全球網絡安全政策法律趨勢展望分析

從中國乃至全球視角展望2025 年乃至更長時期內，網絡空間政策法律或將呈現以下趨勢：

1.合作與競爭持續同頻共振，企業出海法律環境更為復雜

國家間、區域間的競爭與合作仍會一如既往地持續并存，經濟和科技領域的博弈可能進一步加深技術代差和全球割裂。拜登政府臨卸任之際，頻繁在 AI、芯片等尖端科技領域出臺對中國的限制措施。而歐盟、加拿大、英國等以單一市場、環保能源、個人數據和國家安全等為由，頻繁制造國際數字貿易的壁壘和障礙。《瓦森納協定》、EAR 等舊有的規則仍在繼續堆疊施壓，新的更嚴厲的框架則可能正在串聯和形成中。隨著中美科技競爭加劇，新上任的特朗普政府大概率會延續拜登政府“小院高墻”政策。由于美國、歐盟、中國等大國關系直接牽動全球格局，中國、美國及歐盟等重要經濟體將繼續呈現競爭與合作并存的態勢，另一方面，隨著“全球南方”國家在世界舞臺上的影響力日益顯著，以及“早期”企業出海的風險傳遞，又必然推動著出海向更深、更遠之處拓延，企業出海既有機遇又必然面臨更多障礙和圍欄。

2025 年是中國提出“一帶一路”倡議第二個十年的開局之年，中國一方面可能繼續通過對內規則優化、對外推動適配和加入CPTPP等重要多邊、雙邊協定等方式開拓和提供更廣闊的營商空間和貿易環境；另一方面，也會進一步強化產業數字化轉型和產能升級，并通過與沿線國家合作，將合作理念上升為進出口監管政策法律和規則層面，通過傳導跨境合規理念和規則，為貿易發展和企業出海提供逆風而上的合規驅動力量。對于企業而言，盡管境內和跨境的多重監管將成為一種普遍，但通過將合規需要視為是第一準則，借助和利用網絡空間合規的高效賦能，在國際競爭中積極探索尋求破局之道，企業的經營能力亦將有更大提升。

2.關基安全融入新型風險，供應鏈安全成為治理關鍵

關基安全已經成為全球各國網絡安全保護中的一項長期性重點任務。隨著人工智能等新技術的引入，供應鏈、數據安全等風險的日益凸顯，除安全評估、風險監測等傳統風險防御手段穩步推進以外，關基安全保護工作也將呈現新的特點。一是如何基于人工智能、量子計算等顛覆性技術當前發展及未來潛能，準確預判、提前布局關基安全防御能力，使關基安全保護工作能夠平穩、從容地適應信息技術的發展變化將成為各國考慮的因素之一。美國國土安全部在《美國關鍵基礎設施安全彈性戰略指南和國家優先事項（2024—2025 年）》中表示將把人工智能納入戰略考量，指出人工智能作為變革性技術在關鍵基礎設施保護中的潛力與挑戰，警惕人工智能技術濫用對關鍵基礎設施帶來的風險；同時，強調量子計算對現有密碼體系構成的安全風險，DHS 將與NIST 合作制定指南文件，幫助關鍵基礎設施實體應對量子計算帶來的密碼和數據安全挑戰。國土安全部發布的《2023-2027 財年戰略計劃》中也將評估和應對不斷發展的網絡和新興技術風險列為“保障網絡空間和關鍵基礎設施安全”的四項具體任務之一。因此從供應鏈的新風險識別上，傳統的 ICT 供應鏈安全內容將不可避免的重塑，以應對顛覆性技術帶來的“降維”攻擊。

二是在傳統運行安全的基礎上，供應鏈安全將更多成為關基安全保護工作的切入點。面對復雜多變的國際形勢，以及供應鏈逐漸成為個別國家博弈的手段，如何確保關基供應鏈安全，充分借助網絡安全審查、網絡安全專用產品和關鍵設備檢測認證、國產化、網絡產品和服務提供者管理等制度工具，同步提升關基運營者對自身供應鏈的安全管理能力、網絡產品和服務提供者融入關基供應鏈中的安全保護水平，識別開源、人工智能等供應鏈環節的新“盲點”，確保從關基核心業務的持續性視角審視和保持將供應鏈安全成為關注點。

3.數據利用規則補足完善，數據法治擴展至生態治理

數據要素流通共享利用將愈加常態化，數據產業、生態將持續構建、完善。在此背景下，數據安全政策立法將呈現以下趨勢：一是提高數據領域動態安全保障能力將成為數據安全規則補足、完善的重要方向。作為數字經濟時代的重要資源，數據要素安全直接影響數據價值釋放。數據為發展賦能將成為各國數據法治的強烈政策導向，數據流轉安全問題隨著數據要素開發利用將愈加突出。數據流通利用安全規則將是下一個階段數據安全規則補足、完善的重要方向。國內，在高質量發展成為全面建設社會主義現代化國家首要任務的背景下，無論是規則制定還是執法監管，均不可脫離產業發展實際或發展水平、發展需求談安全。這就要求要結合發展形勢關注發展中的安全問題，提升監管重點、方式與安全形勢的匹配性。例如高度關注數據要素流轉、加工、分析、融合、匯聚關聯等安全風險。

二是適應和服務于數據產業發展，數據法治將從“安全”治理擴展至“生態”治理。數據采集匯聚、計算存儲、流通交易、開發利用、安全治理和數據基礎設施建設等數據產業將進一步蓬勃發展。數據安全問題不再是單點問題，而是會上下游傳導，向其他主體輻射影響。隨之而來的數據安全治理不再是對數據本身的治理，而是對整個數據產業鏈、生態鏈的治理。國內，發展數據產業是深化數據要素市場化配置改革、構建以數據為關鍵要素的數字經濟的重要舉措。在此背景下，數據生態治理這一特點將在接下來數據要素發展中體現得尤為明顯。 三是數據跨境傳輸規則將仍是數據安全法治的重要變量。全球主要經濟體對數據治理規則制定的主導權爭奪進一步激化，數據治理模式競爭性特點進一步凸顯。作為全球數據治理的重要議題，數據跨境流動受地緣政治影響程度也將進一步擴大。主要經濟體在數據跨境流動方面的規制分歧在相當長一段時間內難以彌合，利益相關方在數據跨境流動方面的價值共同體建設將持續加強，數據跨境流動未來將面臨仍將面臨諸多復雜性與不確定性。從《網絡安全法》到《數據安全法》《個人信息保護法》再到后續《數據出境安全評估辦法》《促進和規范數據跨境流動規定》《網絡數據安全管理條例》的出臺，中國數據出境規則、機制逐漸發展、調整和完善，可以說當前數據跨境監管框架基本搭建完成，但數據跨境仍然存在諸多細化問題需要進一步研究和解決，包括重要數據的識別判定、自貿區負面清單制度探索尺度等等，這些都是面向各類數字貿易新協定時亟需解決的迫切問題。

四是數據基礎制度探索依然是包括數據安全在內的數據法治的重要任務。長期以來，數據權益問題是影響數據供應及數據利用的重要因素。從全球范圍來看，當前仍未有一個成熟的解決方案。加強頂層設計、總體謀劃，抓好數據產權、流通交易、收益分配、安全治理等政策制定，加快構建適應數據要素特征、符合市場規律、契合發展需要的基礎制度已成為完善數據要素市場制度規則的重要要求。近年中國在培育發展數據要素市場實踐基礎上探索出了數據資源持有權、數據加工使用權、數據產品經營權等分置機制，但仍存在諸多基礎性問題有待解決，也直接影響數據安全治理。后續數據基礎制度探索依然是包括數據安全在內的數據法治的重要任務，在既有的立法規制掣肘的情況下，通過典型司法案例和適當的彈性釋法將可能成為有效地回應市場關切和展現示范效應的手段。

4.個人信息保護規則調整，回應人工智能技術發展需求

全球個人信息保護將延續制度規則不斷細化、完善與調整的趨勢，尤其是針對特殊類型、特殊場景、特殊主體個人信息保護的規則進一步明確。針對個人信息保護基礎和重要制度落實的監管力度持續加大。同時，以人工智能為代表的新技術對個人信息與隱私保護規則的沖擊進一步凸顯。 一是個人信息保護制度深化落實，個人信息保護治理效能穩健提升。未來，各國監管機構持續推進個人信息保護制度落地，部分相對原則性的規范得到澄清，個人信息保護規則在具體場景、領域的適用標準得到進一步明確，探索個人信息治理效能的穩健提升是應有走向。就中國個人信息保護工作而言，作為評價相關主體個人信息處理活動遵守法律、行政法規情況的重要制度，且網安標委已經組織開展《數據安全技術 個人信息保護合規審計要求》試點工作，個人信息保護合規審計制度落地實施在即。而對于《網絡數據安全管理條例》規定的個人信息保護合規審計、重要數據風險評估、重要數據出境安全評估等制度間如何實現銜接，是監管機構下一步需要重點回應的問題。企業方面，系統化推進個人信息保護制度要求融入業務活動，尤其是在技術層面探索安全模型以降低個人信息安全風險，將落實個人信息保護義務內化為個人信息安全保護能力是實現合規的必然趨勢

二是人工智能技術與個人信息、隱私保護規則之間的沖突或將獲得回應。人工智能模型訓練對自動化采集大量個人信息的需求與知情同意規則之間的沖突，以及處理目的非預設性、處理結果的難預知性也與個人信息保護的最小必要原則、目的限制原則、存儲限制原則之間的沖突，愈來愈成為人工智能從“能用”邁向“好用”過程中無法回避的問題。中國《網絡數據安全管理條例》規定使用自動化采集技術等無法避免采集到非必要個人信息或者未依法取得個人同意的個人信息的，應當進行刪除或者進行匿名化處理，刪除或者匿名化處理從技術上難以實現的，應當停止除存儲和采取必要的安全保護措施之外的處理，可以理解為對上述問題的初步回應。未來，隨著人工智能邁入新的發展階段，人工智能技術對個人信息保護規則的沖擊進一步加強，將有更多國家及地區在立法層面關注這一問題，考慮如何避免過度關注個人信息保護形式要求，針對人工智能需求特點探索實質化保護方案，不排除美國、中國等對個人信息保護制度進行重構。