌‌​‌‌‌​‌‌​​‌‌​‌​‌​‌​‌‌​​⁠

先看这三个要点

一、条文原文

二、逐款拆解

「优先安全可信」怎么理解。「安全可信」有配套评价体系支撑：网络关键设备和网络安全专用产品须由具备资格的机构安全认证合格或安全检测符合要求后方可销售或提供（网络安全法第二十五条），采购时核验目录内的认证检测状态，就是「优先安全可信」最基本的动作。比价环节把「是否在安全认证检测目录、是否合格」设为一票否决项。

「可能影响国家安全」谁来判。按国家网络安全审查规定掌握口径：关键信息基础设施运营者采购网络产品和服务、网络平台运营者开展数据处理活动，影响或可能影响国家安全的，属于申报范围。产品供应中断的风险、大量个人信息与重要数据的处理、境外背景的供应方，都是评估要素。拿不准就与网信部门沟通，宁可多问一句，别赌十倍罚款。

保密协议的必备内容。第二十条点明两块：技术支持义务（补丁、升级、响应时限）与安全保密义务（不得留后门、不得擅自留存处理运营者数据、配合安全检查、事件报告），再加责任条款。签完不算完——「对履行情况进行监督」是运营者的持续义务，年度供应商安全审计就是这条的落地。

三、采购流程怎么改

把合规节点嵌进标准采购流程：立项——填数据与国家安全影响初判表，判定是否申报审查；评审——核验安全认证检测结果，境外产品加做供应链风险评估；签约——安全保密协议为合同附件，与主合同同生效；验收——检查交付物是否夹带数据回传、远程运维功能；运维——供应商权限年度复核，重大变更重新评估。五个节点走完，第四十一条的十倍罚款基本绝缘。

五、常见问题快答

问：审查由谁组织、向谁申报？ 采购安全审查由国家网信部门会同国务院有关部门组织（网络安全法第三十七条），具体申报路径按国家网络安全审查规定执行。运营者的动作是：立项阶段做「可能影响国家安全」的初判，判定涉及即启动申报，把审查结论作为签约或付款的先决条件。

问：哪些采购最容易被认定「可能影响国家安全」？ 几类高危画像：核心网络设备与重要信息系统（一旦中断影响关基本体功能）；处理大量重要数据或个人信息的产品；供应方背景复杂、数据回传路径不明的境外产品；涉及供应链独占、断供风险大的关键组件。画像命中越多，越要走审查。

问：安全保密协议和 NDA 有什么区别？ NDA 保护的是商业秘密不被披露；第二十条要的安全保密协议管的是安全义务的整套履行——技术支持响应、漏洞处置时限、禁止后门与恶意程序、数据留存与清除、配合安全检查、事件报告、违约责任。范围宽得多，条款要逐项定制，拿通用 NDA 改个抬头应付不了检查。

问：存量采购里已经有未走审查的产品，现在怎么处理？ 先做补评估：对在用的核心产品逐项做国家安全影响评估，命中的走补报审查；审查未通过的按要求停止使用、替换产品、消除影响。主动补课与被查出来，性质完全不同——后者直接面对采购金额一至十倍的罚款。

问：采购「安全认证目录外」的普通产品也要审查吗？ 目录与审查是两条线：目录内的关键设备与专用产品核验认证检测合格状态；目录外产品不因此豁免审查初判——判断基准始终是「可能影响国家安全」，不是产品是否在某个清单里。小件外围产品风险低，核心链路产品一件都不能跳过初判。

六、采购审查与网安法、审查制度的拼接

关基采购合规其实是三个制度的叠加处：第一层，网安法第二十五条的市场准入——网络关键设备和网络安全专用产品必须认证合格或检测符合要求才能销售提供，这是所有采购的入门核验；第二层，网安法第三十七条加条例第十九条的使用端审查——关基运营者采购可能影响国家安全的产品必须通过国家安全审查，这是关基的专属闸门；第三层，数据安全法第二十四条的数据安全审查——重大数据处理活动本身的审查，与采购审查并行不悖。三层各有对象、各有罚则：市场准入失守看网安法第六十三条，使用未审查产品看第六十七条（采购金额一至十倍），未按条例走审查看条例第四十一条（同为采购金额一至十倍）。采购负责人不需要背下所有条文，但要把「入门核验、使用审查、活动审查」三层卡点画进采购流程图，让每个卡点都有人签放行。

七、边界与误区

• 误区一：「审查只是走个流程，先买了再说」。使用未经审查或审查未通过的产品，网安法第六十七条按采购金额一至十倍罚款并责令限期改正、停止使用、消除影响——先上车后补票的代价是整个采购推倒重来。
• 误区二：「保密协议用采购合同里的保密条款代替」。第二十条要求的是专门的安全保密协议，内容要落到技术支持与安全保密的具体义务，通用保密条款覆盖不了，检查时也是分别核对的对象。
• 误区三：「不是关基，这些都不用管」。安全认证检测（网安法第二十五条）面向全体市场，普通企业采购同样应选合规产品；只是审查与保密协议两道门对关基是强制、对其他企业是最佳实践。
• 招标合规提醒：有关部门的检查工作不得要求被检查单位购买指定品牌产品（条例第二十七条第二款）——反向也提示运营者自主评估选品，别被任何「指定供应商」话术带偏。

八、实操建议

1. 建一份「关基采购合规核查单」，立项、评审、签约、验收、运维五节点各配核查项，法务与采购双签放行；
2. 安全保密协议模板请律师按第二十条定制，重点写死：禁止后门与恶意程序、境内数据不出境、配合审查检查、终止后数据清除；
3. 存量供应商年度过一遍审计，缺保密协议的补签，境外产品补做国家安全影响评估；
4. 审查申报材料（采购必要性、产品情况、风险分析）提前备成模板，申报窗口来了直接提交。

站内关键信息基础设施运营者，要多扛哪五件事、等级保护不是口号：网络运营者的五项等保义务、软件有漏洞，厂商必须告诉你吗对相关义务与路径有专文，可对照使用。

八、供应商侧的应对：被要求审查时怎么办

供货给关基运营者的厂商同样有功课。第一，产品合规材料备齐：安全认证或检测证明（目录内产品）、安全能力说明、数据流说明（产品是否回传数据、回传到哪、能否关闭）——采购方做国家安全影响初判时必然索要，材料齐全的厂商在评审中占先。第二，接受合同上的「重义务」条款：安全保密协议、审计配合、漏洞响应时限、事件通报，这些条款是第二十条的传导，谈判空间有限，与其拉锯不如把履行成本算进报价。第三，管好自己的供应链：整机厂商要能回答「你的芯片、模块、软件组件来自哪里」，供应链透明度正在成为审查与客户尽调的常规问题。第四，帮客户走审查：申报材料里产品侧信息（架构、数据流、安全保障能力）由厂商提供最准确，主动提供高质量的技术说明材料，既加快审查，也锁定客户关系。审查制度对供应商是门槛也是壁垒——跨过去的厂商，面对的是更少的合规竞争者。

补一个预算视角：审查与保密协议带来的采购成本上升要怎么消化。审查周期会拉长采购节奏，保密协议与审计义务增加厂商履约成本，这些最终都会反映到价格里。企业的对冲方式是把合规成本摊到采购制度里一次性摊薄：标准化的核查单、协议模板、审查申报模板做一次用十年；把「安全可信」作为选品的硬门槛写进采购制度，评审时合规项不打折、不谈价，让供应商在合规维度竞争而不是在价格上内卷。反过来算风险账：一次采购金额十倍罚款的金额，通常超过全年的采购合规投入——这笔账在任何 CFO 的表上都算得过来。采购合规不是成本中心，是用小钱锁大钱的保险柜。

一句话总结：关基采购三件套——选品优先安全可信、涉国家安全先过审查、签约必配安全保密协议；漏走审查按采购金额一到十倍罚款，把合规节点嵌进采购流程才是省钱之道。

---

以上内容为一般性法律知识介绍，不构成正式法律意见。具体采购项目是否触发安全审查、协议条款设计，请咨询执业律师后实施。