2026年3月18日，国家发展和改革委员会发布第41号令《电力重大事故隐患判定标准及治理监督管理规定》，自2026年7月1日起施行。该规定共分6章38条，分别明确了电网或电力设备设施重大隐患判定标准、重大隐患排查治理责任机制、监管部门监管方式及相关法律责任。其中，电力监控系统网络安全防护缺失首次以法规形式被明确纳入重大事故隐患判定范畴，为电力企业网络安全合规提供了清晰的“红线标准”。
一、政策背景：电力网络安全风险倒逼法规升级
随着新型电力系统加快构建，发电侧、电网侧、用户侧市场主体日益多元，电力监控系统网络安全等新兴领域的安全风险不断凸显。与此同时，《电力监控系统安全防护规定》（2024年第27号令）已于2025年1月1日施行，明确了电力监控系统安全防护的总体要求；《能源行业数据安全管理办法（试行）》也于2026年7月1日起同日施行，标志着能源行业数据安全监管进入有章可循的新阶段。发改委41号令在上述法规基础上更进一步——将网络安全防护缺失直接界定为“重大事故隐患”，赋予了隐患治理强制法律效力，倒逼电力企业主动排查整改。
第二条 本规定所称重大隐患是指电力企业因安全风险管控措施缺失、失效或者弱化，可能造成大面积停电、重大人员伤亡、重大经济损失等严重后果的人的不安全行为、物的不安全状态、作业场所或者作业环境的其他不安全因素和安全管理上的缺陷。
第三条 本规定适用于电力领域重大隐患的判定、排查治理及监督管理。危险化学品、消防（火灾）、特种设备等有关行业领域对重大事故隐患判定标准另有规定的，适用其规定。
第四条 电力企业承担重大隐患排查治理主体责任，按照本规定开展重大隐患排查治理工作。国家能源局及其派出机构、地方电力管理部门负重大隐患治理监督管理责任，按照本规定对电力企业重大隐患排查治理工作开展监督管理。
上述界定具有三层关键法律内涵：
其一，网络安全风险被纳入重大隐患范畴。 电力监控系统网络安全防护措施（如横向隔离装置、纵向加密认证装置等）作为“安全风险管控措施”的重要组成部分，其缺失、失效或弱化即可能被认定为重大隐患。网络安全不再是孤立的技术问题，而是直接关系电力系统安全运行的法定合规事项。
其二，“可能造成”严重后果即构成重大隐患，无需等事故实际发生。 依据第二条的规定，只要客观上存在安全风险管控措施缺失、失效或弱化，且该缺失从一般经验判断可能导致大面积停电、重大人员伤亡或重大经济损失等严重后果，即可认定重大隐患成立，无需等待事故实际发生。这意味着，即使未发生网络安全事件，只要安全防护存在“缺失、失效或弱化”，就可能被认定为重大事故隐患，企业面临行政处罚乃至刑事追责。
其三，第三条为网络安全相关条款提供了法律适用前提。 本规定适用于电力领域重大隐患的判定，而第十二条、第十三条已将电力监控系统网络安全防护缺失明确列为重大隐患，第三条为后续网络安全条款的适用提供了法律基础。同时，“危险化学品、消防（火灾）、特种设备等有关行业领域对重大事故隐患判定标准另有规定的，适用其规定”，若其他行业标准对网络安全有更严格或专项要求，应优先适用，但电力监控系统特有的“横向隔离、纵向加密、防非法连通”等要求仍由本规定管辖。
三、网络安全核心条款：第十二条——电力监控系统三大“红线”
规定第十二条明确：覆盖一个以上地级行政区的电力监控系统和500千伏以上电压等级并网厂站电力监控系统，出现下列任一项情形判定为一项重大隐患：
（一）横向隔离：未部署电力专用横向单向安全隔离装置
条款原文：生产控制区与管理信息区、安全接入区之间的联接处未部署电力专用横向单向安全隔离装置
这一条款对应电力监控系统“安全分区、横向隔离”的核心防护原则。“单向”是技术关键——信息只能从管理信息区流向生产控制区，反之则被阻断，确保工业控制网络不受外部网络攻击的横向渗透。“横向隔离”要求覆盖两个边界（生产控制区⇔管理信息区、生产控制区⇔安全接入区），两者缺一不可。
（二）纵向加密：未部署电力专用纵向加密认证装置
条款原文：生产控制区与电力监控专用网络的广域网之间的联接处未部署电力专用纵向加密认证装置或加密认证网关
该条款要求在生产控制区与调度数据网络之间的广域网边界部署加密认证设备，保障上下级控制系统之间指令传输的机密性和完整性，防止指令被篡改或窃听。规定提供了两种设备类型选择——电力专用纵向加密认证装置或加密认证网关，企业可根据技术架构灵活选择。
（三）非法连通：生产控制区内部网络与外部网络非法连通
条款原文：生产控制区内部网络与外部网络非法连通（包括跨区直联、连接互联网等）
该条款旨在保护生产控制区网络边界的完整性。规定明确列举两种典型违法情形——跨区直联和连接互联网，同时任何未经授权的网络连接同样被禁止。生产控制区是电力实时控制的核心区域，一旦与外部网络非法连通，恶意攻击者可能直接侵入控制系统，引发大面积停电等灾难性后果。
四、安全管理条款：第十三条——安全设备保护与应急演练
规定第十三条将安全管理层面的缺陷纳入重大隐患判定范围，其中（三）和（四）与网络安全直接相关。
（三）关闭、破坏直接关系生产安全的监控、报警、防护、救生设备、设施，或篡改、隐瞒、销毁其相关数据、信息
从网络安全视角理解，第十二条要求的横向隔离装置、纵向加密装置等网络安全防护设备，明确属于“直接关系生产安全的防护设备”范畴。规定明确禁止五种行为：关闭、破坏、篡改、隐瞒、销毁。这意味着，企业不仅不能关闭或破坏网络安全设备，也不能篡改、隐瞒、销毁设备产生的日志、告警、审计等数据。安全日志的完整留存成为法定义务。
（四）未按规定制定本单位生产安全事故应急救援预案或未定期组织应急演练
该条款将网络安全事件的应急准备纳入重大隐患判定范围。电力企业不仅要制定网络安全事件应急预案，还必须定期组织应急演练。缺乏有效的应急响应机制，同样构成重大事故隐患。
五、合规风险与处罚机制：从企业责任到个人追责
规定第十五条：电力企业主要负责人是本单位重大隐患排查治理的 第一责任人，对重大隐患排查治理工作全面负责。
规定第五章（第三十一条至第三十四条）明确了电力企业违反规定的法律责任与处罚标准，形成了从责令改正到停产停业整顿、再到追究刑事责任的完整处罚体系。
（一）主要负责人履职不到位（第三十一条）
电力企业的主要负责人未组织建立并落实重大隐患排查治理工作机制，或者未及时消除重大隐患的，责令限期改正，处二万元以上五万元以下的罚款；逾期未改正的，处五万元以上十万元以下的罚款。这一条款直指“一把手”的法定职责，将企业主体责任与个人法律责任直接挂钩。
（二）未建立制度或未报告（第三十二条）
电力企业未建立重大隐患排查治理制度，或者重大隐患排查治理情况未报告的，责令限期改正，处十万元以下的罚款；逾期未改正的，责令停建停产停业整顿，并处十万元以上二十万元以下的罚款，对其直接负责的主管人员和其他直接责任人员处二万元以上五万元以下的罚款；构成犯罪的，依照刑法有关规定追究刑事责任。
（三）未如实记录或未通报（第三十三条）
电力企业未将重大隐患排查治理情况如实记录或者未向从业人员通报的，责令限期改正，处十万元以下的罚款；逾期未改正的，责令停建停产停业整顿，并处十万元以上二十万元以下的罚款，对其直接负责的主管人员和其他直接责任人员处二万元以上五万元以下的罚款。
（四）未消除重大隐患（第三十四条）
电力企业未采取措施消除重大隐患的，责令立即消除或者限期消除，处五万元以下的罚款；电力企业拒不执行的，责令停建停产停业整顿，对其直接负责的主管人员和其他直接责任人员处五万元以上十万元以下的罚款；构成犯罪的，依照刑法有关规定追究刑事责任。
（五）监管人员履职不到位（第三十条）
国家能源局及其派出机构、地方电力管理部门的工作人员，在监督检查中发现重大隐患，不依法及时处理的，给予降级或者撤职的处分；构成犯罪的，依照刑法有关规定追究刑事责任。
刑事追责风险：根据最高人民法院、最高人民检察院《关于办理危害生产安全刑事案件适用法律若干问题的解释（二）》，明知存在重大事故隐患，仍然违反有关安全管理的规定，不排除或者故意掩盖重大事故隐患，组织他人作业的，属于刑法第一百三十四条第二款规定的“冒险组织作业”。网络安全重大隐患同样适用这一刑事追责规则，电力企业相关负责人将面临刑事法律风险。
此外，2026年7月1日同步施行的《能源行业数据安全管理办法（试行）》进一步要求能源数据处理者落实数据安全保护义务。电力企业在应对41号令网络安全合规的同时，还需同步关注数据安全合规，形成双重合规体系。
对照41号令第十二条、第十三条及相关配套法规电力企业应重点关注以下合规方向：
1. 全面排查电力监控系统网络安全现状：对照横向隔离、纵向加密、非法连通三大“红线”，重点核查生产控制区与外部网络的边界安全，确保隔离装置和加密认证设备部署到位、策略生效，杜绝任何形式的跨区直联和互联网直连。
2. 保障网络安全设备持续运行与日志完整留存：确保安全设备（工业防火墙、加密认证装置等）持续正常运行，安全审计日志完整留存，不得发生关闭、破坏、篡改、隐瞒、销毁等违法违规行为。
3. 建立完善的安全管理体系与应急响应机制：制定并落实网络安全管理制度，定期组织网络安全事件应急演练，形成覆盖预防、检测、响应、恢复的全链条安全能力。
4. 构建“纵深防御+智能感知”的综合防护体系： 依托“安全分区、横向隔离、纵向加密”的电力监控系统安全防护原则，结合工业防火墙、工业审计、安全管理平台等产品组合，构建覆盖“端-边-管-云”的纵深防护体系，实现“主动检测、主动保护、主动预测、主动响应”的安全能力闭环。
免责声明：本解读仅供信息参考，不构成法律意见。具体合规要求请以官方正式文件为准。
关注六方云微信公众号，在对话框回复“第41号令”即可下载《电力重大事故隐患判定标准及治理监督管理规定》全文PDF
