证券期货业网络和信息安全及数据保护合规指引（下）——重点解读：信息技术系统服务机构和证券期货业CIIO合规义务

上期回顾

在 《证券期货业网络和信息安全及数据保护合规指引（中）——重点解读：核心机构和经营机构合规义务》中，我们全面梳理并为读者呈现了核心机构和经营机构的网络和信息安全及数据保护合规义务。

在证券期货业领域中，信息技术系统服务机构作为重要信息系统的供应商，相较于一般信息系统服务机构应承担更严格的合规义务。而核心机构和经营机构的信息系统和基础设施一旦监管部门认定为CII，核心机构和经营机构将成为CIIO，也将承担更严格的法律义务。对此，在本篇中，我们将重点梳理并解读信息技术系统服务机构及证券期货业CIIO应当履行的合规义务，以期为该两类主体开展网络和信息安全及数据保护工作提供有效合规指引。

一、信息技术系统服务机构之合规义务

《证券期货业网络和信息安全管理办法》（以下简称"《办法》"）中规定的信息技术系统服务机构指的是为证券期货业务提供重要信息系统开发、测试、集成、测评、运维及日常安全管理等产品或者服务的机构。前文我们已经针对重要信息系统的合规要求进行了详细的说明，我们理解，信息技术系统服务机构作为重要信息系统的供应商，相较于一般信息系统服务机构应承担更严格的合规义务。《办法》从备案、安全保障以及合规体系构建等方面对信息技术系统服务机构提出了特殊的合规要求。信息技术系统服务机构应当遵循 技术安全、服务合规的基本原则，勤勉尽责，并对产品和服务的安全性和合规性承担责任，与核心机构、经营机构共同促进行业健康发展。

（一）备案管 理

根据《证券法》和《期货和衍生品法》，证券期货业的服务机构为核心机构和经营机构提供服务的，应向证监会进行备案。信息技术系统服务机构应先行履行备案义务，方可提供重要信息系统的相关服务，核心机构和经营机构也应督促其履行备案义务。