智利：《网络安全与关键信息基础设施框架法》颁布

Bofill Mir，智利 ——2024年3月26日，共和国总统颁布了《网络安全与关键信息基础设施框架法》。因此，该法尚待在《官方公报》上公布。该法对网络安全领域作出了多项调整并引入了新规定。

以下列出其中一些重要内容。

一、目标与原则

该法旨在确立制度框架、原则和一般规范，以构建、规范和协调国家机关的网络安全行动，以及国家机关与私人主体之间的相关行动。该法还规定了预防、遏制、处置和应对网络安全事件的最低要求，以及受规制机构的义务、控制和监督机制、责任与处罚等。该法列举了一系列受规制主体必须遵守的原则和义务。

该法列明的原则包括：（i）损害控制；（ii）配合主管机关；（iii）协调；（iv）网络空间安全；（v）负责任地应对；（vi）信息安全；（vii）合理性；以及（viii）默认安全与隐私保护及安全与隐私保护融入设计。

二、受规制主体

该法适用于新设立的国家网络安全局认定为「基本服务」的机构，以及被认定为「关键重要运营者」的机构。基本服务包括：

— 国家行政机关和国家电力协调机构提供的服务；
— 依据公共服务特许经营提供的服务；
— 从事发电、输电或配电；燃料运输、储存或配送；饮用水供应或污水处理；电信；数字基础设施；数字服务；由第三方管理的信息技术服务；陆路、航空、铁路或海上运输及相关基础设施运营；银行、金融服务和支付方式；社会保障待遇管理；邮政和快递服务；由医院、诊所、门诊部和医疗中心等机构提供的医疗服务；以及药品生产和／或研发的私人机构所提供的服务。

符合以下条件的主体属于关键重要运营者（「OIV」）：

— 相关服务的提供依赖计算机网络和系统；并且
— 其服务受到影响、拦截、中断或破坏，将对安全和公共秩序、基本服务的持续和正常提供、国家职能的有效履行，或国家应提供或保障的服务造成重大影响。
— 此外，对于符合上述2项条件，且在保障民众供应、商品分销或生产对国家至关重要或具有战略意义的商品方面发挥关键作用的私人机构，或者因其风险暴露程度及网络安全事件发生概率（包括事件严重程度及相关社会和经济后果）而符合条件的私人机构，国家网络安全局也可将其认定为 OIV。

三、义务

受该法规制的机构必须持续采取措施，预防、报告和处置网络安全事件。OIV 的主要义务包括：

— 建立持续运行的信息安全管理体系，以识别可能影响网络、计算机系统和数据安全以及服务运营连续性的风险。
— 按照条例规定，保存构成信息安全管理体系的各项已执行措施的记录。— 制定并实施运营连续性和网络安全计划。
— 在能够识别潜在受影响方的情况下，并应国家网络安全局要求，告知其可能严重危及其信息、网络或计算机系统的事件或网络攻击，尤其是在涉及个人数据且没有其他法律规定要求通知的情况下。
— 指定网络安全负责人。此外，所有受该法规制的机构均须在3小时内向国家计算机安全事件响应小组（CSIRT）报告可能产生该法所规定重大影响的网络攻击和网络安全事件。

四、新的制度架构

该法设立了新的制度架构，专门负责维护和促进该国的网络安全。该架构主要由以下机构组成：

— 国家网络安全局；
— 网络安全多部门委员会；
— 网络安全部际委员会；
— 国家计算机安全事件响应小组（CSIRT）；
— 国防 CSIRT。

五、国家网络安全局

该局旨在就网络安全相关事项向共和国总统提供建议，协助保护国家在网络空间中的利益，协调具有网络安全职权的机构开展工作，保障信息安全权利得到保护、促进和尊重，并协调和监督国家行政机关在网络安全领域的行动。该局将拥有多项职权，主要包括：

（i）对网络安全领域的法律和法规条文作出行政解释并予以适用；
（ii）建立并管理国家网络安全事件登记册；
（iii）监督该法的遵守情况；
（iv）启动处罚程序，并对受规制主体的违法和违规行为予以处罚。

六、违法行为与处罚

该法将所有受规制机构的违法行为分为轻微、严重和特别严重三类，并为 OIV 规定了具体处罚。违反该法将处以以下罚款：

— 轻微违法：罚款最高5,000 UTM；
— 严重违法：罚款最高10,000 UTM；以及
— 特别严重违法：罚款最高20,000 UTM。

如果违法主体属于关键重要运营者，罚款金额可加倍，最高可达40,000 UTM。

确定罚款时，将考虑违法者为保障运营信息安全所采取必要措施的程度、事件发生的可能性、违法者面临的风险暴露程度、攻击后果的严重性（包括其社会或经济影响）、自事件发生之日起3年内再次违法的情况，以及违法者的规模和经济能力。

七、法律生效

该法在《官方公报》公布后，共和国总统须在1年内颁布具有法律效力的法令，以实施新规，包括确定新设立的国家网络安全局开始运作的期限，并确定该法的生效等待期；该期限自公布之日起不得少于6个月。

BofillMir.cl

作者：

Manuel Bernet - 合伙人 - 知识产权、数据与技术
Jorge Tisné - 高级律师 - 知识产权、数据与技术