第三十六条

实行信息系统安全等级保护和安全风险评估制度。

信息系统的主管部门和运营、使用单位应当按照国家信息安全等级保护管理规范和技术标准，确定信息系统的安全保护等级，并按照有关规定进行备案、审批。

信息系统的主管部门和运营、使用单位应当定期组织开展信息安全风险评估，采取措施保障信息系统的安全。