隨著信息網(wǎng)絡技術(shù)的發(fā)展，新的商業(yè)模式的出現(xiàn)，人們的工作生活得到了極大豐富，也促成了新的權(quán)利義務關(guān)系的產(chǎn)生，新的違法犯罪模式的出現(xiàn)，對法律的修改完善提出了新的要求。為了回應這一要求，2015年通過的刑法修正案（九）在第286條破壞計算機系統(tǒng)罪之后補充了拒不履行信息網(wǎng)絡安全管理義務罪，為網(wǎng)絡服務提供商劃定了法律紅線。
一、 刑修九新增罪名：拒不履行信息網(wǎng)絡安全管理義務罪
在網(wǎng)絡安全事件頻發(fā)，網(wǎng)絡空間亟需建立新的秩序的當下，網(wǎng)絡服務提供商因其在網(wǎng)絡空間的中介地位以及技術(shù)性優(yōu)勢，在網(wǎng)絡安全保障之戰(zhàn)中的地位是不言而喻的，如果不能保證網(wǎng)絡服務提供者依法履行其義務，網(wǎng)絡安全也就難以推進，因而刑法新增的這一規(guī)定可謂是及時雨。
根據(jù)第286條之一的規(guī)定，網(wǎng)絡服務提供者不履行法律、行政法規(guī)規(guī)定的信息網(wǎng)絡安全管理義務，經(jīng)監(jiān)管部門責令采取改正措施而拒不改正，造成違法信息大量傳播、用戶信息泄露后果嚴重、刑事案件證據(jù)滅失等結(jié)果的，構(gòu)成拒不履行信息網(wǎng)絡安全管理義務罪。根據(jù)該條規(guī)定，成立本罪的前提條件是：（1）網(wǎng)絡服務提供者不履行法律、行政法規(guī)規(guī)定的信息網(wǎng)絡安全管理義務，（2）經(jīng)監(jiān)管部門責令采取改正措施而拒不改正，（3）導致出現(xiàn)危害社會的結(jié)果。但是，對于網(wǎng)絡服務提供者的范圍以及其應該遵守何種信息網(wǎng)絡安全管理義務，刑法修正案（九）并沒有作出明確規(guī)定。
人大法工委在對刑法修正案（九）的解釋中，首先從主體的角度出發(fā)，明確了本條中的“網(wǎng)絡服務提供者”同時包括互聯(lián)網(wǎng)接入服務提供者和互聯(lián)網(wǎng)內(nèi)容服務提供者，前者即為終端用戶提供專線、撥號上網(wǎng)等服務的提供商，而后者指代的則是包括新浪、搜狐等向用戶提供新聞、信息、資料、音視頻等內(nèi)容服務的提供商。
而從行為的角度而言，人大法工委指出，認定行為人是否有不履行安全管理義務行為時，要結(jié)合法律和行政法規(guī)對于安全管理義務的具體規(guī)定，主要義務來源包括《全國人大常委會關(guān)于加強網(wǎng)絡信息保護的決定》《互聯(lián)網(wǎng)信息服務管理辦法》《電信條例》等。人大法工委還特別指出，網(wǎng)絡服務提供者的安全管理義務主要包括落實網(wǎng)絡安全管理制度和安全保護技術(shù)措施、及時發(fā)現(xiàn)和處置違法信息，及對網(wǎng)上信息和網(wǎng)絡日志信息記錄進行備份和留存。
人大法工委對“網(wǎng)絡服務提供者”的解釋是基于對PC時代互聯(lián)網(wǎng)的理解作出的，不能解決移動互聯(lián)網(wǎng)以及物聯(lián)網(wǎng)時代的許多問題。《全國人大常委會關(guān)于加強網(wǎng)絡信息保護的決定》作為法律卻僅強調(diào)對個人信息的保護；《互聯(lián)網(wǎng)信息服務管理辦法》《電信條例》是行政法規(guī)，對網(wǎng)絡服務提供者安全管理義務規(guī)定是零散的，缺乏系統(tǒng)性，存在多個監(jiān)管部門之間的職責不清，處罰標準不明、處罰依據(jù)不充分的問題。
二、 刑法與網(wǎng)絡安全法規(guī)之銜接：從難以落實到柳暗花明
拒不履行信息網(wǎng)絡安全管理義務罪的制定雖然看似是互聯(lián)網(wǎng)監(jiān)管的一場及時雨，但卻并沒有起到解決燃眉之急的作用。但從已公布的裁判文書以及相關(guān)新聞報道來看，自2015年刑法修正案（九）生效至今，這一罪名的司法實踐仍然近乎一紙空白。中國裁判文書網(wǎng)上可以檢索到的以該罪名定罪的案件目前只有三起，其中兩起涉及非法提供VPN服務，例如2018年9月做出判決的胡某拒不履行信息網(wǎng)絡安全管理義務一案，被告人胡某利用上海絲洱網(wǎng)絡科技有限公司擅自建立其他信道進行國際聯(lián)網(wǎng)，且經(jīng)上海市公安局浦東分局行政處罰后仍不改正，最終被判處拘役六個月，緩刑六個月，罰金人民幣三萬元。以及2018年12月做出判決的朱皓非法獲取計算機信息系統(tǒng)數(shù)據(jù)、非法控制計算機信息系統(tǒng)一案，被告人朱某注冊成立公司并創(chuàng)建網(wǎng)站以銷售VPN軟件，供用戶訪問境外互聯(lián)網(wǎng)網(wǎng)站，公訴機關(guān)以非法獲取計算機信息系統(tǒng)數(shù)據(jù)、非法控制計算機信息系統(tǒng)罪之名義起訴，但法院認為朱某的行為應當構(gòu)成拒不履行信息網(wǎng)絡安全管理義務罪。另一起案件則涉及非法開設線上賭場，但這些案件對于網(wǎng)絡服務提供商而言，似乎都不具有很大的可供參考性。
拒不履行信息網(wǎng)絡安全管理義務罪未能得到充分的落實與這一罪名的特殊性有不可分割的關(guān)系。正如前文所述，構(gòu)成本罪的行為要求網(wǎng)絡服務提供者未按照法律及行政法規(guī)的要求履行安全管理義務，經(jīng)監(jiān)管部門責令采取改正措施而拒不改正，這就使得本罪天然具有刑法與其他法律、行政法規(guī)相銜接的問題。但是，我國的網(wǎng)絡安全法規(guī)體系，在網(wǎng)絡安全法出臺以前，體現(xiàn)出的不完備和碎片化的特點，導致了本罪適用的困難。
2016年11月7日，《網(wǎng)絡安全法》發(fā)布。根據(jù)《網(wǎng)絡安全法》的規(guī)定，承擔危害網(wǎng)絡安全的責任主體有: 網(wǎng)絡運營者，網(wǎng)絡產(chǎn)品、服務的提供者，關(guān)鍵信息基礎(chǔ)設施的運營者，電子信息發(fā)送服務提供者和應用軟件下載服務提供者等。這些負有維護信息網(wǎng)絡安全管理義務的主體因具體角色不同，承擔的維護網(wǎng)絡安全義務有所區(qū)別，但承擔義務的本質(zhì)是相同的。《網(wǎng)絡安全法》規(guī)定的其網(wǎng)絡安全管理義務可以大致分為兩類: 一是一般性義務，即網(wǎng)絡安全責任主體均應遵守的義務; 二是特殊性義務，即與具體網(wǎng)絡主體有關(guān)的維護網(wǎng)絡安全的義務。
值得注意的是，《網(wǎng)絡安全法》規(guī)定的承擔危害網(wǎng)絡安全的責任主體在名稱上與刑法修正案（九）規(guī)定的拒不履行信息網(wǎng)絡安全管理義務罪的主體（網(wǎng)絡服務提供者）似乎并不一致。不久前剛剛施行的兩高《關(guān)于辦理非法利用信息網(wǎng)絡、幫助信息網(wǎng)絡犯罪活動等刑事案件適用法律若干問題的解釋》，對“網(wǎng)絡服務提供者”的范圍進行了明確，基本涵蓋了《網(wǎng)絡安全法》規(guī)定的承擔危害網(wǎng)絡安全的責任主體。
如前所述《網(wǎng)絡安全法》規(guī)定的網(wǎng)絡安全管理義務可以分為兩類: 一是一般性義務，二是特殊性義務。一般性義務，是網(wǎng)絡安全責任主體均應遵守的義務。而實施網(wǎng)絡安全等級保護則是網(wǎng)絡安全管理一般性義務中最基本的安全保護義務。
三、 網(wǎng)絡服務提供者安全管理義務新視角：等保2.0
新技術(shù)的發(fā)展使信息網(wǎng)絡安全管理義務的范圍不斷變化。另一可能促使拒不履行信息網(wǎng)絡安全管理義務罪在實務中適用增多的因素是網(wǎng)絡安全等級保護2.0（以下簡稱“等保2.0”）時代的到來。
《網(wǎng)絡安全法》明確提出實行網(wǎng)絡安全等級保護制度；但是《網(wǎng)絡安全法》關(guān)于網(wǎng)絡安全等級保護義務的規(guī)定較為原則，仍然不能滿足法律實踐的需要。為了深入推進實施國家網(wǎng)絡安全等級保護制度，公安部已制定《網(wǎng)絡安全等級保護條例（征求意見稿）》，細化了各類網(wǎng)絡安全等級保護義務。需要注意的是，網(wǎng)絡應用與科技密切相關(guān)，只有將網(wǎng)絡安全等級保護義務與技術(shù)標準相結(jié)合，才可能具體明確網(wǎng)絡安全等級保護義務的范圍。
1994年國務院發(fā)布了《計算機信息系統(tǒng)安全保護條例》，首次提出了國家信息安全工作信息系統(tǒng)是分等級實施保護的，標志我國信息安全工作信息系統(tǒng)分級的開始。根據(jù)人大法工委對拒不履行信息網(wǎng)絡安全管理義務罪的解釋，落實網(wǎng)絡安全管理制度是網(wǎng)絡服務提供者安全管理義務的組份，而這一制度應當以網(wǎng)絡安全等級保護制度為一大重點。
2007年，公安部等四部門頒布了《信息安全等級保護管理辦法》，明確了等級保護所有的相關(guān)的工作以及各種參與決策的職責分工等等，從此等級保護這項工作就正式開始實施，此后，在2008年至2012年間，包括《信息安全技術(shù)信息系統(tǒng)安全等級保護基本要求》在內(nèi)的網(wǎng)絡安全等級保護1.0相關(guān)國家標準相繼問世。
隨著安全趨勢和形勢的變化，以及新技術(shù)、新應用、新業(yè)務形態(tài)的大量出現(xiàn)，尤其是大數(shù)據(jù)、物聯(lián)網(wǎng)、云計算等的應用，網(wǎng)絡安全產(chǎn)業(yè)產(chǎn)生了巨大變革，原來發(fā)布的標準已經(jīng)不再適用于當前的安全要求。因此從2015年開始，我國開始逐步著手制定等保2.0標準，從而滿足我國現(xiàn)階段網(wǎng)絡信息基礎(chǔ)設施大量應用的安全形勢的要求。于2017年開始正式實施的《網(wǎng)絡安全法》中明確提出實行網(wǎng)絡安全等級保護制度，也正式拉開了等保2.0的序幕。今年12月，《信息安全技術(shù) 網(wǎng)絡安全等級保護基本要求》、《信息安全技術(shù)網(wǎng)絡安全等級保護測評要求》和《信息安全技術(shù) 網(wǎng)絡安全等級保護安全設計技術(shù)要求》三個國家標準將正式實施，標志著我們將正式邁入等保2.0時代。
這一《網(wǎng)絡安全法》配套法規(guī)體系的建立，也將為網(wǎng)絡服務提供者建立起一個重要的行為準則體系，同時，拒不履行信息網(wǎng)絡安全管理義務罪中網(wǎng)絡服務提供者的安全管理義務也將得以更好地明確化。如果網(wǎng)絡服務提供者沒有及時依規(guī)建立等級保護系體，且具有拒不履行網(wǎng)安部門發(fā)出的整改通知書，并造成司法解釋中所列的嚴重后果的情形，不僅會導致企業(yè)、機構(gòu)被處以罰金，更可能導致主管人員和其他責任人員被處三年以下有期徒刑、拘役或者管制。
事實上，近年來，因未做好等保合規(guī)而受到行政處罰的案例已屢見不鮮，例如在2017年7月20日，廣東汕頭網(wǎng)警對市內(nèi)某信息科技有限公司三級以上系統(tǒng)未按規(guī)定進行網(wǎng)絡安全等級測評，作出警告和責令改正處罰，以及在2018年3月26日，株洲市網(wǎng)安部門對某教育科技公司未落實網(wǎng)絡安全等級保護制度，約談法人代表及管理員，作出警告并責令改正處罰。隨著網(wǎng)安法發(fā)布及相關(guān)配套規(guī)范的出臺，網(wǎng)絡安全等級保護制度與刑法規(guī)定之間的銜接越來越通暢，企業(yè)因未做好等保合規(guī)而承擔刑事責任的可能性也就越來越大。等保2.0相關(guān)標準與兩高這一重要司法解釋前后腳出臺，頒布、生效時間相差不足數(shù)月，也許正是相關(guān)部門在向網(wǎng)絡服務提供者發(fā)出信號：及時建立網(wǎng)絡安全等級保護體系，不僅是在保護用戶，也是在保護提供商自己。
四、 結(jié)語
刑法修正案（九）規(guī)定了拒不履行信息網(wǎng)絡安全管理義務罪，但是對于網(wǎng)絡服務提供者據(jù)不履信息網(wǎng)絡安全管理義務的認定，需要依據(jù)法律、行政法規(guī)規(guī)定及監(jiān)管部門的行政處罰；本罪規(guī)定的信息網(wǎng)絡安全管理義務系將行政責任上升為刑事責任。
我國現(xiàn)存的網(wǎng)絡安全法規(guī)體系對網(wǎng)絡服務提供者規(guī)定了一種一般性、積極性的監(jiān)管義務。而實施網(wǎng)絡安全等級保護則是網(wǎng)絡安全管理一般性義務中最基本的安全保護義務。網(wǎng)絡應用與科技密切相關(guān)，只有將網(wǎng)絡安全等級保護義務與技術(shù)標準相結(jié)合，才可能具體明確網(wǎng)絡安全等級保護義務的范圍。
新技術(shù)的發(fā)展使信息網(wǎng)絡安全管理義務的范圍不斷變化。移動互聯(lián)網(wǎng)、物聯(lián)網(wǎng)的發(fā)展促使網(wǎng)絡安全等級保護2.0時代的到來。網(wǎng)絡安全等級保護2.0在增加了信息網(wǎng)絡安全管理義務范圍的同時，也明確了信息網(wǎng)絡安全管理義務的具體行為。這將會極大增加拒不履行信息網(wǎng)絡安全管理義務罪在實務中的適用。
信息網(wǎng)絡安全管理責任猶如懸在網(wǎng)絡服務提供者頭上的一把“達摩克利斯之劍”。對于網(wǎng)絡服務提供者而言，防止“達摩克利斯之劍”落下，當務之急就是堅決貫徹實施網(wǎng)絡安全等級保護制度，做好網(wǎng)絡安全保護義務。(Alan和Stella對本文有貢獻。)