尚权推荐SHANGQUAN RECOMMENDATION

关键词：网络运行安全；网络运营者；风险分配；场景治理；刑事归责

《网络安全法》是我国网络空间安全领域的基础性法律。2025年10月28日，第十四届全国人民代表大会常务委员会第十八次会议通过关于修改《网络安全法》的决定，强化了网络安全的法治保障力度。当前，网络运行安全风险日益突出，网络攻击、关键信息基础设施安全隐患、网络产品与服务供应链安全隐患等问题层出不穷。为及时、充分应对这些问题与挑战，修订后的《网络安全法》通过强化、细化网络运营者的法律责任，特别是适度提升对关键信息基础设施运营者等高风险主体的处罚标准，并完善了危害后果的梯次化评价体系，与《行政处罚法》《关键信息基础设施安全保护条例》等法律法规共同构建了宽严相济的前置性网络运行安全风险分配框架。然而，刑法在规制此类风险时，未能与前置法所构建的风险责任评价体系充分对接，对网络运行违法行为的刑事不法评价与责任判断等方面存在诸多困境。对此，本文将主要探讨如何运用风险分配理论与场景治理方法，构建基于场景分类与义务分级的刑事归责模式，界分不同风险场景中网络用户、一般网络运营者、特殊网络运营者的刑事责任，形成前后衔接、协调高效的网络运行安全风险治理体系。

一、网络运行安全及立法修订评析

网络空间作为数字经济运行的底层物理环境，其稳定与安全直接关系到社会的有序运转与健康发展。在互联网聚集扩散效应、网络交叉效应不断加强的背景下，网络安全已成为维护新型经济形态健康有序发展的重要因素。目前，网络侵害行为的手段不断升级、规模持续扩大，对网络运行安全风险的防范与规制提出了更高的要求。法治模式是网络社会治理的必然选择，推进网络运行活动在法治轨道上健康有序发展，需要对网络运行安全风险进行系统化、前瞻化与精细化的立法应对，强化网络运行参与主体的法律责任，提升网络运行安全规范保护的整体质效。

（一）网络运行安全风险的立法应对

网络安全是一个综合性概念范畴，包括网络运行安全、网络数据安全与网络信息安全。《网络安全法》将网络安全定义为通过采取必要措施，防范对网络的攻击、侵入、干扰、破坏、非法使用以及意外事故，使网络处于稳定可靠运行的状态，以保障网络数据的完整性、保密性、可用性的能力。其中，网络运行安全聚焦于维系网络系统的持续、稳定、可靠运行状态，以及支撑系统有序运行状态的技术、设施与服务等要素的功能性保障。网络运行安全直接影响到网络系统的运转状态，是网络数据得以安全存储与流转、网络信息得以生成与有效传播的前提，是网络安全的核心要素与基本内容。网络运行安全风险，是指由于技术漏洞、人为疏忽、自然灾害或恶意攻击等原因，导致网络系统硬件、软件或基础服务遭受攻击、干扰、破坏或发生意外故障，进而产生中断、瘫痪、功能丧失或被非法控制的网络安全风险。网络数据安全风险以网络数据泄露、篡改、丢失等为主要内容，网络信息安全风险则主要涉及网络信息内容合法、健康、有序传播等问题。相较而言，网络运行安全风险更强调网络系统本身的功能完整性、持续可用性问题，对其规制效果直接影响网络数据安全与网络信息安全的保护效果。

网络运行安全风险法律防控需要刑法与其前置法规范的共同努力。首先，以《网络安全法》为核心，配套《数据安全法》《关键信息基础设施安全保护条例》等法律法规，构成了我国网络运行安全风险规制的前置规范框架。其立法重点是明确各类网络运营者的安全保护义务，通过设定等级保护制度、关键信息基础设施保护制度等制度规范，初步确立了网络运行安全的前置性规范保护屏障。其次，刑法对网络运行安全风险的规制应恪守谦抑性，遵守比例原则和最小限度原则。通过设置非法侵入计算机信息系统罪、非法控制计算机信息系统罪、破坏计算机信息系统罪、拒不履行信息网络安全管理义务罪、帮助信息网络犯罪活动罪等网络运行安全关联犯罪罪名，对危害网络运行安全的实行行为与帮助行为设置刑事责任。最后，刑法与前置法的转致机制是连接两者的重要纽带。例如，《刑法》第96条中的“违反国家规定”，需要通过援引《网络安全法》等前置规范中的相关规定，以确定具体网络运行违法行为的内容。由于网络运行安全风险具有跨地域、跨领域、专业性等特征，单一的法律条文往往无法涵盖网络运行不法行为的全部违法情形、法律后果等要素，需参引其他法条予以补充确定。转致机制通过法律条文间的相互援引，将《网络安全法》《行政处罚法》与《刑法》中的网络运行安全违法情形与责任规定有机串联。这种机制有效弥补了单一规范在构成要件或法律后果规定上的缺失，解决了网络运行安全保障规范适用的碎片化问题，增强了网络运行安全风险治理的规范协同性。

（二）网络运行安全法律责任的强化

法律责任的强化是应对网络运行安全风险复杂挑战的必然要求。作为保障网络运行安全的基础性法律，新修订的《网络安全法》明确了各类主体的权利义务与责任边界，强化了网络运营者的法律责任，确立了网络运行安全风险防范的最低标准，为刑事规制提供了参照和指引。

首先，《网络安全法》在延续对网络运营者类型界分的基础上，细化了不同类型网络运营者安全保护义务的内容与程度要求。不同主体应对与防范网络运行安全风险的能力存在客观差异，不仅普通用户与网络运营者之间在技术、资源、信息等方面上差距悬殊，而且不同类型的网络运营者的防控能力也各不相同。因此，《网络安全法》并没有将网络运营者作为同质化主体予以笼统规范，而是确立了差异化的监管思路，根据运营对象的性质与影响等因素的差异，将其界分为一般网络运营者、关键信息基础设施运营者、网络产品与服务提供者等主体类型，并设定了差异化的网络运行安全保护义务。修订后的《网络安全法》在贯彻落实网络共治原则的基础上，强化了不同类型网络运营者安全保护义务在内容与程度上的差异。例如，对于关键信息基础设施运营者，《网络安全法》第67条对其使用未经安全审查或审查未通过的网络产品与服务的处置措施进行补充，在维持远超一般网络运营者罚款数额标准的基础上，新增了“限期改正”“消除对国家安全的影响”等责任内容，体现了对重点领域、特殊主体的严格要求。这种基于主体类型的差异所构建的安全保护义务体系，契合了不同网络运营主体在实际网络生态中的作用与能力，体现了网络运行安全风险分配中的比例原则。

其次，《网络安全法》优化了网络运行不法行为的危害后果评价方式，建立了更为精细化的责任认定机制。以罚款额度为例，《网络安全法》第61条将网络安全事件的危害后果区分为多个档次，建立了从“一般违规”到“导致危害网络安全等后果”，再到“造成大量数据泄露、关键信息基础设施丧失局部功能等严重危害网络安全后果”，直至“造成关键信息基础设施丧失主要功能等特别严重危害网络安全后果”的多元化评价体系。在责任认定方面，相应的罚款额度也按照危害后果的严重性而逐步提高。网络运行安全法律责任的强化不仅仅在于对网络运营者加重处罚力度，更在于增强危害后果与责任评价的匹配性。《网络安全法》对网络安全事件危害后果细分为“一般—较大—重大—特别重大”等不同等级，综合评估了网络运行不法行为对个人权益、社会秩序、公共利益、国家安全等方面所造成的影响。一方面，为法律责任的认定提供了合理的量化标准，避免了对所有网络运行违规行为实行“一刀切”式处罚，对中小企业造成过度负担，使得网络运行安全风险的防治更加精准、法律的适用更加公平。另一方面，这种精细化的危害后果评价与责任认定机制，也为网络运营者提供了更为具体、明确的标准指引与行动指南。《网络安全法》通过区分不同程度的危害后果，实现了差异化、合理化的法律责任配置，能够有效引导各类网络运营者根据其运营的业务性质、规模等因素，预先评估可能造成的危害后果程度，以积极投入相应的资源进行事前性风险防范、事中性风险应对。

最后，《网络安全法》进一步完善了网络运行安全法律责任转致机制。一方面，《网络安全法》第71条明确规定将发布违法信息、侵害个人信息、违规数据出境等行为的法律责任，依照有关法律、行政法规的规定处理、处罚。通过转致适用《数据安全法》《个人信息保护法》等法律法规中更加专业、细致的认定规则与保护标准，更精准、科学地实现网络数据与信息安全的风险管理与责任分配。另一方面，网络运行安全的转致条款呈现出间接性与分散性特征，或未直接点明所参照法律规范，或未系统列举适用转致规定的行为类型或情形类型。例如，《网络安全法》第23条与第36条在设定网络运营者及关键信息基础设施运营者的安全义务时，仅以“法律、行政法规”作概括性引致，缺乏明确的指向性。此外，尽管《网络安全法》通过增设统摄性的转致条款，将特定情形下网络不法行为与《行政处罚法》责任减免规定相挂钩，强化了法律间的联动效应，但这种规定方式较为笼统，并未系统列举适用转致规定的具体网络运行不法行为或违法情形类型。对此，仍需细化网络运行安全领域的责任转致规则，并参引专业性、对应性的技术标准与责任规定，以消除规范适用的不确定性，在保持法律框架稳定性的同时，周延、高效规制网络运行安全风险。

二、网络运行安全的刑事归责问题

网络运行安全是推进数字经济有序发展的重要保障，对其风险的系统规制需要运用领域法学的整体思维，通过行政法、刑法等“硬法”的强制规范，以及行业规范、技术标准等“软法”发挥灵活指引与参照功能，构建以网络运行安全风险规制为问题导向的领域法规范体系。《网络安全法》的修订优化了网络运行安全风险分配格局，为刑事规制奠定了重要的前置法基础。但受网络运行安全的技术性、传导性、系统性等风险特征的影响，以及因部门法规范壁垒的存在，导致刑法与前置规范在概念表述对接、违法性判断标准衔接等方面存在统筹不足的问题。加之网络运营者主观过错的认定日趋复杂，使得网络运行安全领域的刑事归责面临诸多困境。

（一）网络运行不法评价的行刑衔接障碍

法秩序统一性作为刑民行交叉领域法律适用的基本原则，要求刑法与民法、行政法等部门法对同一行为的违法性评价应保持体系协调。网络运行安全刑事责任的认定，应以行为人违反《网络安全法》《数据安全法》《关键信息基础设施安全保护条例》等前置法规定的安全保护义务为前提。同时，并非所有违反网络运行安全保护义务的不法行为都必然构成犯罪。有学者指出，在信息网络犯罪领域，对网络运营者在刑法层面上设定相关积极义务应坚持最小化理念。也即，只有当违反前置网络运行安全保护义务的行为达到一定的社会危害程度，并符合刑法规定的犯罪构成要件时，才能被追究刑事责任。然而，将前置法的安全保护义务转化为刑事不法的具体判断标准时，刑法与行政法之间的衔接并不通畅，存在明显的规范适用障碍。特别是在《网络安全法》修订后，行政法层面的网络运行安全责任体系逐步趋向精细化、层级化。而在刑法层面，关联罪名的入罪标准与量刑规则等方面的规范对接显得相对滞后与粗疏，影响了网络运行安全刑法保护的质效。

首先，网络运营者安全保护义务的规定具有概括性，义务范围与内容不明确，影响刑事不法判断的起点认定。《网络安全法》及其配套法规强调对网络运行安全风险的全面、系统化规制，因此在对网络运营者进行义务设定时，经常采用“保障网络安全、稳定运行”等概括性表述。这种立法技术虽然增强了法律规范对信息网络技术变迁的适应性，但存在规定泛化问题，难以兼顾对安全保护义务的具体内容予以详细规定，对网络运行刑事不法行为的解释与认定带来了困难。例如，《网络安全法》第11条规定，为了有效应对网络安全事件，网络运营者应采取技术措施和其他必要措施。而在技术更新迅速、业态复杂的网络空间中，“必要措施”是一个动态、相对的概念，缺乏清晰的量化标准以及具体指引影响相关网络运行违法行为的刑事不法性与可罚性的判断。对网络运行不法行为进行法益识别，需要先择定其所对应的前置法律规范作为参照系，并明确其具体规定要求，进而才能确定刑法所要重点保护的法益内容与程度。拒不履行信息网络安全管理义务罪等关联犯罪，其构成要件要素的准确认定，以前置法义务的具体化与明确化为前提。而当前置法上相关义务的内涵、履行标准等规定并不具体与明确时，若将其直接认定为刑法上的作为或不作为义务，会影响对网络运行不法行为刑事可罚性的判断，容易导致刑法对网络运行不法行为的打击面不当扩大。

其次，刑法中的关联罪名多采用空白罪状立法模式，前置法义务向刑事义务的转化缺乏明确的指引。空白罪状通过“违反国家规定”“拒不履行法律、行政法规规定的义务”等表述形式，对个罪的构成要件予以补充解释。空白罪状的设置虽然在一定程度上保持了刑法的开放性，但对于如何具体吸收、转化前置性网络运行安全保护义务，缺乏明确与细致的规范指引，带来了前置法义务的刑事转化难题。诸如拒不履行信息网络安全管理义务罪，即通过“法律、行政法规规定的信息网络安全管理义务”这一罪状表述，在形式上贯通了前置法义务与刑事注意义务的衔接通道。但问题在于，我国《刑法》及相关司法解释并未对此前置法义务的内容范围与程度进一步阐明。《最高人民法院、最高人民检察院关于办理非法利用信息网络、帮助信息网络犯罪活动等刑事案件适用法律若干问题的解释》（以下简称“《信息网络犯罪解释》”）虽然对该罪的入罪门槛进行了规定，但更侧重于对“致使违法信息大量传播”等危害后果的量化。对于前置法义务的内容范围与违反程度等要素的刑事转化标准，目前仍缺乏相对明确的规范指引。这种行刑衔接的断层，导致司法实践中对于“拒不改正”等构成要件要素的认定容易陷入形式化误区，忽视了对网络运营者实际履职能力与整改难度的实质考察，在一定程度上消减了刑法作为最后手段予以适用的独立性。

最后，刑法对不同类型网络运营者的定罪与量刑标准，未能与《网络安全法》所构建的层级式风险责任体系形成有效衔接。例如，在关键信息基础设施运营领域，《网络安全法》第36 条对此类特殊网络运营者规定了安全背景审查等五项强化性安全保护义务，其责任类型与程度也与一般网络运营者存在差别。然而，在刑事司法层面，主体间在前置法上义务与责任的差异未能在刑事责任认定中得以充分体现。《刑法》与《信息网络犯罪解释》等刑事规范，在认定非法控制计算机信息系统罪等网络运行安全风险关联犯罪时，并未明确针对关键信息基础设施运营者设定特殊的定罪量刑标准。例如，在认定“造成严重后果”“情节严重”等构成要件要素时，并未特别区分一般网络运营者与关键信息基础设施运营者的义务内容与程度差异。也即，在前置法层面负有更高程度安全保护义务与行政责任的关键信息基础设施运营者，其违法行为的入罪门槛和处罚力度与一般网络运营者未作明显界分。这种刑事责任认定方式，忽视了不同类型的网络运营者在风险控制能力与法益侵害程度上的主体差异，不仅模糊了前置法对网络运行安全风险分配所设定的梯次差异，而且在一定程度上会削弱刑法对关键信息基础设施的特殊保护力度，可能导致对关键信息基础设施运营者违法行为的刑事追责不足。

（二）网络运营者主观认识因素认定困难

刑法在规制网络运行安全风险时，须遵守无责任即无刑罚的责任主义原则。然而，一方面，网络空间所具有的高度虚拟性、技术复杂性与行为匿名性等特性，使得传统主观罪过的认定模式遭遇了新的挑战；另一方面，技术漏洞、人为失误、恶意攻击、算法工具的不可预测性等多种因素的交织，导致行为与危害结果之间呈现出多因一果的非线性特征，加剧了对各类网络运营者主观罪过的认定难度。认识因素是意志因素的前提与基础，其中的“明知”与“预见”作为构成犯罪故意与犯罪过失的重要要素，是认定信息网络犯罪的关键所在。网络运行空间中的不法行为经由网络系统的传导作用，可能会引发连锁效果与放大效应，造成远超行为人初始认知范围与程度的危害后果。因而，在司法实践中往往难以准确确定行为人在何种范围内明知或预见了危害结果的发生。网络运营者是承担网络运行安全风险的主要刑事责任主体，其主观罪过的认定较为复杂。特别是修订后的《网络安全法》对网络运营者的作为义务予以强化，提高了对网络运营者关于风险认识能力与预见能力的法律期待。能否准确界定网络运营者的主观认识因素，不仅直接关系到网络运行安全关联犯罪罪与非罪、此罪与彼罪的认定问题，而且也影响刑法在保障网络运行安全与促进数字经济发展创新之间的协调效果。

随着信息技术的快速发展，网络运行中的安全漏洞与攻击手段不断更新升级，《网络安全法》也日益强调网络运行安全风险防控的动态性与实效性。这意味着网络运营者明知与预见的范围并非是一成不变的，也会随着网络运行环境的演变而变动调整。然而，法律法规等参照标准的制定与出台，需要经历繁琐严谨的立项、起草、审议等程序，必然存在一定的时间滞后性，难以及时与快速迭代更新的网络信息技术同步。由此产生了相关参照标准所固有的滞后性与社会发展的流变性之间的矛盾，影响了对网络运营者主观认识因素的准确认定。此外，自动化数字技术在网络运行活动中的应用日益广泛，也增强了网络运营者主观认识因素的认定难度。网络时代社会结构升级以技术驱动为推进力量，《网络安全法》第20条特别明确了国家支持与人工智能、算法相关的理论研究与技术研发，鼓励运用人工智能等新技术提升网络安全保护水平。在人工智能技术与网络运行活动深度融合的背景下，网络运营者的行为模式也发生了改变，流量监控、入侵检测等诸多网络运维活动可以借助自动化运维工具完成。这在大幅提升网络运行效率的同时，也引入了算法偏见、数据缺陷等新型不确定因素，加剧了主观罪过认定的复杂性。例如，证券交易系统通过使用基于机器学习的异常交易识别模型服务，能够识别并拦截系统入侵行为。当因训练数据偏差等原因，模型误将特定时间段内的正常高频交易流量识别为恶意攻击，并自动加以阻断拦截时，会引发证券交易系统服务中断数小时，导致金融市场出现异常波动，并造成重大经济损失。在此情形下，网络运营者是否具有预见可能性、是否应该预见，能否以技术自主为由主张刑事免责，已成为司法实践中亟须解决的新问题。

三、网络运行安全的风险分配理论

网络空间中风险责任主体多元、行为关联复杂，面对网络运行不法评价行刑衔接不畅、网络运营者主观罪过认定困难等刑事归责挑战，刑法应在风险分配理论指引下，结合场景治理方法，形成与《网络安全法》等前置规范相协调的刑事责任认定模式——通过明确网络运行安全风险的刑事重点防范领域，并在各类网络运行参与主体之间公平、合理地分配网络运行安全保护义务，避免刑法对网络空间的过度干预。

（一）网络运行安全风险分配与归责

将风险分配理论应用于网络运行安全风险的刑事治理过程，能够为不同网络运行参与者刑事责任的认定提供重要的理论基础。其核心内容是将抽象的网络运行安全风险转化为具体的安全保护义务，并在不同网络运行参与主体之间合理配置，明确不同主体的刑事责任的边界，以公平分配法益侵害结果发生时的风险责任。也即，若行为人充分履行了被分配的规范义务，其制造或升高的网络运行风险就是被法律规范容许的、社会发展的必要成本，对行为人不具有刑事可谴责性。反之，若行为人未履行特定义务，导致网络运行安全风险转化为现实的法益侵害，则其制造或升高的风险属于法律规范所禁止的不法风险，应对其追究相应的刑事责任。

风险分配正义是“全过程分配正义”，贯穿于网络运行安全风险的事前预防、事中应对、事后处置的全周期。为避免网络运行风险分配的过度集中或模糊不清，需要综合适用共治原则、受益原则与控制原则，合理分配不同网络参与主体的安全保护义务与刑事责任，兼顾风险分配的形式正义与实质正义。（1）共治原则。现代社会个体的自由与全面发展，离不开社会共同体所提供的物质保障与制度支持。因而，法秩序能够要求公民在特定场景中承担参与维护他人重大利益、保障基本制度安全的义务。一方面，网络运行安全风险所带来的法益侵害是社会数字化发展的伴生性代价，对相应风险成本的分担属于社会责任，而不能单独苛责于各类网络运营者；另一方面，风险社会中的风险防控具备“公共益品”属性，安全、稳定、可靠的网络运行环境对于网络用户、一般网络运营者与特殊网络运营者等各类网络运行参与主体都是有利的。相应地，各类参与主体也需要对网络运行安全风险予以分担。因而，为应对复杂多变的网络运行安全风险，应遵循共治原则，在强调包容性与参与性的基础上，结合受益原则与控制原则，对不同参与主体差异化分配安全保护义务。（2）受益原则。社会风险的产生与扩散具有相应的经济根源，市场具有天然的逐利性，其在一定程度上对风险的可接受性会产生不良的引导作用。利益获取是侵权法在认定风险责任时最为重要的考量因素，行为人应承担与其所受利益相匹配的风险责任。各类网络运行参与主体的受益程度具有差异性，主要受益主体也应当承担与其获益相当的风险防控义务。网络运营者，特别是大型互联网平台与关键信息基础设施运营者，其商业运作模式与经济收益高度依赖于网络运行的稳定性与有序性，是网络运行空间的主要受益群体，因而需要承担与其获益程度相匹配的安全保护义务。（3）控制原则。公平合理的风险分配方案并非是对资源与财富的再分配，而是对风险认知能力、预防能力与抵抗能力的再分配。安全保护义务的实体内容是对法益侵害风险的管理义务，本质上是一种法律对风险责任人所确立的能力分配方案，旨在合理安排特定风险场域中行为人有限的注意力。因而，在网络运行安全风险场域中，安全保护义务的分配应根据不同主体抵抗、消化风险的能力差别而区分对待。在技术层面上能以较低成本、更高效率控制网络运行安全风险的主体，应当承担主要且积极的安全保护义务。在网络运行的技术架构体系中，网络运营者掌握着服务器运作、代码逻辑、数据权限等内容的底层控制权，相较于处于网络运行终端阶段的网络用户，其处于风险控制与承担的优势地位。例如，对于因系统漏洞所引发的网络运行安全风险，网络用户既不具有发现风险的技术能力，也不具备及时修补漏洞、响应风险的技术权限，其义务应被限定在不得利用技术手段故意侵害网络正常运行的范围内。而网络运营者则凭借其技术优势、管理权限等因素，还应承担及时采取措施修补漏洞等更为积极的作为义务。

（二）网络运行安全风险的场景治理

近年来，我国积极探索场景化数字治理路径，工业和信息化部办公厅印发的《场景化、图谱化推进重点行业数字化转型的参考指引（2025版）》（工信厅信发〔2025〕44号）提出，以“场景”为基本单元，将复杂性、领域性的行业问题在提取公因式的基础上化繁为简、精准施策。网络运行安全风险的场景化治理方式与风险分配理论具有高度的契合性。在网络攻击具有手段复杂化、目标定向化的发展趋势下，复杂的网络安全局势对关键信息基础设施运营等重要网络运行活动的有序保障提出了新的挑战，分散化、均质性的规制模式已难以周延应对网络运行风险。场景化治理不再将网络运行空间视为一个风险程度完全相同的整体，而是根据不同网络运行活动的业务属性、技术特征、所涉法益的重要性等因素，将网络运行安全风险划分为不同的风险场景，施以差异化、精准化的风险治理与责任分配方案。场景治理模式能够将复杂的风险规制问题分解为更具可操作性、重点突出的风险治理单元，是对传统分散化风险规制模式的升级转化。

首先，从场景治理角度，可以将网络运行活动区分为高风险场景与普通风险场景。在不同等级的网络运行风险场景中，主体间的安全保护义务在内容与程度等方面具有差异性。这种场景化风险治理模式，不仅为风险分配理论在网络运行领域的适用提供了具体的标准，而且能够更为明确地划定需要刑法重点干预的风险领域。高风险场景主要涉及对保障网络运行关键业务的连续性、完整性、可用性具有不可替代作用，以及对国家安全、公共秩序、个人法益有重大影响的重要网络运行活动。对于此类高风险场景，法律与社会的风险容忍度较低，行为人被赋予了更高等级的安全保护义务。相比之下，在诸如中小型网站运营、网络服务接入、一般网络产品提供等普通风险场景中，在符合一般安全标准的前提下，行为人的安全保障义务标准相对宽松，享有更大的创新与试错空间。这种场景化风险规制方式，不仅能够增强网络运行风险的可识别性、可评估性，而且也有助于推动网络运行风险规制模式由普遍防护到重点治理的转型升级。推进网络运行安全风险的场景治理，能够将有限的规范资源优先投入到风险更高、影响更大的网络运行关键环节，使得司法实践在认定不作为犯罪的刑事责任时，能够更为精准地判断与评价行为人刑事义务违反的类型与程度，从而在保障安全与促进创新之间找到动态平衡点。

其次，在网络运行安全风险的场景治理过程中，应将关键信息基础设施的运营列为首要高风险场景。关键信息基础设施是互联网的基础层，兼具极高的社会价值与极大的风险属性。其运营范围广泛覆盖公共通信、能源、电子政务等关乎国家安全、国计民生、公共利益等重要行业与领域，一旦发生安全事件，极可能造成全局性、连锁性、灾难性的危害后果。因此，法律法规需要对关键信息基础设施运营者设定高于一般网络运营者的安全保护义务。对此，《网络安全法》设置专门章节予以规定，确立了关键信息基础设施安全保护制度，并强化了关键信息基础设施运营者的安全保护义务，提升了对其违法运营行为的处罚力度。《关键信息基础设施安全保护条例》明确规定，国家对关键信息基础设施实行重点保护，并细化了运营者的安全保护义务。《最高人民法院、最高人民检察院关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》（以下简称“《危害计算机信息系统安全解释》”）将破坏关键信息基础设施功能、数据或者应用程序，致使生产、生活受到严重影响或者造成恶劣社会影响的，认定为破坏计算机信息系统罪“后果特别严重”情形，升格法定刑予以处罚。这一规定通过提高法定刑幅度，将关键信息基础设施运营场景纳入了刑法的重点保护范围，在刑事司法层面确认了此类网络运行活动的高风险属性。需要特别注意的是，法律规范虽然对关键信息基础设施运营风险的容忍度较低，但并非意味着网络运营者应对所有的安全事故承担刑事责任。网络运行安全风险具有客观上的不可完全消除性，刑事归责的对象应是行为人违反义务的行为。场景治理要求网络运营者应履行与该场景的高风险等级相匹配的安全保护义务，以最大限度地预防、控制风险。如果关键信息基础设施运营者并未遵循法定强制性标准，疏于履行相关安全保护义务，即意味着其行为制造或升高了法律规范所不容许的风险。此时，即便法益侵害结果是由外部行为人的行为所引发的，高风险场景网络运营者的不作为也将成为对其追究刑事责任的重要依据。

（三）网络运行安全保护义务的主体分配

在网络运行过程中，不同参与主体抵抗风险的能力存在差异，其所负担的网络运行安全责任的内容与层级也相应地存在差别。因而，刑法需要运用风险分配理论分散网络运行安全风险的预防成本，根据各主体的风险控制能力与获益程度等因素，对网络参与主体进行层级化区分，并配置差异化的安全保护义务。其中，网络运营者作为投资或经营网络供应服务或产品的群体，很大程度上决定着网络资源的分配，其所具备的网络运行安全风险抵抗能力较强，应承担主要的网络运行安全保护义务。并且，在此基础上，还需对不同类型网络运营者的安全保护义务层级予以细分。对不同类型网络运行参与主体的安全保护义务进行分级分类化配置，以此妥善平衡网络运行安全保障与网络技术自由发展之间的关系。值得注意的是，2026年6月1日审议通过的《网络数据安全风险评估办法》分配网络数据安全的风险评估义务时，也对一般数据处理者、重要数据处理者、核心数据处理者设定了差异化的义务类型与程度。

1. 网络用户的安全保护义务

网络用户是网络活动中规模最大的参与主体，作为网络运行服务的接受者，仅需承担较为有限的安全保护义务。通常情况下，网络用户并不具备干预网络运行架构、网络系统协议或服务后台的技术权限，其从网络运行活动中所获信息服务等收益也相对有限，且缺乏有效的风险控制手段。但是，网络用户的行为在一定程度上仍会影响网络运行环境的有序性与稳定性。根据风险分配理论，并基于期待可能性等因素的考量，网络用户不应承担过高的专业性安全保护义务。其网络运行安全保护义务应限定为遵守基本的法律底线和网络道德，不得故意制造或升高法益侵害风险。这种义务属于消极不作为义务，具体内容主要包括不得恶意攻击网络运行系统、不得利用网络为犯罪提供帮助。例如，网络用户明知他人利用信息网络实施犯罪，却仍然提供通信传输等技术支持，即加速了网络运行安全风险的实现进程，升高了法益侵害风险，违背了不得为犯罪提供帮助的义务，构成帮助信息网络犯罪活动罪。网络用户履行此类义务仅需具有符合一般人认知水平的常识，无须具备相应的专业知识与技术能力，此规则体现了法律对风险弱势主体的合理关照。

2. 一般网络运营者的安全保护义务

相较于普通网络用户，中小型网站运营者、云服务商、网络接入服务商等普通网络运行风险场景中的一般网络运营者，其在网络运行安全风险治理体系中承担着更为积极的安全保护义务。一般网络运营者通过投资与运营活动，掌握着网络产品与服务的提供权、网络系统运行的维护权等核心网络运作权限，是网络运行空间的重要构建者与管理者。其对识别、防范与应对网络运行安全风险具有直接的技术能力，并从中获取了商业利润、流量数据等权益。根据风险分配理论的控制原则与受益原则，一般网络运营者的安全保护义务具有双重性，除不得故意制造或升高法益侵害风险以外，还应积极作为以保障网络稳定运行，建立健全网络运行安全风险合规防范体系。这种双重性的责任要求，能够促使一般网络运营者主动将风险防范成本内化为经营成本，尽可能避免网络运行空间中的管理疏漏问题，防止其成为网络黑灰产的避风港。根据《网络安全法》第23条与24条的规定，一般网络运营者应当落实网络安全等级保护制度，具体承担以下三类网络运行安全保护义务：（1）网络运行防护义务。一般网络运营者应采取必要措施保障其运营的网络与系统安全、稳定运行，防御干扰、破坏及非法入侵。（2）网络产品与服务安全合规义务。一般网络运营者应确保其开发、提供、托管的网络产品与服务安全合规，不得对其设置恶意程序，并及时对所发现的安全缺陷与漏洞采取有效的补救措施。（3）安全事件协作响应义务。在发现安全事件时，一般网络运营者应依法进行记录，并依法依规分别向网络用户与监管部门履行及时告知与报告义务，配合监管部门开展网络运行安全查处工作。

3. 特殊网络运营者的安全保护义务

关键信息基础设施运营者、重要网络产品与服务提供者等高风险场景中的特殊网络运营者，因处理着关系国计民生的关键业务系统，或控制着重要网络产品与服务的供应链，在获取高额利益的同时，具备对网络运行安全风险更强的技术干预能力。特殊网络运营者所从事的业务活动兼具高风险性与高价值性，决定了其必须承担更高层级的风险责任，应承担更为严格的安全保护义务。（1）关键信息基础设施运营者的安全保护义务。《网络安全法》第35条要求关键信息基础设施运营者应遵循“三同步”原则，将安全技术措施同步于关键信息基础设施的规划、建设、使用过程；第36条明确规定其在履行一般网络运营者的安全保护义务外，还应履行五类特殊的安全保护义务。《关键信息基础设施安全保护条例》则通过专门章节规定的形式，对其安全保护义务予以细化。具体而言，关键信息基础设施运营者的安全保护义务包括以下四个方面内容：首先，在组织架构环节，其承担着严格的内部控制义务。除设置专门的安全管理机构和安全管理负责人以外，还应实施人员安全背景审查、定期安全培训与考核。其次，在产品采购环节，其承担着供应链安全与保密义务。对可能影响国家安全的网络产品和服务，关键信息基础设施运营者应依法进行安全审查，并明确要求相关提供者履行保密义务。再次，在运行维护环节，其承担着风险检测、评估与报告义务。关键信息基础设施运营者应依法定期实施网络安全检测与风险评估，并将相关情况报送监管部门。并且，对于运营过程中收集与产生的信息数据，其应承担境内储存义务与出境安全评估义务，对于确需向境外提供的应依法进行安全评估。最后，在应急响应环节，其应履行容灾备份义务与应急响应义务。关键信息基础设施运营者应提前对重要系统与数据库进行备份，并制定预案、定期演练；在网络运行安全事件发生后，其应立即启动预案，并履行报告义务。（2）重要网络产品与服务提供者的安全保护义务。重要网络产品与服务主要包括网络关键设备、网络安全专用产品及相关服务。在安全保护义务的范围上，重要网络产品与服务的提供者不仅要保障源头安全，而且也要保障产品与服务全生命周期的持续安全，他们具有提供持续性安全维护服务的强化义务。在安全保护义务的内容上，提供者应履行不得设置恶意程序的底线义务，并且其应根据相关国家标准的强制性要求，履行配合安全审查义务，对重要网络产品与服务依法依规予以检测认证后，才能够销售或者提供。如果供应链中存在安全威胁或安全漏洞，其应立即采取补救措施，及时阻断网络运行安全风险沿供应链向下游扩散，并分别向用户与有关部门履行告知义务与报告义务。

四、网络运行安全关联犯罪与刑事责任认定

网络运行安全风险的刑事归责，应以关联罪名的准确认定与合理适用为最终落脚点。基于前述网络运行安全风险分配理论体系，应根据主体行为模式、风险场域类型、安全保护义务层级等因素的区别，对网络用户、一般网络运营者以及高风险场景中的特殊网络运营者设置差异化的刑事责任认定标准，对关联犯罪罪名予以妥善认定。这种刑事责任认定方式不仅能落实罪责刑相适应的基本原则，也能在遵循法秩序统一性原则的基础上，与《网络安全法》所构建的层级式网络运行安全风险责任体系相呼应，形成行政责任与刑事责任有序衔接、层次递进的风险责任衔接体系。

（一）网络运营者主观罪过的刑事推定规则

首先，应明确刑事推定在网络运营者主观罪过认定中的辅助性作用。虽然网络运营者对其初始的服务提供行为或技术支持行为具有明确认识，但由于网络系统的传导效果与放大效应，相应的危害后果往往会迅速扩散并超出其预料范围。由此导致司法实践中网络运营者常以技术中立或不知情为由进行抗辩，使得对其主观罪过的证明陷入僵局。为增强司法认定的便利性与可操作性，在严格遵循罪刑法定原则与责任主义原则的前提下，应审慎地引入刑事推定规则，并将其作为一种辅助性的主观罪过认定方法。刑事推定并非主观臆断，而是由法律规定并由司法人员依据经验法则、逻辑规则等作出的具有推断性质的事实认定。其核心要义在于将与行为人主观罪过相对应的、难以直接认定的待证事实，类型化为可以被具体感知与量化的客观情节，以实现证明对象从主观到客观的转化，推断行为人主观上所具备的认识因素或意志因素。在具体适用过程中，应遵循刑事推定的最后适用性原则，并制定科学、严密的规则标准。《信息网络犯罪解释》第11条即规定了七类可推定“明知他人利用信息网络实施犯罪”的情形，诸如交易价格或方式具有明显异常性、经监管部门告知后仍然实施有关行为、提供专门用于违法犯罪的程序等。此类刑事推定规则，强调行为本身的经验反常性、规范违反性与技术专业性，并依据行为的性质、目的以及行为人的专业技术能力等因素，科学合理地推定行为人对危害后果的认识。例如，云服务商在交易中专门设定显著高于市场行情的服务价格，服务内容是帮助用户通过频繁更换IP地址、设置跳转域名等方式来逃避监管。又如，监管部门已依法向云服务商发出明确的整改通知，预警其托管的服务器正在被用于传播破坏性程序，并要求其立即采取暂停服务、阻断异常流量或隔离恶意代码等处置措施，但该云服务商并未履行安全保护义务。此时，结合其行为在商业惯例上的经验反常性、技术专业性，即足以认定网络运营者主观明知状态。

其次，在制定并适用针对网络运营者主观罪过的刑事推定规则时，应构建硬法规范与软法指引相结合的规范参考标准。传统刑法理论在认定行为人主观罪过时，主要以一般人的认知能力与生活经验作为中间判断标准，认定其对危害结果是否具有预见可能性。但对于网络运营者，特别是关键信息基础设施运营者等特殊网络运营者而言，其对网络运行安全风险的认知水平远高于一般人。因而，对其预见可能性等主观罪过要素的判断，应当与其所处的行业地位、技术能力、专业标准等情况相匹配，不能简单套用一般人的标准。行业技术指南、行业标准、伦理规范等软法规范，虽不具有强制效力，却具有要求细致、更新及时等规范特征，能够更为敏捷且具体地反映互联网行业内的技术发展水平与专业共识，使主观罪过的推定更贴近网络运营的技术现实，为推进网络运行规范发展提供更为灵活的规范指引。也即，在推定网络运营者是否具有主观罪过时，所参照的依据不能仅限于行政法律法规、刑法等硬法规范，还应引入行业标准等软法规范作为重要的参考依据，以增强主观罪过认定的科学性与公平性。例如，网络运营者已知存在高危漏洞却未及时修复，若相关行为指南已明确了相关修复技术标准，但网络运营者在无正当理由的情况下未遵循此类软法要求，未积极采取补救与防护措施，最终导致网络系统被入侵而造成重大经济损失，此时即可以推定其对危害结果的发生至少具有“应当预见”的认识。

再次，面对自动化技术带来的刑事归责困境，对网络运营者主观罪过的刑事推定应以其安全保护义务履行情况为标准。算法决策等自动化数字技术的应用，在提高网络运维效率的同时，也通过算法黑箱等技术风险，提升了对网络运营者主观罪过的认定难度。对此，不能简单地依据算法自主决策、网络技术故障等理由，排除网络运营者对危害结果具有犯罪故意或犯罪过失，不当限缩网络运行安全刑事责任的认定范围。如果网络运营者在部署自动化网络运维工具时，明知可能存在算法误报等技术风险，但在投入使用前并未进行充分的网络运行安全性测试与风险评估，也未建立有效的算法审计、人工干预、人工复核等必要风控机制，而将其投入网络运营。一旦发生网络运行安全事故，则可以推定网络运营者的主观罪过至少是过失。也即，对于自动化数字技术应用过程中存在的算法偏见、数据缺陷等具有相对不确定性、不可控性的技术风险因素，司法机关在推定网络运营者主观罪过时，不应局限于其能否预见某个具体的算法缺陷，而应重点关注其在算法设计、系统安全测试等环节的安全保护义务的履行程度，是否建立并充分执行了相关的网络运行安全风险评估、测试与应急响应制度。如果网络运营者未充分履行相应义务，即表明其主观上对网络运行安全风险至少持以过失的主观罪过形式，应承担相应的刑事责任。

最后，允许网络运营者对推定事实提出反证，保障对其主观罪过刑事推定的公正性。司法实践中刑事推定规则的适用，表现出一定的入罪化倾向。刑事推定的结论具有高度的盖然性，不能将其直接等同于已排除合理怀疑的定罪标准，需要接受反证的检验。若网络运营者能提供充分证据证明自己缺乏主观罪过，即可推翻刑事推定，以避免不当扩张刑事归责范围。这种反证机制不仅要求网络运营者主动举证，也促使司法机关应更加注重实质审查，而非仅依赖形式推定。例如，网络运营者提供完整的系统安全日志等材料，证明其已充分履行了相应安全保护义务，即可推翻原有对其的主观罪过推定。通过反证机制，可以避免客观归责的风险，确保刑事责任认定与网络运营者的实际过错相匹配，增强了主观罪过认定的准确性与公正性。

（二）网络运行安全关联犯罪的认定

1. 网络用户所涉罪名的认定

在网络运行安全风险分配体系中，网络用户是网络运行生态环境的基础单元，通常仅承担不得故意制造或升高法益侵害风险的消极性安全保护义务。但当其主动对网络运行系统实施攻击、侵入行为，或为他人犯罪提供技术支持时，其行为即突破了容许风险的边界，直接制造或升高了网络运行安全风险，并将其转化为现实的法益侵害危险。此时，刑法应对网络用户所实施的网络运行不法行为施以否定性评价，追究相应的刑事责任。也即，对于恶意网络用户，应重点考察其是否制造或升高了刑事不法风险，关联罪名的认定主要围绕其对侵害网络系统运行的直接实行行为与间接帮助行为两种类型展开：（1）网络用户直接侵害网络系统运行安全的犯罪认定。该种行为主要涉及非法侵入计算机信息系统罪、非法控制计算机信息系统罪、破坏计算机信息系统罪。首先，非法侵入计算机信息系统罪属于典型的行为犯，犯罪客观构成要件中仅包括行为要素，并以行为本身的法益侵害性作为犯罪化依据。该罪的犯罪对象具有高度的特定性与敏感性，仅限于国家事务、国防建设、尖端科学技术三类领域的计算机信息系统。当网络用户利用SQL注入、木马植入、缓冲区溢出等技术，未经授权或超越授权侵入上述三类特定领域的计算机信息系统时，即便其未造成系统功能实质性损坏，也会因其非法访问行为本身所制造的严重威胁国家安全、国家核心机密等法益侵害危险，而构成该罪。其次，如果其侵入并控制诸如商业网站服务器等上述特定领域以外的系统，则触犯非法控制计算机信息系统罪。如果行为人的目的不在于单纯的访问或控制网络系统，而是破坏网络运行系统的可用性与完整性，对计算机信息系统功能进行删除、修改、增加、干扰，或者故意制作、传播计算机病毒等破坏性程序，影响计算机信息系统有序运行的，则触犯破坏计算机信息系统罪。（2）网络用户为网络犯罪提供技术支持帮助行为的认定。此类行为主要涉及提供侵入、非法控制计算机信息系统程序、工具罪。该罪规制的重点在于对犯罪工具的提供行为，聚焦于技术手段的专门性危害。网络用户提供的并非是服务器托管、通讯传输等基础网络服务，而是系统破解工具、木马程序等专门用于侵入或非法控制系统的程序与工具，则触及提供侵入、非法控制计算机信息系统程序、工具罪。此类源头性的技术供给与支持行为，本身即具有高度的非法性与致害性，不存在合法使用空间，具有独立的法益侵害性，且其法益侵害程度与后续实行行为相当甚至更为严重。因而刑法不再将其仅视为从犯性质的帮助行为，而是具备独立犯罪性质。

2. 一般网络运营者所涉罪名的认定

一般网络运营者是网络运行空间中的管理者，其安全保护义务具有双重性，除履行不侵害网络运行安全的消极性义务外，还承担着主动采取措施保障网络安全、稳定运行的积极义务。因此，刑法对其不法行为的规制，与对网络用户主动实施不法侵害行为的归责路径存在差异。刑法并非要求其对所有网络安全事故负责，而是以其安全保护义务的履行情况为重点，判断其不作为或过失行为是否制造或升高了法所不容许的网络运行安全风险。一般网络运营者所涉罪名的认定，主要涉及以下罪名：（1）拒不履行信息网络安全管理义务罪。该罪是与一般网络运营者身份特征关联最为紧密的罪名。其成立并非源于网络运营者对网络运行系统的主动攻击行为，而是因为网络运营者对前置性安全保护义务的不适格履行所造成的严重危害后果。一般网络运营者构成此罪，需要进行“行政不法认定的前置性—行政程序的前置性—拒不作为—造成严重后果”的层级式认定。在具体认定时，有两方面内容需要特别注意：一方面，网络运行安全保护义务的内容应具体、明确，在义务属性上包括消极性的不侵害网络运行系统、积极性的保障网络系统有序运行；在义务内容上则包括保障网络运行的安全防护、网络产品与服务提供的合法合规。另一方面，该罪罪状中“经监管部门责令采取改正措施”的表述，使得对网络运营者刑事责任认定形成了行政程序前置化模式。这一模式为网络运营者提供了纠正错误、降低风险的机会，是网络运行行为的行政不法向刑事不法转化的程序性限缩要件。在司法实践中，应对网络运营者在责令期限内拒不改正进行实质判断，考察其是否真实、合理履行了与其技术能力相匹配的安全保护义务。若其因技术能力客观受限或不可抗力等原因无法如期整改，不应认定为拒不改正；但若其为了节省日志存储成本、规避合规投入而未如期完成整改，放任网络运行安全风险的存续甚至升高，则具备了刑事可罚性基础。（2）帮助信息网络犯罪活动罪。该罪是规制一般网络运营者滥用技术中立原则、对网络犯罪活动提供技术帮助的重要罪名。一般网络运营者所提供的互联网接入、服务器托管、通讯传输等网络运行服务本身具有技术中立性与通用性，但若其被故意用于帮助犯罪活动时，则直接违反了不得制造或升高法益侵害危险的消极性安全保护义务。因此，对此类行为犯罪化认定的核心内容是行为人是否具有主观明知。（3）非法控制计算机信息系统罪与破坏计算机信息系统罪。虽然这两个罪名的主要犯罪主体是黑客等恶意网络用户，但一般网络运营者也能成为相应犯罪主体。并且，其犯罪形态表现出风险内生性与权限滥用性等特征。网络运营者具有相应网络系统的访问权限，若其利用职务便利，违规进入客户租用的服务器，通过植入挖矿程序等手段对网络运行系统予以非法控制的，触及非法控制计算机信息系统罪。若其超越权限，对客户租用、竞争对手或他人计算机信息系统功能进行删除、修改、增加、干扰，或者故意制作、传播计算机病毒等破坏性程序，影响网络系统有序运行的，则属于破坏计算机信息系统罪的规制范畴。

3. 特殊网络运营者所涉罪名的认定

关键信息基础设施运营者、重要网络产品与服务提供者等特殊网络运营者，因其运营活动直接维系着国家安全、经济运行、社会秩序与公共利益的根本命脉，其应用的网络运维技术是新质生产力发展的重要组成部分，被法律赋予了更高层级的风险控制地位，并相应配置了更为严格与广泛的安全保护义务。刑法对其不法行为的评价与一般网络运营者存在程度差异，表现为对不作为犯罪的入罪门槛降低、罪量要素差异化评价等方面，主要涉及以下罪名：（1）非法侵入计算机信息系统罪。由于特殊网络运营者所管理与维护的网络系统本身可能就属于国家事务、国防建设、尖端科学技术领域，或与这些高度敏感领域存在紧密的业务相关性与技术关联性，若行为人利用职务权限，超越授权时间、范围或目的，非法访问上述特定网络运行系统，即构成非法侵入计算机信息系统罪。例如，行为人负责电力调度网络系统的运维工作，利用其身份权限的便利，擅自访问涉及国家电力能源战略布局的核心数据存储系统，即便未破坏网络系统的运行状态，其非法侵入行为本身已对国家安全具有侵害危险，应予以追究刑事责任。并且，因为特殊网络运营者对特定网络系统的访问身份与权限本身是由法律规范所特许授予的，其非法访问行为的可谴责性程度高于外部黑客所实施的技术型入侵行为。（2）拒不履行信息网络安全管理义务罪。在该罪的认定与适用上，特殊网络运营者的入罪门槛相较于一般运营者更低。一方面，其前置性安全保护义务的外延范围更为广泛，不仅包括一般网络运营者的安全保护义务，还包括安全背景审查、供应链安全评估等强化性义务；另一方面，对其“拒不改正”的司法判断标准更为严格。特殊网络运营者基于其特许经营地位与强大的技术资源，对网络运行安全风险具有更高程度的风险防范能力，因此其以技术困难、经营成本受限为由的抗辩空间更加受限，对其整改的及时性、彻底性要求应比一般网络运营者更高。（3）非法控制计算机信息系统罪、破坏计算机信息系统罪。这两个罪名的危害本质在于对网络系统功能的控制与破坏，对其罪量要素的评价，与行为对网络系统运行可控性、完整性、可用性的侵害程度直接相关，需要予以严格把握。如果特殊网络运营者实施该类犯罪，对其罪量要素的评价应更加审慎与准确，应当与《网络安全法》修订的危害后果评价体系相对接，发挥前置法对法益侵害程度识别的参照系功能。新修订的《网络安全法》将关键信息基础设施“丧失局部功能”与“丧失主要功能”分别认定为“严重危害网络安全后果”“特别严重危害网络安全后果”。在非法控制计算机信息系统罪的认定中，若行为人非法控制了关键信息基础设施，并导致其丧失实时监控等局部功能，可以成为认定“情节严重”的参考依据；若导致其运行系统瘫痪等丧失主要功能情形，则可以成为认定“情节特别严重”的参考依据。通过将行政法上的后果分级评价标准转化为罪量评价重要参照系，能够体现刑法对关键信息基础设施运营等网络运行高风险场景的重点规制，同时也增强了网络运行安全责任在法秩序评价中的内在统一性与层次递进性。

五、结 语

在《网络安全法》修订与实施的背景下，网络运行安全风险的刑事治理应当实现从分散到系统、从粗放到精细的转变。这一转型的核心在于，建立以网络运行安全风险场景分类识别与安全保护义务分类分配为基础的刑事归责模式，明确重点规制场景、合理配置各类参与主体的安全保护义务。根据网络运行活动的业务属性、技术特征、所涉法益的重要性等因素，刑法应对网络运行场景进行风险等级划分，将关键信息基础设施、重要网络产品与服务提供等纳入重点规制范围，并对普通风险场景的介入保持必要克制。在刑事责任认定过程中，刑事司法机关不能过于依赖前置法，避免对犯罪构成要件进行形式判断。通过考察不同参与主体所处的风险场景类型，明确其所应履行的安全保护义务内容与实际履行情况，对网络运行安全风险所涉及的关联犯罪进行穿透式实质认定，从而实现行政责任与刑事责任的有序衔接和罚当其罪。

来源：《上海政法学院学报》2026年第4期

作者：张    勇，华东政法大学刑事法学院教授、博士生导师

         陈雅儒，华东政法大学刑事法学院博士研究生