摘要

  • 设备是企业花钱买的，是否还能使用，却可能由政府的安全命令决定；法律不赋予企业向联邦政府追偿这类命令所致损失的权利。
  • 政府能下令，不等于已经下令；法律获批，也不等于所有企业已经开始承担同样的事故报告义务。把这些环节读清，才能看懂谁需要做事、谁能知道理由。

花钱的是运营商，最后决定设备能不能继续用的，却可能是政府。加拿大新网络安全法中，最值得留意的不只是“撤设备”的权力，还有紧挨着它的财务后果：企业不能因这类命令造成损失，就要求联邦政府赔偿。

如果真收到这样的命令，公司的网络团队和财务团队会面对同一个难题。设备不能继续用了，先前的投入怎么办？执行撤除时，电话和网络又怎样继续提供？政府可以要求改变设备选择，却没有在法律里承诺替企业补回这笔损失。

这里讨论的是新法带来的风险，不是报道某家企业已经拆了设备、亏了钱；也不能据此预告用户要涨话费。但它足以说明，一次安全决定为什么会牵动一家公司的经营，而不只是多一道合规手续。

能要求撤除，也得说明为什么

C-8于2026年6月15日获得王室御准。Public Safety Canada次日说明，其中的电信修法立即生效。政府由此获得限制特定供应商产品和服务、要求撤除产品等权力。

不过，发现风险与决定怎么处理，是两回事。Telecommunications Act要求命令具有必要性和合理性，判断依据是威胁究竟有多严重。决定时还要考虑运营和财务影响，服务能否持续、隐私如何保护，也在法律列出的考量之内。

可选的措施并非只有撤除。部长可以要求企业制定安全计划、查找并修补漏洞、达到指定标准，或者使用备用系统。已有监管决定也未必挡得住新要求：安全命令与电信监管机构CRTC的决定相冲突时，在冲突部分，前者可以优先。

执行的人知道，公众未必马上知道

一份命令可以禁止披露自身的存在或内容。保密不是默认选项，政府必须先考虑法律列明的因素。但一旦附上这类要求，公众能看到的材料，就可能少于执行命令的人。

法律给不同接收者设了不同期限。不保密的命令，须在七天内把含有命令内容的通知送给其中指定的人。保密的命令，则须在90天内告知NSICOP和NSIRA两个情报监督机构。后者是监督通知，不是向公众公开。

议会得到的是另一种解释。第15.21条要求提交年度报告：发了多少命令、要求做什么、影响哪些运营商、执行得怎样，以及撤销情况和下令理由。与CRTC决定的冲突也要列明。另一份由第15.81条规定的报告，须在提交两院后的十天内把摘要放到网上。两条报告路径都不等于立刻公布每一份保密命令。

这些权力也不是通用的监听许可证。部长不能依据第15.2(2)款命令拦截通信，不能要求破解加密的私人通信；Privacy Act仍受保留。这些是条文写下的限制，实际保护效果仍需检验。

“72小时”不能单独拿出来读

同一部法律还制定了Critical Cyber Systems Protection Act，简称CCSPA。它关心的不是某一件设备该不该撤，而是关键系统平时怎样防护、怎样处理供应链风险，出了事故又该向谁报告。适用对象是被指定的运营商类别，并非所有电信企业自动承担其中全部义务。

截至2026年9月30日的官方合并文本仍把CCSPA标为尚未生效。这一状态有明确的日期边界，不能用来断言10月没有后续文件。

什么时候开始，哪些企业要遵守，具体怎样做，得分别看生效文件、类别指定和配套法规。例如第17条中的72小时，是配套法规可设定的事故报告期限上限，不是法案获批当天就向所有运营商启动的统一倒计时。报告先交给Communications Security Establishment，随后立即通知相应监管机构并提供副本。

读这部法律，不妨始终带着开头那个问题：企业已经买下的设备，究竟由谁决定去留？现在能确认的是政府拿到了哪些权力、权力受什么约束。至于谁已经收到命令、哪笔投资真的受了影响，还要看具体证据，不能让一个“新法生效”的标题替它们作答。

2026年10月21日更正：明确区分法律授权与已经发出的命令，补充事故报告的适用条件；CCSPA的生效状态明确限定为截至2026年9月30日的官方合并文本所示情况。