公民個人信息應在境內存儲
全國人大法律委員會表示，一些常委會委員和地方、部門建議對關鍵信息基礎設施的范圍不作列舉，可由國務院制定配套規定予以明確。
對此，二審稿規定，國家對一旦遭到破壞、喪失功能或者數據泄露，可能嚴重危害國家安全、國計民生、公共利益的關鍵信息基礎設施，在網絡安全等級保護制度的基礎上，實行重點保護。關鍵信息基礎設施的具體范圍和安全保護辦法由國務院制定。
二審稿還規定，關鍵信息基礎設施的運營者在中華人民共和國境內運營中收集和產生的公民個人信息和重要業務數據應當在境內存儲。因業務需要，確需向境外提供的，應當按照國家網信部門會同國務院有關部門制定的辦法進行安全評估；法律、行政法規另有規定的除外。
二審稿增加規定，國家鼓勵關鍵信息基礎設施以外的網絡運營者自愿參與關鍵信息基礎設施保護體系；國家網信部門和有關部門在關鍵信息基礎設施保護中取得的信息，只能用于維護網絡安全的需要，不得用于其他用途。
運營者留存網絡日志不得少于六個月
全國人大法律委員會表示，擬增加多項促進網絡安全的支持措施，在維護網絡安全的同時，促進發展。一是，國家推進網絡安全社會化服務體系建設，鼓勵企業、機構開展網絡安全認證、檢測和風險評估等服務。二是，國家鼓勵開發網絡數據安全保護和利用技術，促進公共數據資源開放，推動技術創新和經濟社會發展；支持創新網絡安全管理方式，運用網絡新技術，提升網絡安全保護水平。三是，增加大數據應用必須對公民個人信息進行匿名化處理的規定，進一步明確公民個人信息使用規則。
二審稿還增加規定，網絡運營者留存網絡日志不得少于六個月；網絡運營者對有關部門依法實施的監督檢查應當予以配合。
發生安全事件有關部門可約談運營者
二審稿規定，對網絡存在較大安全隱患或者發生安全事件的運營者，有關部門可以按照規定的權限和程序對其法定代表人或主要責任人進行約談；對故意從事危害網絡安全的活動受到治安管理處罰或者刑事處罰的人員，終身不得從事網絡安全管理和網絡運營關鍵崗位的工作；對有本法規定的違法行為的，依照有關法律、行政法規的規定記入信用檔案，并予以公示。
