2026年1月1日，两大重磅法规——修订后的《中华人民共和国网络安全法》与《个人信息出境认证办法》正式同步施行！这标志着我国网络安全与数据跨境流动治理进入法治化、精细化的新阶段。两项法规的同步施行，既回应了企业跨境业务开展的合规需求，也筑牢了国家网络安全与数据保护的底线。
一、两个法规各自管什么？
两者核心定位清晰且互补：新《网络安全法》作为网络安全领域的基础性、统领性法律，构建了全领域网络安全与数据治理的总体框架，明确了各类网络运营主体的通用安全义务；《个人信息出境认证办法》则是基于《个人信息保护法》制定的专项配套法规，聚焦个人信息跨境传输这一特定场景，为企业提供了标准化、可操作的合规路径，两者共同形成“通用规范+专项指引”的治理格局。
1. 《个人信息出境认证办法》：个人信息跨境的“安全通行证”
《个人信息出境认证办法》的核心价值在于为符合条件的企业提供个人信息出境的合法路径，填补了此前部分中等规模数据跨境场景的合规空白，与数据出境安全评估、标准合同共同构成我国个人信息跨境流动的“三驾马车”合规体系。
核心要点一：明确适用范围
适用条件
具体要求
排除情形
适用主体
普通企业，即非关键信息基础设施运营者
核心领域关键信息基础设施运营者，包括能源、金融、交通、水利、公共通信等关乎国计民生的领域企业，此类主体个人信息出境须通过数据出境安全评估
数据规模
当年累计向境外提供10万至100万条个人信息；或不满1万条敏感个人信息，敏感个人信息涵盖身份证号、手机号、健康数据、金融账户信息等
超过上述数据规模阈值，即累计提供100万条及以上个人信息或1万条及以上敏感个人信息，需通过数据出境安全评估
数据类型
传输数据不含重要数据，重要数据指关乎国家安全、公共利益、经济发展的核心数据
涉及重要数据的跨境传输，无论规模大小，均须通过数据出境安全评估
核心要点二：认证核心安全要求
企业申请个人信息出境认证，需先满足以下基础安全底线要求，这也是认证审核的核心考察要点：
产品或服务设计阶段嵌入安全功能，实行“安全左移”原则，从源头规避安全风险，例如禁用硬编码密码、实施最小权限管理、建立完善的访问控制机制
个人信息传输与存储全程采用符合国家标准的加密技术，确保数据在传输链路和存储介质中不被窃取、篡改或泄露
建立规范的漏洞管理机制，明确漏洞发现、评估、报告、修复的全流程要求，发现高危漏洞后须在14天内向相关部门报告并推进修复
以清晰易懂的方式告知用户产品或服务的安全功能、安全更新周期及安全支持期限，保障用户的知情权与选择权
核心要点三：认证流程概述
认证流程可简化为三步核心环节：一是企业向国家认可的专业认证机构提交完整申请材料，包括企业资质证明、数据处理活动说明、安全措施实施方案等；二是认证机构开展合规评估与技术验证，核实企业是否符合安全要求；三是审核通过后颁发认证证书，证书有效期为3年，有效期内认证机构将每年开展一次监督审核，确保企业持续合规。企业若发生业务范围调整、数据传输规模变化等情况，需及时重新申请评估认证。
2. 新《网络安全法》：网络安全与数据治理的基础性保障
新《网络安全法》在原有基础上完成重大修订，进一步完善了网络安全与数据治理的制度体系，其适用范围覆盖所有网络运营活动及网络运营主体，无论企业是否涉及跨境业务，均需严格遵守。本次修订聚焦当前网络安全领域的新问题、新挑战，形成四项关键突破，为企业网络安全建设划定了明确红线：
突破1：首次明确规范AI安全治理
随着人工智能技术在各行业广泛应用，AI安全风险日益凸显，此次修订专门增设AI安全专条。明确国家支持人工智能基础理论研究与关键技术研发，同时强化AI风险监管，禁止任何危害国家安全、公共利益和公民合法权益的AI应用。对于AI驱动的网络产品和服务，无论是否涉及跨境，均须符合网络安全国家标准并完成安全评估，方可投入市场运营。
突破2：强化数据本地存储与出境管控
进一步明确数据本地化存储要求，关键信息基础设施运营者在境内运营中收集和产生的个人信息与重要数据，必须在境内存储。确因业务需要向境外传输的，仅可通过数据出境安全评估这一唯一路径，严禁通过其他方式规避监管。这一要求旨在保障核心数据安全，防范数据跨境传输带来的国家安全风险。
突破3：大幅提升处罚力度形成震慑
为强化法规执行力，本次修订显著提高了违法成本。对危害网络安全的违法行为，罚款上限从原有的50万元提升至1000万元；情节特别严重的，可处1000万元以上5000万元以下罚款，同时可责令关闭网站、吊销相关业务许可证或营业执照。此外，新增对直接负责的主管人员和其他直接责任人员的处罚条款，罚款上限可达100万元，形成对企业与个人的双重震慑。
突破4：扩大域外适用范围实现全面监管
顺应网络空间全球治理的需求，新《网络安全法》明确了域外适用效力。境外机构、组织、个人针对我国关键信息基础设施实施攻击、侵入、干扰、破坏等危害网络安全的活动，即便行为发生在境外，仍可依据本法追究其法律责任。同时，对向我国境内提供网络产品和服务的境外提供者提出明确安全要求，须符合我国网络安全国家标准，否则不得进入我国市场。
二、两个法规怎么一起管？
两项法规并非孤立适用，而是形成紧密的协同治理逻辑。对于涉及个人信息出境的企业而言，必须同时满足两项法规的要求，缺一不可，否则将面临合规风险。
协同维度
具体体现
对企业的影响
法律层级
新《网络安全法》作为上位法，确立网络安全与数据治理的基本原则和总体要求；《个人信息出境认证办法》作为下位配套法规，细化个人信息出境的具体标准和操作流程
企业需全面兼顾两项法规要求，不可仅满足单一法规而忽视另一项，确保合规无死角
适用边界
新《网络安全法》规范所有网络运营活动及数据处理行为；《个人信息出境认证办法》仅聚焦个人信息跨境传输这一特定场景
涉及跨境业务的企业，需先依据新《网络安全法》完善境内网络安全与数据保护体系，再按照《个人信息出境认证办法》的要求完成出境合规流程
处罚衔接
《个人信息出境认证办法》明确规定，违规行为将依据新《网络安全法》《个人信息保护法》等相关法律法规进行处罚，形成处罚合力
违规成本呈现叠加效应，企业需高度重视合规工作，建立全流程风险防控机制
三、常见认知误区与企业合规指引
综上，新《网络安全法》与《个人信息出境认证办法》的同步施行，构建了“上位法统领+专项规制”的网络安全与数据跨境治理体系，核心要义在于实现安全与发展的统筹兼顾。一方面，通过明确合规路径，为企业跨境业务开展提供稳定的制度预期；另一方面，通过严格监管与严厉处罚，筑牢网络安全与数据保护底线。对于企业而言，合规并非额外负担，而是规避法律风险、保障业务持续发展的必要前提，更是提升企业核心竞争力的重要支撑。
···
探索 · 专注 · 领先工匠精神 从始至终 探索之途 一往无前