三、法律规制

法律规制体现了国家作为行为主体在网络空间中的重要性，属于多边治理的一种体现。各个国家和地区已经发布了一系列专门性网络安全法律以及相关政策和法律来保障网络空间安全。美国作为目前网络空间最有影响力的国家行为体，发布了众多网络安全相关的政策和战略，如2003年《网络空间安全国家战略》（The National Strategy to Secure Cyberspace）、2006年《国家基础设施保护计划》（National Infrastructure Protection Plan）、2013年《改善关键基础设施网络安全》（Executive Order 13636）、2018年《国防部网络战略》（Department of Defense Cyber Strategy）和2018年《美国国家网络战略》（National Security Strategy of the United States of America）等。这些政策主要围绕基础设施安全、推动公私合作以改善全球网络安全、改善联邦在事件响应能力等方面的政策和实践、使用风险管理原则以评估漏洞并选择缓解措施、鼓励公私部门之间的网络安全信息共享、提高公众对网络安全的意识以及增加网络安全研究方面的投资。

此外，美国还发布了一系列各个行业和领域的网络安全联邦法律，例如：规定敏感医疗信息安全的《健康保险携带和责任法案》（Health Insurance Portability and Accountability Act of 1996，Public Law 104-191）和《经济与临床健康信息技术法案》 （Health Information Technology for Economic and Clinical Health Act，Division A，Title XIII and Division B，Title IV，Public Law 111-5），规定消费者敏感信息安全的《金融服务现代化法案》（Financial Services Modernization Act of 1999，Public Law 106-102），保障网络安全研发的《网络安全研究和发展法案》 （Cyber Security Research and Development Act，Public Law 107-305），保障能源设施安全的《2015年能源政策法案》（Energy Policy Act of 2005，Public Law 109-58），改善网络安全研发、劳动力准备和公共意识的《2014年网络安全强化法案》（Cybersecurity Enhancement Act of 2014，Public Law 113-274），规定网络安全劳动力评估的《网络安全劳动力评估法案》（Cybersecurity Workforce Assessment Act，Public Law 113-246）以及鼓励公私部门共享网络安全威胁信息的《2015年网络安全法案》（Cybersecurity Act of 2015，Division N，Public Law 114-113）。

从国际语境来看，国际法适用于网络空间已经成为国际共识。例如，联合国政府间专家组（UN GGE）曾于2013年和2015年就国际法在网络空间的适用等问题达成重要的共识性文件，即2013年(14) 和2015年(15) 《关于从国际安全的角度看信息和电信领域的发展政府专家组的报告》。此外，区域组织如北约(16) 、欧盟(17) 、欧委会、美洲国家组织、上海合作组织的声明，以及国家间的联合声明如《塔林手册2.0》等均已证实这一点。但是，各国就国际法如何适用网络空间问题仍然存在分歧（CCDCOE 2019：1）：首先，对特定网络空间法律规则的接受度不同，一些规则为各国普遍接受，包括《塔林手册2.0》第66—67条的禁止干预和第71—75条的自卫权，但是部分国家对于《塔林手册2.0》第1—5条的领土主权以及第6—7条的尽职调查等方面，存在着规则的行使范围和内容上的分歧；其次，各国在现行条约和习惯法（由西方主导）是否适当或者是否需要新增条约方面也存在着分歧。