网络安全经费保障管理办法

网络安全经费保障管理办法第一章总则第一条为深入贯彻落实国家网络安全相关法律法规，全面加强本单位网络安全保障能力建设，规范网络安全经费的管理与使用，确保网络安全工作的资金投入与业务发展需求相适应，特制定本办法。本办法旨在通过建立科学、规范、高效的经费保障机制，落实网络安全主体责任，提升网络安全防护水平，有效防范和化解网络安全风险。第二条本办法所称网络安全经费，是指专门用于保障网络基础设施安全、数据安全、信息系统安全、业务连续性以及网络安全管理、建设、运维、应急响应和教育培训等各项活动的资金。经费来源包括年度预算拨款、专项建设资金、上级补助资金以及其他合规渠道筹集的资金。第三条网络安全经费的管理与使用应当遵循“统筹规划、分级负责、专款专用、注重实效”的原则。（一）统筹规划：结合本单位整体信息化发展战略和网络安全形势，统一编制年度网络安全经费预算，确保资金投入的系统性、前瞻性和协调性。（二）分级负责：明确各部门在经费申报、使用、管理中的职责，实行归口管理，责任到人。（三）专款专用：网络安全经费必须用于本办法规定的支出范围，不得截留、挤占、挪用或擅自改变用途。（四）注重实效：经费投入应以解决实际安全问题、提升安全防护能力为核心目标，建立绩效评价机制，提高资金使用效益。第四条本办法适用于本单位各部门及所属机构。所有涉及网络安全建设、运维、管理及相关采购活动的经济行为，均须遵守本办法。第二章组织管理与职责分工第五条网络安全与信息化领导小组（以下简称“领导小组”）是网络安全经费管理的决策机构，负责审定年度网络安全经费预算、重大开支项目及经费使用情况的年度报告。领导小组负责统筹协调跨部门的重大网络安全项目经费安排，确保资金投入满足关键信息基础设施保护及重要数据安全的合规要求。第六条财务部门是网络安全经费的财务管理机构，主要职责包括：（一）协助网络安全管理部门进行年度预算的编制、汇总和平衡；（二）负责经费的核算、报销、资金拨付等财务处理工作；（三）监督经费的使用情况，确保符合国家财经法规和本单位财务管理制度；（四）配合审计部门和网络安全管理部门开展经费审计与绩效评价。第七条网络安全管理部门是经费管理的归口执行机构，主要职责包括：（一）根据网络安全建设规划和年度工作计划，提出经费需求；（二）组织编制年度网络安全经费预算草案，明确经费投向和投量；（三）负责经费使用过程中的技术审核，确保采购的网络安全产品和服务符合技术标准；（四）跟踪项目实施进度，提出资金支付申请；（五）建立经费使用台账，定期向领导小组报告经费执行情况。第八条业务部门作为网络安全的使用方和需求方，负责配合网络安全管理部门梳理本部门的业务安全需求，参与相关项目的预算申报，并按照批准的预算和计划执行具体的安全建设任务。第九条采购部门（或招标办公室）负责网络安全相关产品和服务采购工作的组织实施，确保采购过程公开、公平、公正，符合相关采购管理制度，并在预算控制范围内完成采购任务。第十条内部审计部门负责对网络安全经费的管理和使用情况进行独立审计，监督预算执行情况，评估资金使用效益，对发现的违规行为提出处理建议。第三章预算编制原则与标准第十一条网络安全经费预算编制应当依据国家网络安全等级保护制度、关键信息基础设施安全保护条例以及行业监管要求，结合本单位信息系统等级、数据重要性和业务敏感性，实行差异化保障。第十二条预算编制采用“基线保障+专项投入”的模式。（一）基线保障：指为维持信息系统基本安全防护能力所必需的持续性投入，包括防火墙、防病毒、入侵检测、日志审计、漏洞扫描等基础安全设施的运维升级，以及日常安全监测、漏洞修补和合规性评估费用。基线保障经费应按照信息化总预算的一定比例（建议不低于5%-10%）进行足额安排。（二）专项投入：指针对新系统建设、系统升级改造、重大安全专项治理、攻防演练、应急响应以及新技术应用所增加的专项安全费用。专项投入应根据项目实际需求进行单独核算，确保“三同步”（同步规划、同步建设、同步使用）原则的落实。第十三条年度预算编制流程：（一）每年第三季度，网络安全管理部门启动下一年度预算编制工作，各业务部门提交安全需求及预算申请；（二）网络安全管理部门对需求进行汇总、评估和审核，结合资产清单和风险评估结果，编制年度经费预算草案；（三）财务部门对预算草案进行合规性审查和资金平衡；（四）预算草案报领导小组审议通过后，纳入本单位年度总预算。第十四条根据信息系统的安全等级，设定差异化的经费保障标准。对于三级及以上信息系统，应当重点保障其在安全技术体系、安全管理体系和安全运营体系方面的资金需求，确保具备抵御高级持续性威胁（APT）的能力。信息系统等级经费保障重点内容建议预算权重（占IT总预算比例）第一级（自主保护级）基础网络防护、终端防病毒、简单身份认证≥3%第二级（指导保护级）防火墙、入侵检测、漏洞扫描、日志审计、定期测评≥5%第三级（监督保护级）态势感知、数据库审计、加密传输、代码审计、渗透测试、安全运维中心≥8%第四级（强制保护级）高级威胁检测、数据防泄漏、零信任架构、应用安全开发、全方位应急演练、灾备建设≥12%关键信息基础设施供应链安全、全方位监测预警、实战化攻防演练、容灾备份、专用安全设备、专业安全服务团队≥15%第十五条预算编制中应当包含网络安全人员培训费用，包括参加行业安全会议、专业资质认证（如CISP、CISSP等）培训、内部安全意识教育等，确保安全团队的专业能力持续提升。第四章经费使用范围与界定第十六条网络安全经费的使用范围主要包括以下六个方面：（一）网络安全技术体系建设与运维费用1.硬件设施费：包括防火墙、WAF、IDS/IPS、堡垒机、VPN、网闸、加密机、工业控制系统防护设备等安全硬件的购置、租赁和升级换代费用。2.软件系统费：包括终端安全管理软件、防病毒软件、数据库审计系统、日志审计系统、漏洞扫描系统、数据脱敏系统、身份认证系统、安全管理平台（SOC）等软件的购置、授权、升级和维护费用。3.运维服务费：包括安全设备的托管服务、云安全服务（如云WAF、云抗DDoS）、安全补丁更新服务、特征库升级服务、威胁情报订阅服务等持续性费用。（二）安全评估与合规性测评费用1.等级保护测评费：用于委托具有资质的第三方机构对信息系统进行等级保护测评的费用。2.风险评估费：用于开展年度网络安全风险评估、上线前安全评估、数据出境安全评估等费用。3.代码审计费：用于对关键业务系统源代码进行安全性审计的费用。4.渗透测试费：用于模拟黑客攻击对系统进行渗透测试、漏洞挖掘验证的费用。5.商用密码应用安全性评估费：用于开展密评工作产生的相关费用。（三）安全监测与应急响应费用1.监测服务费：用于7x24小时网络安全监测、威胁分析、研判预警等服务的费用。2.应急响应服务费：用于在发生网络安全事件时，委托第三方专业机构进行应急处置、取证溯源、系统恢复的费用。3.攻防演练费：用于组织或参与内部及行业性的网络安全攻防实战演练、红蓝对抗演练所产生的费用。（四）数据安全保护费用1.数据防护费：用于数据加密、脱敏、水印、备份恢复、访问控制等数据安全产品的购置和维护费用。2.数据治理费：用于数据分类分级梳理、数据资产测绘、数据流向分析等咨询和服务费用。（五）安全培训与意识教育费用1.培训费：用于组织网络安全知识讲座、技能竞赛、岗位培训的费用。2.认证费：用于资助员工考取网络安全专业资格证书的费用。3.宣传费：用于制作安全宣传手册、海报、视频等物料，开展全员网络安全意识宣传活动的费用。（六）其他与网络安全直接相关的费用包括网络安全法律法规咨询、安全标准编制、安全保险采购、安全会议交流等费用。第十七条下列费用不得从网络安全经费中列支：（一）与网络安全无直接关系的信息化项目建设费用（如业务系统功能开发费用）；（二）通用IT设备的购置费用（如普通PC、打印机，除非是专门用于安全管理的设备）；（三）办公场所的装修、水电物业等日常行政费用；（四）罚款、滞纳金、赞助费、捐赠费等违规或无关支出。第五章预算申报与审批流程第十八条年度预算一经批准，必须严格执行。在预算执行过程中，各部门应严格按照时间节点推进工作，确保预算执行进度与安全工作进度相匹配。第十九条建立预算调整机制。因国家政策调整、网络安全形势发生重大变化、业务需求发生重大变更等不可预见因素，确需调整预算的，应当按照以下流程办理：（一）由需求部门提出预算调整申请，详细说明调整理由、调整金额及测算依据；（二）网络安全管理部门进行技术审核，评估调整的必要性和合理性；（三）财务部门进行资金审核，确认资金来源；（四）调整金额在一定额度内的（如总预算的10%以内），由网络安全管理部门和财务部门联合审批；超过额度的，须报领导小组审批。第二十条专项经费的申报。对于上级部门下达的网络安全专项任务或本单位新增的重大安全项目，需单独编制项目可行性研究报告和经费预算方案，按照“一事一议”的原则，经领导小组审议通过后，纳入专项经费管理。第二十一条经费审批权限划分：（一）单笔支出在5万元（含）以下的，由网络安全管理部门负责人审批；（二）单笔支出在5万元以上、20万元（含）以下的，由网络安全管理部门负责人审核后，报财务部门负责人审批；（三）单笔支出在20万元以上、50万元（含）以下的，由分管领导审批；（四）单笔支出在50万元以上的，报领导小组组长审批。（注：具体金额阈值可根据本单位实际情况进行调整）第六章经费的执行与支付管理第二十二条网络安全经费的支付应当严格按照合同约定和项目实施进度进行。严禁无预算、超合同进度支付资金。第二十三条对于网络安全产品和服务采购，支付流程如下：（一）到货验收：硬件设备到货后，由网络安全管理部门、采购部门和使用部门共同进行开箱验收，核对型号、配置、数量，并签署验收单；软件服务开通后，需进行功能验证。（二）安装调试：安全产品上线前，必须经过安全策略配置和兼容性测试，确保不影响业务系统正常运行。（三）项目验收：项目实施完成后，组织进行项目验收，验收通过后，方可支付尾款。对于涉及安全效果的持续性服务（如监测服务），应采用分期付款方式，根据服务报告和质量考核情况分批支付。第二十四条财务部门在办理支付手续时，应当对以下要素进行审核：（一）是否在年度预算或专项预算范围内；（二）审批手续是否齐全，是否符合审批权限规定；（三）合同、发票、验收单、入库单等原始凭证是否真实、合法、有效；（四）资金支付方式是否符合国库集中支付或本单位财务规定。第二十五条建立经费使用台账制度。网络安全管理部门应当建立详细的经费管理台账，实时记录每一笔经费的预算科目、合同金额、已支付金额、未支付金额、资金流向、关联项目等信息，实现经费使用的精细化管理。第二十六条对于涉及政府采购目录内的网络安全产品和服务，必须严格按照政府采购法律法规和本单位采购管理制度执行，确保采购过程合规。达到公开招标数额标准的项目，必须进行公开招标。第七章应急经费保障机制第二十七条为应对突发的网络安全重大事件，设立网络安全应急备用金。应急备用金按照年度网络安全经费总预算的5%-10%进行提取，实行专户管理（或专项核算），滚动使用。第二十八条启动应急经费的条件：（一）发生关键信息基础设施瘫痪、大规模数据泄露、勒索病毒感染等重大网络安全事件；（二）国家或行业主管部门发布紧急安全预警，要求立即开展大规模排查和加固；（三）重大活动期间（如全国两会、重要赛事等）发现高危漏洞或面临持续攻击，需紧急采购安全服务或防护资源；（四）其他经领导小组认定为紧急情况的安全需求。第二十九条应急经费的使用遵循“特事特办、急事急办”的原则。在紧急状态下，可先由网络安全管理部门负责人及分管领导口头同意后立即调动资金实施采购或处置，事后5个工作日内补齐书面审批手续和相关凭证，并向财务部门报备。第三十条应急事件处置结束后，网络安全管理部门应当对应急经费的使用情况进行专项说明，包括事件背景、投入金额、采购清单、处置效果等，纳入年度经费使用总结报告。第八章资产与采购管理第三十一条使用网络安全经费购置的硬件设备、软件系统，均属于本单位资产，必须纳入资产管理部门统一登记和管理，建立资产卡片，明确责任人。第三十二条网络安全资产的处置（如报废、转让、捐赠）必须符合国家保密规定和资产管理规定。对于存储过敏感信息的安全设备（如防火墙、加密机、硬盘等），在报废前必须进行彻底的数据清除或物理销毁，严禁直接作为废旧物资出售，防止数据泄露。第三十三条加强对网络安全服务采购的管理。在采购渗透测试、代码审计、应急响应等服务时，必须严格审查服务商的资质（如CCRC信息安全服务资质），并在合同中明确保密义务、知识产权归属、服务交付物标准及违约责任。对于涉及核心数据的服务，应当签署保密协议，并要求服务人员签署个人保密承诺书。第三十四条鼓励采用“安全即服务”的模式。对于云环境下的业务系统，优先采购云服务商提供的安全组件或安全服务，降低自建安全设施的成本，提高安全防护的灵活性。第九章监督、审计与责任追究第三十五条建立经费使用定期报告制度。网络安全管理部门每季度向财务部门和领导小组报送网络安全经费执行情况表，包括预算执行率、主要支出项目、存在的问题及下一步计划。年度终了，编制年度网络安全经费决算报告。第三十六条内部审计部门应当将网络安全经费管理纳入年度审计计划。审计重点包括：（一）预算编制的科学性和合理性；（二）经费支出的真实性和合规性；（三）资金使用的效益性，是否存在损失浪费；（四）采购过程的合法合规性；（五）资产管理的规范性。第三十七条绩效评价。建立网络安全经费绩效评价指标体系，从“投入产出比”、“风险降低率”、“漏洞修复及时率”、“事件响应速度”等维度进行量化考核。绩效评价结果作为下一年度预算调整的重要依据。对于绩效评价差的项目，核减其后续预算。第三十八条违规处理。对于违反本办法规定，有下列行为之一的，责令限期整改，并视情节轻重追究相关部门和人员的责任：（一）未按规定编制预算或随意调整预算的；（二）虚报、冒领、截留、挪用网络安全经费的；（三）未经批准，擅自改变经费用途的；（四）在采购中弄虚作假、串通投标、规避招标的；（五）因管理不善，造成网络安全资产严重流失或损坏的；（六）利用经费谋