足球——中超：河南俱乐部酒祖杜康胜青岛海牛

[6] 各国在法律层面对网络安全挑战的回应主要有两个方向：一是充分运用传统法律，以事后制裁为主要手段，有效打击危害网络空间安全的各种违法犯罪行为。

在提交给长春会议的参会论文中，他针对权利给出了如下定义：权利是国家通过法加以规定并体现在法关系中的、人们在统治阶级的根本利益或社会普遍利益范围内做出选择、获得利益的一种能动手段。权利冲突也好，权利滥用也罢，其实都与权利主体的问题息息相关。

将秋菊的说法视为权利，会导致权利的泛化，从此，社会生活中的一切需要和诉求，都可以被视为权利，都需要国家制定法给予尊重。在苏力和徐昕有关私力救济的分析之间有一种内在的同一性。在一定程度上，以个体为核心的权利观成为权利冲突和权利滥用的源头。实际上，张文显在他对于上述权利定义的说明中就明确承认了这一点，他认为：法定权利都是实证的，都是由现行法规定的。纵观各个时期不同权利理论研究者的作品，可以看到，权利主体性在不同时期有不同的表达，权利从一个表达个体自由选择的概念，逐步发展为一个依赖于共同体、依赖于他者的有着内在结构的概念。

这就突破了此前以个体权利为核心的理论范式，转而呈现出一种全新的权利原则。因此，在苏力和徐昕有关私力救济分析的背后，体现了1990年代后期以来权利观念发展的一个线索，这就是不断想要追求和实现自身利益的个体的权利诉求远远超出了公共权力能够提供救济的程度。[86]到了20世纪六七十年代，随着工业化的发展，工业和科技风险日益加深。

[88]有关研究，参见金自宁编译：《风险规制与行政法》，法律出版社2012年版，第1页以下。[72]参见前引[68]，多纳休等书。[83] 传统行政为实现安全主要采取消极防御的活动方式。在网络安全法研究起草期间，有学者在总结国际立法经验的基础上指出，立法的核心任务是使关键信息基础设施的所有者或者运营者承担相应的社会责任和法律义务，通过组织保障、风险预警、公私伙伴关系等全方位措施，形成多元主体共同参与安全治理的格局。

[32]特别是在网络空间与物理空间深度融合之后，行政任务随着市场和社会活动的范围延展而扩展，而关键信息基础设施保护就是诸多新型行政任务中的一项。在关键信息基础设施保护体制上，《保护条例（征求意见稿）》第4条确立的是分行业的指导监督，网信部门统筹协调，公安、国家安全、保密、密码等管理部门各司其职的组织构造。

[48]因此，美国关键基础设施的保护范围是逐渐扩大的，但扩大的过程始终受到私主体财产权诉求的制约。1996年发布的《网络独立宣言》宣称：不成文的‘法典（编码），与任何强制性法律相比，能够使得网络社会更加有序。[25]在我国，在引发广泛关注的准大学生徐玉玉遭电信诈骗身故案中，高考网上报名信息系统被植入木马病毒，包括徐玉玉在内的大量考生报名信息被窃取（参见《徐玉玉案信息泄露源头公布，嫌疑人攻破报名系统》，《新京报》2016年9月10日）。美国最早提出建立响应、重建和恢复能力，关键基础设施承载的关键功能遭到的任何破坏或操纵必须控制在历时短、频率小、可控、地域上可隔离以及对国家利益损害最小的规模上。

因此，重点在于防止对关键基础设施的网络攻击，降低国家对于网络攻击的脆弱性，在出现网络攻击时尽量减少损失并缩短恢复时间。[69]同上书，第40页以下。[63]参见龙卫球、林桓民：《我国网络安全立法的基本思路和制度建构》，《南昌大学学报（人文社会科学版）》2016年第2期，第45页以下。这些措施的规定和采取，需要基于公私合作伙伴关系进行综合考虑，形成实质上的合作治理，才能更好地实现关键信息基础设施的保护目的。

主要国家往往通过合规遵从或安全保障等方式确立供应链审查制度。[8]正如有学者所指出的：网络安全太重要、太复杂，以致于不能完全交由刑法与武装冲突法调整。

[79]参见卢超：《深入推进网络安全法治化建设》，《人民法治》2016年第8期，第27页。此外，还应特别注意防止给私主体造成过重负担。

[89]以风险治理的框架来观察和界定，这些措施分别是风险识别、风险评估、风险预防、风险沟通和风险处理。以此为前提，围绕关键信息基础设施安全的保护开展立法活动才有了现实基础，而为实现这一任务，赋予有关行政机关以特定职权、课予私主体以特定义务也才具备正当性。（二）运营行政的多元活动方式 与传统安全威胁不同，美国较早的研究发现，关键信息基础设施的持续安全运营可能面临一种结构性的威胁或蓄意谋划的攻击破坏：前者包括自然灾害、事故灾难、公共卫生事件、社会安全事件和技术本身或技术人员本身的影响。但是，如果私主体的动力和压力不足，市场机制就不能充分有效地发挥作用。[21]这些具体研究各有建树，但仍需要结合当前立法的实际需求，围绕重点疑难法律问题继续展开研究。[56]互联网有着分布式结构，但是网络安全无法分散实现，其监管职权应当统一。

[81] 五、关键信息基础设施保护的过程控制 （一）刻舟求剑的传统行政活动方式 在基础设施广泛互联互通之前，其保护任务主要表现为物理防护，需要处理的风险主要是物理风险。刘金瑞：《美国网络安全立法近期进展及对我国的启示》，《暨南学报（哲学社会科学版）》2014年第2期，第74页以下。

例如，美国曾利用震网病毒入侵伊朗核电站中的计算机网络系统，掌握了核电设备的关键控制权。[24]关键信息基础设施还是个人信息风险防控的基础，一旦被入侵，特别是那些行政管理、公共服务网站被黑客攻击，可能导致海量个人信息的泄露。

运输部门非常重要，但不是每一座桥梁对整个国家而言都是关键的，因此要聚焦于最高优先级的事务，在预算上重点保障保护关键基础设施所需资源。关键词:  关键信息基础设施。

但是，关键信息基础设施保护的活动，单独运用秩序行政和给付行政的典型方式都未必能够达成目的。为更好实现保护关键信息基础设施的目的，需要综合运用规制—担保—给付等多元行政活动方式，基于公私合作采取全过程风险治理措施。[40]2008年3月3日，美国国土安全部正式确定关键制造业为第18个关键基础设施和重要资产部门。传统的层级制组织不足以确保决策者能够掌握足够的信息，至少在特定的变动剧烈的法律领域里，应该思考替代性的规整策略与组织形式。

[27]参见前引[6]，Sales文。[53]从民主原则的角度来看，立法者对于行政组织类型的型塑，重要的不再是遵守特定的行政组织原则，而是取向于可调控、可控制的标准。

[92]参见李海英：《处理好〈网络安全法〉实施中的三个关系》，《中国信息安全》2017年第6期，第68页。[59]德国政府认为，需要在联邦政府信息技术官的职责范围内建立并保持联邦政府内各部门之间、公私关键基础设施部门之间的合作。

关键信息基础设施的识别和指定，旨在确定治理对象，是确定行政任务范围的首要工作，需要明确指定标准、规定指定程序，以实现对关键信息基础设施的系统分类指定和审慎动态调整。通过公私合作完成行政任务，其目的大多可以概括为追求更好的结果，或是获得更多的资源，或是两者兼而有之。

传统上针对国家的防御还不足以完全保障个人自由，对于可能会遭受有实力的社会团体和社会势力的侵害者，国家必须承担保护的义务。关键信息基础设施安全带有的公共属性对国家的职能和任务提出了新要求。列举的4类单位不在一个层面，没有突出至关重要性，有必要在关键部门—具体设施的结构中进行系统分类指定。[5]关于互联网的三层结构及其立法框架的详细研究，参见周汉华：《论互联网法》，《中国法学》2015年第3期。

在关键信息基础设施保护的问题上，也存在着交易成本和搭便车效应。自由主义传统所假定的个人在经济上的独立性，很多情况下并不存在。

国家由自由法治国转向积极干预的福利与预防法治国家，国家任务在质和量上均有重大变化，对信息与知识的要求大大提高。关键信息基础设施的保护范围会发生具体的、动态的变迁，这就要求应有相应的动态调整程序。

一旦某个主体在基础层进行安全投入，更多的主体将会选择搭便车，而市场机制向来难以有效解决搭便车的问题。它也为行政法和行政法学提供了新的课题，在回应的过程中，行政法制和行政法学都有了新的发展。