713月13日下午，工业和信息化部、国家互联网信息办公室、公安部联合发布了《网络产品安全漏洞管理条例》。本规定旨在维护国家网络安全，保护网络产品和重要网络系统的安全稳定运行，规范漏洞发现、报告、修复和发布，明确网络产品提供商、网络运营商、组织或个人的责任和义务。
通知如下：
自2021年9月1日起，现发布《网络产品安全漏洞管理条例》。
工家互联网信息办公室 公安部
2021年7月12日
《网络产品安全漏洞管理条例》全文
第一条根据《中华人民共和国网络安全法》，制定本规定，规范网络产品安全漏洞的发现、报告、修复和发布，防范网络安全风险。
第二条中华人民共和国境内的网络产品（包括硬件、软件）提供商和网络运营商，以及从事网络产品安全漏洞发现、收集、发布的组织或者个人，应当遵守本规定。
第三条国家互联网信息办公室负责协调网络产品安全漏洞的管理。工业和信息化部负责网络产品安全漏洞的综合管理，负责电信和互联网行业网络产品安全漏洞的监督管理。公安部负责网络产品安全漏洞的监督管理，依法打击利用网络产品安全漏洞实施的违法犯罪活动。
加强跨部门合作，实现网络产品安全漏洞信息实时共享，对重大网络产品安全漏洞风险进行联合评估和处置。
第四条任何组织或者个人不得利用网络产品安全漏洞从事危害网络安全的活动，不得非法收集、销售、发布网络产品安全漏洞信息；知道他人利用网络产品安全漏洞从事危害网络安全的活动的，不得提供技术支持、广告推广、支付结算等帮助。
第五条网络产品提供商、网络运营商和网络产品安全漏洞收集平台应当建立健全网络产品安全漏洞信息接收渠道，保持畅通，保留网络产品安全漏洞信息接收日志不少于6个月。
第六条鼓励有关组织和个人向网络产品提供商报告其产品的安全漏洞。
第七条网络产品提供商应当履行下列网络产品安全漏洞管理义务，确保及时修复和合理发布产品安全漏洞，指导和支持产品用户采取预防措施：
（1）发现或了解提供的网络产品存在安全漏洞后，应立即采取措施，组织验证安全漏洞，评估安全漏洞的危害程度和影响范围；上游产品或部件存在的安全漏洞应立即通知相关产品供应商。
（2）相关漏洞信息应在2天内向工业和信息化部网络安全威胁和漏洞信息共享平台提交。提交内容应包括产品名称、型号、版本、漏洞的技术特点、危害和影响范围。
（3）应及时组织网络产品安全漏洞的修复。产品用户（包括下游制造商）采取软件和固件升级措施的，应及时通知可能受到影响的产品用户，并提供必要的技术支持。
工业和信息化部网络安全威胁和漏洞信息共享平台同时通知国家网络和信息安全信息通知中心和国家计算机网络应急技术处理协调中心。
鼓励网络产品提供商建立提供网络产品安全漏洞的奖励机制，奖励发现并通知提供网络产品安全漏洞的组织或个人。
第八条网络运营商发现或者知道网络、信息系统及其设备存在安全漏洞后，应当立即采取措施，及时验证和修复安全漏洞。
第九条从事网络产品安全漏洞发现、收集的组织或者个人通过网络平台、媒体、会议、竞人，应当遵循必要、真实、客观、有利于防范网络安全风险的原则，并遵守下列规定：
（1）在网络产品提供商提供网络产品安全漏洞修复措施前，不得发布漏洞信息；认为有必要提前发布的，应当与相关网络产品提供商进行评估和协商，并向工业、信息化部、公安部报告，经工业、信息化部、公安部组织评估后发布。
(二)网络运营商使用的网络、信息系统及其设备不得发布安全漏洞的细节。
（3）不得故意夸大网络产品安全漏洞的危害和风险，不得利用网络产品安全漏洞信息进行恶意炒作、欺诈、勒索等违法犯罪活动。
（4）不得发布或提供危害网络安全活动的程序和工具，利用网络产品的安全漏洞。
(五)网络产品安全漏洞发布时，应同时发布修补或防范措施。
(六)未经公安部同意，不得擅自发布网络产品安全漏洞信息。
（7）未披露的网络产品安全漏洞信息不得织或个人提供未披露的网络产品安全漏洞信息。
(八)法律法规的其他有关规定。
第十条任何组织或者个人设立的网络产品安全漏洞收集平台，应当向工业和信息化部备案。工业和信息化部及时向公安部、国家互联网信息办公室通报相关漏洞收集平台，并对通过备案的漏洞收集平台予以公布。
鼓励发现网络产品安全漏洞的组织或个人向工业和信息化部网络安全威胁和漏洞信息共享平台、国家网络和信息安全信息通知中心漏洞平台、国家计算机网络应急技术处理协调中心漏洞平台、中国信息安全评价中心漏洞库提交网络产品安全漏洞信息。
第十一条从事网络产品安全漏洞发现和收集的组织应当加强内部管理，采取措施防止网络产品安全漏洞信息泄露和非法发布。
第十二条网络产品提供商未按照本规定采取网络产品安全漏洞补救或者报告措施的，由工业和信息化部、公安部依照各自的职责处理；构成《中华人民共和国网络安全法》第六十条的，依照本规定处罚。
第十三条网络运营商未按照本规定采取网络产品安全漏洞修复或者预防措施的，由有关主管部门依法处理；构成《中华人民共和国网络安全法》第五十九条规定的，依照本规定处罚。
第十四条工业和信息化部、公安部违反本规定收集、发布网络产品安全漏洞信息的，依照各自的职责处理；构成《中华人民共和国网络安全法》第六十二条的，依照本规定处罚。
第十五条利用网络产品安全漏洞从事危害网络安全活动，或者为他人利用网络产品安全漏洞从事危害网络安全活动提供技术支持的，由公安机关依法处理；构成犯罪的，依法追究刑事责任。
第十六条本规定自2021年9月1日起生效。