能源、金融、交通、公共通信这些行业的网络系统一旦出事，冲击的是国计民生——所以法律给它们的运营者加了一层特别的担子。最近问「关键信息基础设施运营者义务」的人不少，本文讲清规则。《中华人民共和国网络安全法》第三十六条，是这层担子的清单。
先看这几个要点
① 定位：本条是「除第二十三条等保义务外」的加码义务，专为关键信息基础设施运营者设。 ② 机构与人：设专门安全管理机构和负责人，负责人及关键岗位人员要过安全背景审查。 ③ 人员：定期开展网络安全教育、技术培训和技能考核。 ④ 数据：重要系统和数据库要容灾备份。 ⑤ 应急：制定网络安全事件应急预案并定期演练。 ⑥ 范围：公共通信、能源、交通、水利、金融、公共服务、电子政务等重要行业（第三十三条界定）。
一、条文原文
- 《中华人民共和国网络安全法》第三十六条
- 除本法第二十三条的规定外，关键信息基础设施的运营者还应当履行下列安全保护义务：
- （一）设置专门安全管理机构和安全管理负责人，并对该负责人和关键岗位的人员进行安全背景审查；
- （二）定期对从业人员进行网络安全教育、技术培训和技能考核；
- （三）对重要系统和数据库进行容灾备份；
- （四）制定网络安全事件应急预案，并定期进行演练；
- （五）法律、行政法规规定的其他义务。
二、五项义务逐项拆
| 要件·义务 | 内容 | 自查要点 |
|---|---|---|
| 专门机构＋背景审查 | 安全管理机构独立设置，负责人与关键岗位过审 | 有无任命文件、审查记录 |
| 教育培训考核 | 定期开展，覆盖从业人员 | 培训台账、考核记录 |
| 容灾备份 | 重要系统与数据库 | 备份频率、异地容灾、恢复演练 |
| 应急预案＋演练 | 制定预案并定期演练 | 预案文本、演练记录与复盘 |
| 其他法定义务 | 兜底 | 数据本地化（第三十九条）、年度检测评估（第四十条）等另算 |
与等保义务的叠加关系：第三十三条的内部管理制度、技术措施、日志留存不少于六个月、数据分类备份加密等义务照常适用，本条是「额外加五个」——合规盘点时两份清单都要过。
被认定「关基」的流程：重要行业和领域由主管部门认定（第三十三条），运营者通常经由行业主管部门通知或申报纳入；一旦纳入，从采购审查（第三十七条）到数据出境评估（第三十九条）的整组义务一并触发。
三、不履行的代价
按第六十一条第三款框架，关基运营者不履行第三十五、三十六、三十八、四十条义务的：责令改正、警告，可处五万到十万罚款；拒不改正或导致危害后果的，处十万到一百万罚款，直接负责的主管人员和其他直接责任人员另罚——比起等保一般义务的罚款档次，明显更重。
怎么知道自己是不是「关基」：由行业主管部门按认定规则确定并通知运营者，企业通常在监管沟通、行业通报或采购审查环节获知；不确定的，可以向主管部门书面问询，不要等检查时才补。还有两项常被漏掉：关基运营者采购网络产品和服务，可能影响国家安全的，要按第三十七条通过网络安全审查；每年还要按第三十八条自行或者委托专业机构开展检测评估并报送结果——这两项与上述五项义务并列，缺一项就是合规缺口。
边界：这条用不上的情形
不适用本条的情形：非关基的一般网络运营者（只担第二十三条等保义务）；关基认定范围外的中小企业系统；特定领域另有更严规定的（金融、能源行业主管部门规章从其规定）。
一句话总结：被纳入关键信息基础设施，就要在等保之外再加五件事——专门机构加背景审查、定期培训考核、容灾备份、应急演练、其他法定义务；清单化的合规盘点，是这类运营者每年都绕不开的功课。
以上内容为一般性法律知识介绍，不构成正式法律意见。具体合规事项请结合行业主管部门要求，咨询执业律师后落实。