一、立法与监管机构执法概况

（一）法规标准概览

为了应对网络技术和数据相关活动在各领域的渗透所引发的安全风险，我国近年逐步建立起了以《网络安全法》《数据安全法》《个人信息保护法》为基础的数据安全和保护的顶层法律架构，这些法律构成了提示引导智能网联汽车网络、平台的运营和数据处理活动的基本法律框架。

在行政层面，有关行业主管部门发布了一系列部门规章和规范性文件，力求通过法规政策明确对智能网联汽车通信安全与数据保护提出要求、进行引导。

• 在产品准入层面，2021年7月，工信部发布《关于加强智能网联汽车生产企业及产品准入管理的意见》，要求加强智能网联汽车生产企业及产品准入管理，提出加强汽车数据安全、网络安全、软件升级、功能安全和预期功能安全管理，保证产品质量和生产一致性。
   

• 在汽车数据治理层面，2021年8月，网信办、发改委、工信部、公安部和交通部联合发布了《汽车数据安全管理若干规定（试行）》。这是我国第一部关于汽车数据的专门规定，明确在中华人民共和国境内开展汽车数据处理活动及其安全监管要求，并在当时创造性地提出了汽车领域重要数据的概念和范围、重要数据出境的审批规则、评估制度、年报制度等规定。众多汽车相关企业每年都需要投入大量的时间、精力和成本为这些规定在本企业的落地实施辛勤劳作。
   

• 在车联网网络安全层面，2021年9月，工信部发布《关于加强车联网网络安全和数据安全工作的通知》，对车联网企业加强网络安全和数据安全管理工作做出专门部署。
   

• 在智能网联汽车涉及测绘数据的监管层面，2022年8月，自然资源部发布《关于促进智能网联汽车发展维护测绘地理信息安全的通知》，一方面展示了其积极扶持智能网联汽车新技术、新业态发展的态度，另一方面对行业内企业规范测绘地理信息数据的采集和管理活动提出了明确的监管要求。 

除中央外，在各地方，例如上海、深圳、重庆等城市纷纷出台本地区促进智能网联汽车企业发展的产业政策，同时出台和细化了道路测试、示范应用、示范运营、数据运营等方面的管理规定。例如：

• 自2021年起，围绕智能网联汽车的测试和应用，上海市相继出台了《上海市智能网联汽车测试与示范实施办法》《上海市智能网联汽车测试与应用管理办法》《上海市智能网联汽车示范运营实施细则（试行）（征求意见稿）》《上海市智能网联汽车高精度地图管理试点规定（草案）》《上海市浦东新区促进无驾驶人智能网联汽车创新应用规定》《临港新片区促进无驾驶人智能网联汽车创新应用实施细则（试行）》（征求意见稿）等规定。2023年2月，上海市经信委联合市交通委、市公安局印发了《上海市智能网联汽车高快速路测试与示范实施方案》《上海市无驾驶（安全）员智能网联汽车测试技术方案》等规定。
   

• 深圳在2022年8月出台了《深圳经济特区智能网联汽车管理条例》，是国内首部聚焦智能网联汽车的地方管理条例。2022年11月，深圳公布了《深圳市智能网联汽车道路测试与示范应用管理实施细则》，进一步规定了智能网联汽车测试的具体实施。

针对智能网联汽车的通信安全和数据合规问题，为支撑上述法律法规的落地实施，各标准化委员会、行业协会和产业联盟也在积极跟踪和布局。目前已发布了《国家车联网产业标准体系化建设指南（车辆智能管理）》《GB/T 41871-2022信息安全技术 汽车数据处理安全要求》《TC260-001汽车采集数据处理安全指南》《YD/T 3746-2020 车联网信息服务 用户个人信息保护要求》《YD/T 3751-2020 车联网信息服务 数据安全技术要求》《YD/T 3752-2020车联网信息服务平台安全防护技术要求》《YD/T 3750-2020 车联网无线通信安全技术指南》《T/CAAMTB 77-2022汽车传输视频及图像脱敏技术要求与方法》《T/TIAA 101-2021智能网联汽车数据共享安全要求》等国家标准、行业标准或团体标准，为我国智能网联汽车产业提供合规指引与实践经验。

（二）监管机构概况

目前，我国已初步形成了多维度的车联网监管体系：

• 网信部门：作为个人信息保护与数据安全的协调和监管机构，网信部门承担着大量的与数据安全和个人信息保护相关的工作，包括APP执法监管、数据出境安全评估、网络安全审查、汽车数据安全管理情况年度报送等。
   

• 工信部门：作为汽车企业的行业主管部门，重点把控汽车生产企业产品准入管理、道路测试与示范应用等环节中的数据安全、网络安全、身份认证、软件在线升级、驾驶辅助功能等方面的产业发展和产品安全合规问题。
   

• 公安部门：聚焦车企及其产品的网络安全等级保护备案、道路交通安全事项。
   

• 市场监管局和消费者协会：主要关注汽车产品质量以及侵害消费者权益的违法行为（例如OTA技术与缺陷产品的召回监管等）。
   

• 自然资源部：主要监管智能网联汽车所适用的高精地图制作过程中可能涉及的测绘资质以及对地理信息数据的处理活动。

二、智能网联汽车通信与数据安全的合规要点

基于上文介绍的智能网联汽车当前的监管体系，我们梳理总结了智能网联汽车在网络及数据安全、通信安全、数据及个人信息保护、数据分级分类四个重点方面的合规体系及各自合规要点：

（一）网络及数据安全

因时而进，法律监管体系逐渐完善

作为“人-车-路-云”各要素全方位连接和通信的结点，智能网联汽车可以实现车与车、路、人、云端多点智能信息交换、共享，该模式因此不可避免的存在网络和数据的安全风险点。

依据中国信息通信研究院于2021年12月发布的《车联网白皮书》，智能网联汽车行业主要有三个方面的风险：来自车企的风险，包括汽车自身网络安全、汽车通信安全、车联网服务平台安全；来自路测的风险，主要是路测设施及业务服务系统平台的安全；来自与第三方应用服务相关的风险，主要存在于车端应用APP与第三方应用服务系统后台连接、及车辆被远程恶意控制的风险。有效预防及控制智能网联汽车的网络安全风险，是智能网联汽车行业发展和监管的重点之一。从通信安全角度来看，车联网最终需要实现的目标在于能够安全得进行车辆与道路、车辆与人、车辆与其他车辆等的实时交互，从而实现自动驾驶等功能，这种交互依赖通信网络来完成，所以保障智能网联汽车网络安全的重要性不言自明。

国内监管部门高度重视智能网联汽车的网络安全问题，已出台多部法规及标准，为智能网联汽车的网络安全提出了明确要求，目前关于智能网联汽车的网络安全保护方面的监管逻辑已形成整体体系。我们在下文分别详细梳理了整车企业和车联网平台企业应承担的网络安全和数据安全义务。

因事而化，整车企业及车联网平台承担不同程度的网络安全责任

智能网联汽车涉及汽车设计、生产、销售、使用、运维全链条产业链上的多个主体，例如整车制造商、零部件和软件供应商、车联网服务平台运营企业等，这些主体基于其在智能网联汽车的安全生产和运营中发挥不同的角色，应该相应承担不同的智能联网汽车网络安全义务。

• 整车企业：智能网联汽车产业链上最重要一环，也承担最严格的网络安全保护义务

整车生产企业相较于智能网联汽车产业链上的其他主体，作为保障车辆网络安全的“第一责任人”，承担了主要的网络安全管理责任。依照目前现行有效的法律规定，整车企业应区分企业内部运营网络和外部业务网络，企业内外部网络及其数据分而治之。企业应具备的网络安全与数据安全保障能力主要如下：

加强网络安全保障能力

整车企业应建立汽车网络安全管理制度，依照《网络安全法》等规定落实网络安全等级保护制度。智能网联汽车自主运营车联网的，要按照车联网网络安全防护相关标准，对所属网络设施和系统开展网络安全防护定级工作，并向所在省（区、市）通信管理局备案。

有关车联网网络的网络安全等级保护定级和备案的具体要求，主要规定于团体标准《T/CCSA 339-2021车联网网络安全防护定级备案实施指南》以及电信行业标准《YD/T 3799-2020电信网和互联网网络安全防护定级备案实施指南》。车联网系统的备案整体流程与其他网络系统备案基本一致，主要包括确定定级对象、企业自主定级、主管部门确认并定期检查和评估等。整车企业及车联网运营企业应按照上述指南要求，向车联网备案系统提交备案信息。上述指南还为车联网网络系统定级提供了具体可量化的要素说明和评分规则，方便企业自主完成定级工作。

当前车联网网络安全防护定级的工作已经深入开展，截至2022年12月，上海市共审核通过了23家企业的32个车联网信息系统定级申请，并予以备案登记公告。[2]依照2022年发布的《车联网网络安全和数据安全标准体系建设指南》，《车联网网络安全防护定级备案实施指南》已被列入待制定的标准，预计将会为车联网的网络安全防护定级和备案工作提供更详细的指引和参考。

着眼数据安全，落实建立网络安全与数据安全的管理制度，明确负责部门及责任人

在智能网联汽车领域，整车生产企业应具备更加完善的网络安全和数据安全管理架构。《关于加强智能网联汽车生产企业及产品准入管理的意见》明确要求智能网联汽车的整车生产企业应当指定网络安全责任部门和负责人，建立健全汽车数据安全管理制度，依法履行数据安全保护义务，明确责任部门和负责人。

建立风险管控与网络安全检测预警机制

建立风险管控与网络安全检测预警机制主要包括三部分内容：1）建立智能网联汽车产品网络安全管控机制，具备网络安全风险管控能力，能够及时消除重大网络安全隐患；2）建立智能网联汽车产品网络安全检测预警机制，具有检测、记录、分析网络运行状态、网络安全事件等技术措施，具备按照规定留存相关网络日志不少于6个月的能力；3）建立网络安全应急响应机制，制定网络安全事件应急预案，定期开展应急演练，及时处置网络安全风险。在发生网络安全事件时，应立即处置并按照规定向有关主管部门报告。

建立漏洞保障能力，依法及时修补和上报漏洞

整车企业应当注意落实《网络安全产品漏洞管理规定》的有关要求：1）建立对于网络安全漏洞的发现、验证、分析、修补、报告等工作程序和制度；2）依照法律规定及时修补漏洞；3）符合上报条件的，应上报至工信部网络安全威胁和漏洞信息共享平台；4）对于需要告知受影响用户并需要由用户采取修改措施的，应及时告知并提供必要技术支持。

保障车辆的安全防护，确保车辆及其功能处于被保护的状态，保障车辆安全运行

整车企业还应积极落实保障车辆本身的安全防护：1）从技术层面，加强车辆网络安全架构设计；2）加强车内系统通信安全保障，强化安全认证、分域隔离、访问控制等措施，防范伪装、重放、注入、拒绝服务等攻击；3）加强车载信息交互系统、汽车网关、电子控制单元等关键设备和部件安全防护和安全检测；4）加强诊断接口（OBD）、通用串行总线（USB）端口、充电端口等的访问和权限管理；5）自行或者委托检测机构定期开展网络安全符合性评测和风险评估，及时消除风险隐患。

建立自查机制，在发现问题时应及时整改并报告

整车企业应当加强自查，发现生产、销售的汽车产品存在数据安全、网络安全等严重问题的，应当依法依规立即停止相关产品的生产、销售，采取措施进行整改，并及时向主管部门报告。

• 车联网服务平台运营企业：提供智能联网汽车车联网服务的平台除需承担上述基本网络安全管理义务，还需要考量公共网络安全以及网络服务安全。

与整车企业相同，车联网应履行网络安全防护定级工作

车联网服务平台应当按照车联网网络安全防护相关标准，对所属网络设施和系统开展网络安全防护定级工作，并向所在省（区、市）通信管理局备案。

建立风险管控与网络安全检测预警机制、网络安全应急响应机制

建立网络安全应急响应机制，制定网络安全事件应急预案，定期开展应急演练，及时处置网络安全风险。在发生网络安全事件时，应立即处置并按照规定向有关主管部门报告。

从技术角度加强车联网平台的网络安全管理

企业应采取必要的安全技术措施，加强智能网联汽车、路侧设备等平台接入安全，主机、数据存储系统等平台设施安全，以及资源管理、服务访问接口等平台应用安全防护能力，防范网络侵入、数据窃取、远程控制等安全风险。

强化应用程序安全管理

对于车联网上的应用程序，车联网服务平台运营企业需要建立应用程序的开发、上线、使用、升级等安全管理制度，提升应用程序身份鉴别、通信安全、数据保护等安全能力。加强车联网应用程序安全检测，及时处置安全风险，防范恶意应用程序攻击和传播。

因势而新，企业应关注不断细化的法律规定及有关标准

随着智能网联汽车法律法规层面的不断更新、新车上云和智能化进程的逐步加快，可预计的是在网络安全和数据安全领域，在不久后将会有更多细化的、可落地的法规和标准，为产业的安全健康发展提供可参考落地的指引。例如：

智能网联汽车细分领域的网络安全要求将更加明确：

例如，在自动驾驶准入和通行方面，工信部于2022年11月2日公开征求对《关于开展智能网联汽车准入和上路通行试点工作的通知（征求意见稿）》的意见，意在明确拟申请参与智能网联汽车准入和上路通行的试点企业及产品的准入要求，对于搭载了有条件自动驾驶（L3）和高度自动驾驶功能（L4）的智能网联汽车准入和上路通行提出具体的条件。

国家标准、行业标准、地方性标准将逐步出台，提供更加可落地执行的指引：

国家层面将建设统一的标准体系。工信部于2022年2月发布了《车联网网络安全和数据安全标准体系建设指南》，拟于2025年形成完善的车联网网络安全和数据安全标准体系，包括以下内容：总体与基础共性、终端与设施网络安全、网联通信安全、数据安全、应用服务安全、安全保障与支撑。这些标准后续的逐步落地实施，将切实为提升智能网联汽车的网络安全水平提供可参考的实际指引。

各地方也将根据实际发展情况制定地方标准。深圳作为智能网联汽车发展先驱城市之一，按照《深圳经济特区智能网联汽车管理条例》要求，深圳市工业和信息化局于2022年12月5日发布了10项智能网联汽车地方标准，公开向社会征求意见。2022年9月5日，上海市人民政府办公厅印发了《上海市加快智能网联汽车创新发展实施方案》，计划健全智能网联汽车法制保障体系，完善智能网联汽车技术标准体系。2022年12月9日，上海市市场监督管理局印发了《2022年度第四批上海市地方标准制修订项目计划》，计划中包括《智能网联汽车无驾驶（安全）员测试技术规范》《智能网联汽车高快速路测试技术规范》《智能网联汽车数据共享系统指南》《车联网数据分类分级指南》等多项智能网联汽车领域地方标准。

三、通信安全与软件应用升级

除了上述对于网络安全和数据安全层面的合规要求，智能网联汽车相关规定还强调需确保通信安全。整车企业在对车辆通过软件进行升级时，也应遵守有关升级和召回的规定。

（一）车联网卡用户应进行实名制认证，确保通信安全

根据《网络安全法》《反恐怖主义法》等法律规定的要求，入网号卡进行用户的实名登记是法律的明确要求，在智能联网汽车领域也不例外。为了保障车联网的通信安全，防止个人信息泄露，工信部于2021年9月实施了《工业和信息化部关于加强车联网卡实名登记管理的通知》，要求车辆生产企业（包括从事汽车销售业务的汽车进口商）及电信企业应对所有新车及过往已售联网汽车的车联网卡进行实名登记。

实名登记的流程

在车辆销售前，电信企业向车企销售车联网卡时，应登记购卡单位信息和责任人信息；车辆销售时，车企应参照电话用户实名登记的要求，核验和登记车辆所有者的真实身份信息；车辆销售后，车企应将用户登记信息、车联网卡号码或识别码等基础信息及时传送至电信企业。

实名登记的要求

对于车辆生产企业而言：1）应在车辆销售合同中，明确告知车辆所有者在办理车辆过户时，应同步办理车联网卡实名过户手续，并提示相关法律责任风险；2）完善企业内部个人信息保护制度，采取技术措施和其他必要措施，加强车联网卡登记信息保护，确保收集的个人信息安全，防止信息泄露、毁损、丢失以及违规使用；3）对身份不明、拒绝身份查验或者未按要求提供真实身份信息的，车辆生产企业应通知电信企业关闭除紧急呼叫、应急救援等影响生命安全以外的车联网卡功能。

对于电信企业而言：1）与车辆生产企业相同，也应完善企业内部个人信息保护制度，采取技术措施和其他必要措施；2）加强车联网卡基础资源管理，统一分配相对集中的物联网专用号段和互联网IP地址用于发展车联网业务；3）按照最小必要原则为用户开通所需的语音、短信、流量功能。

（二）车企通过OTA在线升级或召回时，应遵守相关规定

Over-the-air (OTA)为产品升级提供便捷的同时，因其在线传输的特性，具备网络安全风险点。而智能网联汽车通过OTA进行在线升级或召回时，也应遵守产品召回有关的规定。自2020年来，国家监管部门连续发布多部规定和通知，严格规范OTA技术在汽车领域的应用及召回。

2020年11月，国家市场监管总局颁发《关于进一步加强汽车远程升级技术（OTA）召回监管通知》，明确通过OTA进行产品召回的，应当遵守汽车召回的有关规定；2021年6月，国家市场监管总局质量发展局发布了《关于汽车远程升级（OTA）技术召回备案的补充通知》，明确汽车生产者在从事OTA技术活动或召回计划备案时需提交评估的相关信息；2022年4月15日，工信部发布了《关于开展汽车软件在线升级备案的通知》，规定车企应在完成备案后才能实施OTA升级活动。

总体而言，智能网联汽车通过OTA实施升级及召回时的主要要求总结如下：1）智能网联汽车使用OTA召回时，应制定合规的召回计划，并履行备案要求；2）OTA升级的产品也应遵守生产一致性常态化监管；3）OTA升级中应加强OTA安全和漏洞检测评估，保护个人信息及重要数据。

注释：

[1] 本部分主要参考：

中国信通院：《车联网白皮书2021》，访问链接：

http://www.caict.ac.cn/kxyj/qwfb/bps/202112/P020211224634954242855.pdf。

亿欧智库：《2021中国智能网联汽车数据安全研究报告》，访问链接：

https://www.iyiou.com/analysis/202109021021594。

[2] 参见上海通信圈《上海市经济和信息化委员会关于车联网网络安全防护定级备案审核结果的通告》访问链接：https://mp.weixin.qq.com/s/99emKoJvOY9ud4M4RrO3sA 。