第三十五条

实行信息系统安全等级保护和安全风险评估制度。

信息系统的主管部门和运营、使用单位应当按照国家信息安全等级保护管理规范和技术标准，确定信息系统的安全保护等级，并进行相应的安全系统建设和安全风险评估。

国家机关和有关社会公共服务单位的重要信息系统在投入使用前，应当由有关主管部门认可的信息安全测评机构对其进行安全性测评，测评合格的方可投入使用。测评机构应当对测评结果负责。