拒不履行信息网络安全管理义务罪可能成为企业常见刑事法律风险

9月28日，公安部网安局公布两起拒不履行信息网络安全管理义务罪典型案例，均出自公安机关“净网—2026”专项行动。江苏盐城一家公司未核验用户身份，对外提供服务器租赁服务，被行政处罚并责令限期改正后仍不整改，致使多人被骗，刑事案件证据灭失，公司法定代表人卢某斌被判处有期徒刑八个月，缓刑一年，并处罚金一万元。河南三门峡一家网络技术服务公司受雇于实施电信网络诈骗的人员，多次发布违法有害信息，同样在被处罚后拒不整改，致使群众财产被骗，法定代表人张某东被判处有期徒刑八个月，缓刑一年，并处罚金三千元。

这个罪名写进刑法已有十一年，实践中适用不多，不少网络服务企业没有听说过它。此次集中公布判例，很可能把这个条款推向常态适用。

一家公司被行政处罚后照常经营，为什么会让负责人背上刑事责任？

一、罪名与量刑档

《中华人民共和国刑法》第二百八十六条之一规定：网络服务提供者不履行法律、行政法规规定的信息网络安全管理义务，经监管部门责令采取改正措施而拒不改正，有下列情形之一的，处三年以下有期徒刑、拘役或者管制，并处或者单处罚金：（一）致使违法信息大量传播的；（二）致使用户信息泄露，造成严重后果的；（三）致使刑事案件证据灭失，情节严重的；（四）有其他严重情节的。

这一条由2015年施行的《刑法修正案（九）》增设。条文同时规定，单位犯本罪的，对单位判处罚金，并对直接负责的主管人员和其他直接责任人员追究刑事责任；同时构成其他犯罪的，依照处罚较重的规定定罪处罚。公司收罚金，负责人照判，单位与个人的责任同时存在。

“网络服务提供者”的范围比很多企业想象得宽。2019年10月21日公布、同年11月1日施行的《最高人民法院、最高人民检察院关于办理非法利用信息网络、帮助信息网络犯罪活动等刑事案件适用法律若干问题的解释》（法释〔2019〕15号）第一条把它分成三类：一是网络接入、域名注册解析等信息网络接入、计算、存储、传输服务，服务器租赁、机房托管都在其中；二是信息发布、搜索引擎、即时通讯、网络支付、网络游戏、网络直播、应用商店等应用服务；三是利用信息网络提供的电子政务、通信、能源、交通、金融、教育、医疗等公共服务。

与帮助信息网络犯罪活动罪不同，本罪追究的不是为他人犯罪提供帮助，而是企业自身管理义务的不履行。管理失职加上拒不改正，不需要“明知”他人犯罪，同样构成犯罪。

二、入罪的四道门槛

第一道门槛是前置程序。法释〔2019〕15号第二条明确，“责令采取改正措施”指网信、电信、公安等依照法律、行政法规承担信息网络安全监管职责的部门，以责令整改通知书或者其他文书形式作出。是否属于“拒不改正”要综合判断：责令有无法律依据，改正措施及期限是否明确、合理，企业有没有按照要求改正的能力。确因资金、技术等条件限制难以达到要求的，司法解释写明，不能认定为“拒不改正”。

第二道门槛是后果的量化标准。司法解释第三条至第五条分别规定：致使违法信息大量传播，指传播违法视频文件二百个以上、其他违法信息二千个以上、向二千个以上用户账号传播、违法信息实际被点击五万次以上等情形；致使用户信息泄露造成严重后果，指泄露行踪轨迹、通信内容、征信、财产信息五百条以上，住宿信息、通信记录、健康生理信息、交易信息五千条以上，其他信息五万条以上，或者造成他人死亡、重伤、重大经济损失等后果；致使刑事案件证据灭失情节严重，指造成可能判处五年有期徒刑以上刑罚犯罪案件的证据灭失，多次造成证据灭失，或者刑事诉讼程序受到严重影响等。盐城案对应的正是第三种情形：服务器租赁企业不核验客户身份、不留存数据，客户利用服务器实施犯罪后，办案机关调取证据时数据已经灭失。第三种情形实务中更常见，更容易达标。

第三道门槛容易被忽视，写在司法解释第六条：对绝大多数用户日志未留存，或者未落实真实身份信息认证义务的，直接认定为“有其他严重情节”。这意味着《网络安全法》两项最基础的义务，按照规定留存网络日志不少于六个月（第二十三条），为用户办理网络接入、域名注册等业务时核验真实身份信息（第二十六条），不做整改本身就能满足入罪条件，不需要等到具体的损害后果发生。

第四道门槛是时间的累积：二年内经多次责令改正拒不改正的，同样入罪。整改通知来得越频繁，离刑事案件越近。

三、两份判决里能读出什么

盐城案违反的是实名核验义务。该公司未核验客户身份即对外提供服务器租赁服务，被处罚并责令限期改正后仍不整改，此后多人被骗，刑事案件证据灭失。三门峡案对应的是《网络安全法》第四十九条的信息管理义务：网络运营者发现法律、行政法规禁止发布或者传输的信息，应当立即停止传输、采取消除等处置措施、保存有关记录并向主管部门报告。该公司受雇于实施电信网络诈骗的人员，多次发布违法有害信息，被处罚后拒不整改，群众财产因此被骗。

两份判决的量刑都是有期徒刑八个月、缓刑一年，差别在罚金数额，一万元对三千元。可以看出，危害后果可以评价为在法定刑低位的，缓刑空间存在。但刑事程序一旦启动，企业停摆、负责人涉刑、资质与客户信任的损失，不是罚金数字能覆盖的。

雷腾律师在办理涉网案件中注意到，中小型IDC企业、网络技术服务企业普遍把责令改正通知书当作普通行政文书，签字收下，然后照旧经营。两案中，企业都不是因为第一次违法直接入刑，触发刑事程序的是收到责令改正通知后的不整改。

四、企业可以做好的几件事

收到责令改正通知书，按刑事风险文书对待。核对改正要求、期限和依据，评估自身能否在期限内完成，把这一步做在前面。

整改全程留痕。整改方案、技术措施、验收记录、系统截图，逐项归档。无论后续面对行政处罚复核还是刑事审查，这些都是证明“已经改正”的材料。

确实做不到的，书面说明。资金不足、技术条件不够，如实向监管部门报告，申请指导或者宽限。司法解释给了这条出路，前提是企业在沟通，而不是沉默。

两项底线义务单独对待。日志留存不少于六个月、用户实名核验，对照《网络安全法》第二十三条、第二十六条逐项自查。2026年1月1日起施行的新修改《网络安全法》提高了行政处罚力度，同类违法行为的罚款上限提高至一千万元，行政处罚的频次会上升，处罚和责令改正记录增多，刑事风险相应上升。

1.雷腾律师网络刑事业务介绍

2.滕立章律师揭网络犯罪案件办案秘诀

3.滕立章主任接受央视采访谈网络支付监管

4.滕立章主任接受人民日报采访谈网络直播监管

北京雷腾律师事务所

咨询热线：010-88829390

法律支持：zixun@linktocn.com

◆ 正确的选择比努力更重要 ◆