第三十四條除本法第二十一條的規定外，關鍵信息基礎設施的運營者還應當履行下列安全保護義務：

（一）設置專門安全管理機構和安全管理負責人，并對該負責人和關鍵崗位的人員進行安全背景審查；

（二）定期對從業人員進行網絡安全教育、技術培訓和技能考核；

（三）對重要系統和數據庫進行容災備份；

（四）制定網絡安全事件應急預案，并定期進行演練；

（五）法律、行政法規規定的其他義務。

第三十五條關鍵信息基礎設施的運營者采購網絡產品和服務，可能影響國家安全的， 應當通過國家網信部門會同國務院有關部門組織的國家安全審查。

第三十六條關鍵信息基礎設施的運營者采購網絡產品和服務，應當按照規定與提供者簽訂安全保密協議，明確安全和保密義務與責任。

第三十七條關鍵信息基礎設施的運營者在中華人民共和國境內運營中收集和產生的個人信息和重要數據應當在境內存儲。因業務需要，確需向境外提供的，應當按照國家網信部門會同國務院有關部門制定的辦法進行安全評估；法律、行政法規另有規定的，依照其規定。

第三十八條關鍵信息基礎設施的運營者應當自行或者委托網絡安全服務機構對其網絡的安全性和可能存在的風險每年至少進行一次檢測評估，并將檢測評估情況和改進措施報送相關負責關鍵信息基礎設施安全保護工作的部門。