关键基础设施主要包括交通运输、通信、电力、金融、水资源、石油天然气、医疗卫生设施、系统和网络等，一旦失效或破坏，将会严重影响国家基本服务的可用性和完整性，导致严重经济、社会问题或生命财产损失。

法律要求。《中华人民共和国突发事件应对法》要求，加强对重点单位、重要部位和重要基础设施的安全保卫，维护社会治安秩序；采取必要措施，确保交通、通信、供水、排水、供电、供气、供热等公共设施的安全和正常运行。《中华人民共和国网络安全法》明确，国家对公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施，在网络安全等级保护制度的基础上，实行重点保护。按照国务院规定的职责分工，负责关键信息基础设施安全保护工作的部门分别编制并组织实施本行业、本领域的关键信息基础设施安全规划，指导和监督关键信息基础设施运行安全保护工作。

相关规划要求。《国家突发事件应急体系建设“十三五”规划》要求：加强铁路、公路、港口、航道和输变电线等重要基础设施防灾能力建设，提高抵御台风、冰冻、暴雨（雪）、雷电、大风、大雾等极端天气的能力。实施国家地震烈度速报与预警工程，大力推进核设施、油气管线、大型石化企业、高铁、城市轨道交通等重大工程设施地震预警和紧急处置技术应用。推进生命线工程全生命周期风险管理，做好房屋建筑、城市桥梁、建筑幕墙、斜坡（高切坡）、城市轨道交通（隧道、高架结构）、地下综合管廊和管线、电梯、大型游乐设施等运行使用的风险评估与安全监管。加强国家主干公路网、高速铁路网、内河高等级航道网、航空运输、卫星通信等交通安全信息监控能力建设，实现对运行状态的动态监控。完善国家网络安全保障体系，提高关键信息基础设施的风险防控能力，保障金融、电力、通信、交通等基础性行业业务系统安全平稳运行。加强重要金融网络与信息系统运行维护，确保安全稳定运转；加强金融数据灾备中心建设，建设完善中央银行“两地三中心”灾备技术体系，提高金融系统抗灾能力。

法规要求。美国《国土安全法》（2002年）要求国土安全部确保国家关键基础设施及重要资源（CI/KR）的安全。2003年12月17日布什总统发布的《国土安全总统令7：关键基础设施的识别、重要程度及保护》（HSPD-7），要求国土安全部长在其他联邦部门及机构、各州、地方、部落及地区政府、私营企业的协助下制定一份集中全国力量保护国家关键基础设施及重要资源的全国性计划。2013年2月12日奥巴马总统发布《总统政策指令21：关键基础设施安全和恢复力》（HSPD-21），要求国土安全部长修订国家基础设施保护计划，以符合PPD-8所设定的国家应急准备目标和系统的要求。

保护计划发布与更新。2006年6月30日，DHS颁布了第一份《国家基础设施保护计划》（National Infrastructure Protection Plan; NIPP），2009年进行了首次修订。2013年，根据PPD-21的要求，DHS又对NIPP进行了全面的修订。

NIPP愿景。国家的物理和网络关键基础设施保持安全和韧性，其脆弱性得到降低、后果被最小化、威胁被识别和制止、响应和恢复快速有力。

NIPP使命。通过关键基础设施领域的协作和集成努力，管理物理和网络风险，加强国家关键基础设施的安全和韧性。

NIPP目标：①评估和分析关键基础设施的威胁、脆弱性和后果，为风险管理活动提供信息。②在对安全投资进行成本和收益分析的基础上，通过可持续的努力减少风险，使关键基础设施免于人员、物理和网络的威胁。③通过提前规划和减灾措施，采取有效的响应拯救生命，确保关键服务的快速恢复，降低事件的不利后果，从而提升关键基础设施的恢复力。④在关键基础设施领域分享可用和相关信息，提高警惕性和风险指引的决策。⑤通过演练和真实事件促进学习和适应。

NIPP建立了一套综合风险管理体系，如下图所示。明确规定基础设施拥有者和运营者、各级政府、区域实体、非赢利机构及学术界等在保护国家关键基础设施方面都负有职责。

关键基础设施风险管理框架示意图

对关键基础设施应该采取综合风险管理方法，包括设置目的和目标、识别关键基础设施、分析和评估风险、实施风险管理活动、测量有效性。通过有效的风险管理，实现以下目标：①识别、阻止、发现、瓦解针对关键基础设施的威胁，并为可能发生的事件做好准备。②减少关键资产、系统和网络的脆弱性。③降低可能发生的事件对关键基础设施的不利后果。相关各方应该共享相关信息，以建立对态势的感知和开展有效的风险决策。

关键基础设施的18个领域，包括银行及金融、化工、商业设施、通信、重要制造业、大坝、国防和工业基地、应急服务、能源、农业和食品、政府设施、医疗和公共卫生、信息技术、国家纪念碑和标志物、核反应堆及其材料和废弃物、邮政和海运、交通系统、水资源。

对相关行业领域的要求。NIPP要求各行业根据法律要求编制《行业基础设施保护计划（SSP）》，落实NIPP的风险管理体系，包括明确行业安全目标和重点任务，清点行业资产、评估相关风险、判断资产重要程度、实施保护计划，以及评估和报告所取得的进展。