中央网信办等部门于 2024 年 5 月发布《互联网政务应用安全管理规定》，自 2024 年 7 月 1 日起施行。规定围绕政务应用、数据安全、供应链、等级保护与运行管理提出要求。对承接政务信息化与政务 AI 项目的企业，这份规定改变了项目交付的合规基线，也改变了投标文件需要证明的内容。
适用边界的判断
规定针对互联网政务应用，判断关键在于应用是否服务于政务职能、是否通过互联网提供、是否处理政务数据。为政府部门开发的智能问答、审批辅助与数据分析工具，通常落入这一范围；纯商业化产品则需另行判断。边界不清时，按更严格的标准准备材料更稳妥，因为政务项目的验收与检查往往以最保守的口径执行。
等级保护与供应链安全
政务应用需要落实网络安全等级保护要求，供应链安全被单独强调。这意味着外包开发、云服务、模型服务与运维供应商都要接受审查，企业不能只对自己的代码负责。分包层级越多，供应链说明与责任划分越需要前置。把供应商清单、组件来源与升级机制写进交付文档，能减少验收阶段的反复。
数据分类分级与个人信息
政务数据往往涉及大量个人信息与公共数据，分类分级、访问控制、日志留存与共享审批是基本要求。政务 AI 应用若使用外部模型服务，训练与推理数据是否出域、是否用于模型改进，需要在合同中明确限制。个人信息保护的要求与数据安全制度并行适用，不能因为数据属于政务场景就降低处理标准。
供应商的交付清单
从供应商角度，交付物不只是功能，还包括安全管理制度、等保测评配合、供应链清单、数据处理说明与应急响应方案。把这些内容写入投标与合同文件，能减少验收阶段的返工。项目结束后，数据删除、账号回收与模型退场同样需要留下记录，否则责任会延续到下一期项目。
运行管理与应急响应
规定对运行管理提出要求，日志留存、漏洞管理、应急预案与演练属于常态工作。政务应用一旦发生安全事件，影响范围与公众关注度都高于一般商业系统。供应商需要准备可执行的事件报告流程，明确通报对象、时限与配合方式。把应急联系人、数据备份与恢复方案写入合同附件，能避免事件发生时职责不清。演练记录本身也是检查材料，平时不做，临时补不出来。对同时服务多个政务客户的企业，最好按项目建立独立的安全档案，避免材料互相混用。
政务项目的安全与数据安排，可参见网络安全合规服务与数据合规服务；涉及项目准入的另见业务准入服务。
本文依据中央网信办等部门 2024 年 5 月发布、自 2024 年 7 月 1 日起施行的《互联网政务应用安全管理规定》及公开信息编写，仅供参考，不构成法律意见。