第十七条 运营者应当自行或者委托网络安全服务机构对公路水路关键信息基础设施每年至少进行一次网络安全检测和风险评估，对发现的安全问题及时整改。部级设施的运营者应当直接向交通运输部报送相关情况；省级设施的运营者应当将相关情况报经省级人民政府交通运输主管部门审核后报送交通运输部。

第十八条 法律、行政法规和国家有关规定要求使用商用密码进行保护的公路水路关键信息基础设施，其运营者应当使用商用密码进行保护，自行或者委托商用密码检测机构每年至少开展一次商用密码应用安全性评估。

商用密码应用安全性评估应当与公路水路关键信息基础设施安全检测评估、网络安全等级测评制度相衔接，避免重复评估、测评。

第十九条 运营者应当加强保密管理，按照国家有关规定与网络产品和服务提供者等必要人员签订安全保密协议，明确提供者等必要人员的技术支持和安全保密义务与责任，并对义务与责任履行情况进行监督。

第二十条 运营者应当制定网络安全教育培训制度，定期开展网络安全教育培训和技能考核。教育培训的具体内容和学时应当遵守国家有关规定。

第二十一条 运营者应当建设本单位网络安全监测系统，对公路水路关键信息基础设施开展全天候监测和值班值守。

运营者应当加强本单位网络安全信息通报预警力量建设，依托国家网络与信息安全信息通报机制，及时收集、汇总、分析各方网络安全信息，组织开展网络安全威胁分析和态势研判，及时通报预警和处置。

第二十二条 运营者应当按照国家有关要求制定网络安全事件应急预案，建立网络安全事件应急处置机制，加强应急力量建设和应急资源储备，每年至少开展一次应急演练，并针对应急演练发现的突出问题和漏洞隐患，及时整改加固，完善保护措施。

第二十三条 部级设施发生重大网络安全事件或者发现重大网络安全威胁时，运营者应当直接向交通运输部、公安机关报告，并立即启动本单位网络安全事件应急预案。

省级设施发生重大网络安全事件或者发现重大网络安全威胁时，运营者应当立即向省级人民政府交通运输主管部门、公安机关报告，并启动本单位网络安全事件应急预案。省级人民政府交通运输主管部门应当将相关情况及时报告交通运输部。

公路水路关键信息基础设施发生特别重大网络安全事件或者发现特别重大网络安全威胁时，交通运输部应当在收到报告后，及时向国家网信部门、国务院公安部门报告。

第四章  保障和监督

第二十四条 交通运输部应当制定公路水路关键信息基础设施安全规划，明确保护目标、基本要求、工作任务、具体措施。

交通运输主管部门、运营者应当严格落实公路水路关键信息基础设施安全规划。

第二十五条 交通运输部应当建立公路水路关键信息基础设施网络安全监测预警制度，充分利用网络安全信息共享机制，及时掌握公路水路关键信息基础设施运行状况、安全态势，预警通报网络安全威胁和隐患，指导做好安全防范工作。

省级人民政府交通运输主管部门应当及时掌握省级设施的运行状况、安全态势，并组织做好预警通报和安全防范工作。

第二十六条 交通运输部应当按照国家网络安全事件应急预案的要求，建立健全公路水路网络安全事件应急预案，定期组织应急演练；指导运营者做好网络安全事件应对处置，并根据需要组织提供技术支持与协助。

省级人民政府交通运输主管部门应当依据前款规定组织做好本行政区域内公路水路网络安全事件应急预案、应急演练相关工作，并将应急预案、应急演练情况及时报告交通运输部。省级人民政府交通运输主管部门应当指导省级设施运营者做好网络安全事件应对处置，并根据需要组织提供技术支持与协助。

第二十七条 交通运输主管部门应当定期组织开展公路水路关键信息基础设施网络安全检查检测，指导监督运营者建立问题台账，制定整改方案，及时整改安全隐患、完善安全措施。省级人民政府交通运输主管部门应当将检查检测情况及时报告交通运输部。

公路水路关键信息基础设施网络安全检查检测应当在国家网信部门的统筹协调下开展，避免不必要的检查和交叉重复检查。检查工作不得收取费用，不得要求被检查单位购买指定品牌或者指定生产、销售单位的产品和服务。

第二十八条 运营者对交通运输主管部门开展的网络安全检查检测工作，以及公安、国家安全、保密行政管理、密码管理等有关部门依法开展的公路水路关键信息基础设施网络安全检查工作应当予以配合，并如实提供网络安全管理制度、重要资产清单、网络日志等必要的资料。

第二十九条 交通运输主管部门按照国家有关规定，对网络安全工作不力、重大安全问题隐患久拖不改，或者存在重大网络安全风险、发生重大网络安全事件的运营者，约谈单位负责人，并加大网络安全监督检查力度。

第三十条 交通运输主管部门、网络安全服务机构及其工作人员对于在公路水路关键信息基础设施安全保护过程中获取的信息，只能用于维护网络安全，并严格按照有关法律、行政法规的要求确保信息安全，不得泄露、出售或者非法向他人提供。

第五章  法律责任

第三十一条 运营者违反本办法规定的，由交通运输主管部门按照《关键信息基础设施安全保护条例》等法律、行政法规的规定予以处罚。

第三十二条 交通运输主管部门及其工作人员存在以下情形之一的，按照《关键信息基础设施安全保护条例》等法律、行政法规的规定予以处分：