Article 37

信息网络和信息系统的所属单位或者运行维护单位应当依据国家有关规定以及相关技术标准，建立信息安全保障工作责任制，制定本单位信息安全保护和容灾备份措施，对信息网络和信息系统实行信息安全等级保护，定期进行信息安全风险评估。