宁波某科技公司未落实网络安全等级保护制度、未建立数据分类分级管理制度致化工厂区监控视频被境外势力获取案

【案件背景】
2025年,根据国家网信办移交的问题线索，在宁波市网信办的全流程指导下，鄞州区网信办依法对宁波某科技有限公司进行立案调查。该公司承包了某化工企业的业务信息系统建设（包括网络视频监控系统），负责存储化工厂区安全智能管控平台的重大危险源监控视频数据。化工行业事关国计民生，其安全监控数据一旦泄露可能被境外势力用于分析和攻击，直接影响国家安全。

【违法事实】
经查明，2024年11月17日至11月19日（系统在建中交付前），该公司存在多项严重违法行为：一是未落实网络安全等级保护制度——作为化工行业关键信息基础设施的承建方，系统未进行等保定级备案和测评，违反了《网络安全法》第二十一条关于等保制度的强制性要求；二是未建立健全全流程数据安全管理制度，也未对处理的监控视频数据进行分类分级；三是未采取有效的技术措施和其他必要措施保障数据安全——用于存储监控视频数据的网络摄像机存在弱口令漏洞；四是未在开展数据处理活动时加强数据安全缺陷、漏洞等风险监测。由于上述违规，其网络资产多次被美国、韩国、新加坡等境外势力利用弱口令漏洞获取监控视频数据，造成涉及国家安全的严重数据泄露事件。

【处罚决定】
鄞州区网信办依据《数据安全法》第四十五条以及《行政处罚法》等法律法规，对宁波某科技有限公司作出责令改正、给予警告、并处5万元罚款的行政处罚，对直接主管人员处以1万元罚款的行政处罚。此案为宁波全市网信系统首次采用说理性执法文书的行政处罚案件，详细论证了违法事实、证据、法律适用和处罚合理性的全部逻辑链条。

【典型意义】
本案涉及化工行业关键基础设施的监控数据安全，具有多重典型意义。一是明确在建系统同样受法律约束——'联网之日，责任在肩'，即使系统尚未正式交付，建设主体自系统联网运行之日起就负有数据安全保护的法定义务。二是等保制度与数据分类分级制度的衔接——《数据安全法》第二十七条明确要求在等保制度基础上履行数据安全保护义务，两者不是二选一的关系，而是必须同时满足的叠加义务。三是针对直接主管人员的'双罚制'——本案同时对企业和主管人员作出处罚，警示管理层个人同样面临法律责任风险。