云上方圆（二）：云服务的准入版图 — 许可资质与外资投资IDC的中国路径

作者：权威丨董施文丨冉璐丨郑博

一、云服务准入需按实际业务判断

“云服务”是对多种技术和服务形态的概括性称谓。在实际业务中，云服务商可能提供计算、存储、网络等基础资源，也可能提供开发平台、软件应用、数据处理、模型调用、系统运维等能力。不同服务在技术架构、资源控制和交付方式上存在差异，所适用的市场准入规则也不完全相同。

现行监管体系并未针对“云服务”设置一项统一的许可资质。判断某项业务是否需要取得许可，仍需结合服务商实际提供的功能，逐项识别其是否落入互联网数据中心、内容分发网络、互联网接入服务、信息服务等增值电信业务，或者触发生成式人工智能、算法推荐、深度合成、网络安全及特定行业的专项要求。服务名称、合同名称或者技术架构可以作为参考，但不能替代对实际业务内容的判断。

这一判断也会进一步影响投资和交易结构。如果目标业务属于受外商投资准入限制的增值电信业务，外国投资者能够持有的股权比例、所需履行的审批程序以及可以采取的合作方式，均需据此确定。特别是在IDC领域，投资数据中心土地、厂房及机电设备等基础设施，与直接经营IDC业务适用不同的准入规则，需要分别分析。

下文将先梳理不同云服务可能涉及的许可、备案和评估事项，再进一步讨论外国投资者投资境内数据中心资产及参与IDC业务的主要路径。

二、云服务涉及的主要准入资质

云服务的准入要求主要落在增值电信业务监管框架内，也可能因具体功能叠加其他专项监管。根据《电信业务分类目录（2015年版）》，常见许可包括B11互联网数据中心、B12内容分发网络、B13国内互联网虚拟专用网、B14互联网接入服务、B21在线数据处理与交易处理及B25信息服务业务。

（一） 常见许可类型

为便于理解，我们将云服务场景中常见的许可类型整理如下。

在具体判断中，B11互联网数据中心业务及其项下的互联网资源协作服务，是云服务准入中最核心、也最常被讨论的许可类型；B25信息服务业务则常与SaaS、在线平台、信息处理类服务相关联。除前述核心资质外，云服务商如叠加提供CDN、企业专网、互联网接入、在线交易处理、多方通信、呼叫中心、域名解析等功能，还可能涉及其他类型的增值电信业务许可。若相关服务涉及生成式AI、算法推荐、深度合成、网络安全产品，或面向党政机关、关键信息基础设施运营者、金融机构等特殊客户场景，还需进一步判断是否触发人工智能、网络安全、数据安全、内容监管或特定行业项下的备案、评估及其他专项要求。

（二） 关键业务准入判断

1. B11互联网数据中心业务

传统IDC业务主要包括机房、服务器托管、带宽接入和设备出租。互联网资源协作服务则进一步覆盖云计算场景下的数据存储、应用开发环境、应用部署和运行管理。因此，IaaS、PaaS通常应先从B11业务进行判断。

但并非所有与云相关的服务都构成B11业务。企业为自身业务建设私有云，原则上不属于对外经营电信业务；服务商仅提供一次性的私有化部署、系统集成或软件开发，也未必构成互联网资源协作服务。判断关键在于，服务提供方是否以经营方式持续向第三方提供数据中心资源、计算或存储资源、应用开发环境，以及应用部署和运行管理能力。

2. B25信息服务业务

与IaaS、PaaS相比，SaaS的准入判断更容易产生分歧。SaaS通常表现为在线软件功能服务，客户通过互联网登录平台并按期付费。商业上，它更常被称为“软件服务”。但如果相关功能实质上属于通过互联网提供信息发布、信息搜索、信息交互、信息处理或信息保护等服务，就可能落入B25监管范围。

经营性互联网信息服务还需关注《互联网信息服务管理办法》项下的ICP许可。通过互联网有偿提供信息或网页制作等服务的，一般需要取得经营性互联网信息服务许可；仅提供非经营性服务的，通常需要办理ICP备案。涉及新闻、出版、教育、医疗保健、药品、医疗器械、文化或视听节目等特定事项的，还需结合行业规则判断是否存在前置审批或专项许可。

因此，判断SaaS准入可分为三步：首先看是否构成互联网信息服务，其次看是否属于经营性服务，最后结合具体功能判断对应的B25业务类型，并排查其他专项准入要求。

三、云服务准入中的关键实务边界

实务中，资质判断最容易出现问题的地方，不是许可名称，而是业务边界。以下三组边界尤其值得注意。

（一） 内部自用与对外经营

企业自建机房、数据中心或私有云，或者仅在集团内部使用云平台，并不当然构成增值电信业务经营。

电信业务经营许可规制的是“经营电信业务”的行为。判断重点是企业是否以经营方式向第三方提供相应服务。如果云资源池、数据中台或AI训练平台仅供企业自身使用，没有对外出租服务器、存储、算力或应用部署环境，一般不会仅因使用云技术而产生经营许可义务。反之，如果企业以自己名义持续向外部客户提供云主机、云存储、应用部署、在线信息服务、内容分发或互联网接入并收取费用，就需要按实际服务内容判断许可要求。

（二） 一次性交付与持续服务

系统集成、软件开发和私有化部署通常属于项目制交付。服务商主要负责开发、安装、部署、调试验收和文档交付，交付后系统一般由客户自行控制。即使服务商继续提供维护，也未必持续控制底层资源或运行环境。

典型云服务则不同。在合同履行期间，服务商持续控制基础设施、资源池、运行环境、平台规则和运维体系，客户取得的是持续调用能力。如果服务商长期使用自己的资源和平台向客户提供数据存储、应用部署、运行管理或在线信息处理，准入判断就可能进入增值电信业务监管框架。

（三） 代理销售、转售与实际经营

云服务市场常见代理销售、渠道转售、白标服务、MSP托管和系统集成商转包等安排。在这些模式中，合同相对方、资源控制方、服务承诺方、计费主体和故障响应主体未必一致。主体如果仅代理客户购买持证云服务商的产品，不以自己名义提供资源、不控制底层服务、不承诺可用性，也不作为实际服务方收费，其准入风险通常较低。反之，如果其以自己名义销售云资源、承诺服务等级，并负责账号开通、资源分配、故障处置和收费，即使底层资源来自其他云服务商，也可能被认定为实际参与电信业务经营。

对白标或转售模式，还应进一步核查：客户是否清楚实际服务提供方，谁承担持续服务责任，发票和收款主体是否与服务主体一致，客户数据和日志由谁控制，以及发生中断或安全事件时由谁负责处置和报告。

四、外国投资者投资国内数据中心的主要路径

数据中心既是云服务的物理基础，也可能涉及受外资准入限制的IDC业务。外国投资者进入国内数据中心市场，首先要区分投资数据中心资产和经营IDC业务。

数据中心资产投资主要包括土地、厂房、机电设备、电力设施、冷却系统、机柜和网络设备，并涉及外商投资、固定资产投资、建设工程、能耗、环保、电力和安全生产等规则。IDC业务经营则是向客户提供服务器托管、设备维护、系统配置、存储空间出租、通信线路和出口带宽代理租用、互联网资源协作等服务。可以投资数据中心资产，并不等于可以直接经营IDC业务。

从现行规则看，外资投资电信业务仍然受《外商投资准入特别管理措施（负面清单）（2024年版）》《外商投资电信企业管理规定》等约束。2024年版全国负面清单规定，电信公司限于中国入世承诺开放的电信业务，增值电信业务的外资股比不超过50%（电子商务、国内多方通信、存储转发类、呼叫中心除外），基础电信业务须由中方控股。

《外商投资电信企业管理规定》（2022年修订）对外商投资电信企业的业务范围、注册资本和外资比例作了进一步规定。按照全国层面的一般规则，外国投资者直接控制IDC持证主体仍受较强限制。实践中，外资进入国内数据中心领域主要有以下几条路径。

（一） 路径一：在试点地区独资或控股经营IDC业务

2024年4月，工业和信息化部发布《关于开展增值电信业务扩大对外开放试点工作的通告》（工信部通信函〔2024〕107号，以下简称“107号文”），决定在北京市服务业扩大开放综合示范区、上海自由贸易试验区临港新片区及社会主义现代化建设引领区、海南自由贸易港、深圳中国特色社会主义先行示范区率先开展试点。在获批试点地区，取消互联网数据中心（IDC）、内容分发网络（CDN）、互联网接入服务（ISP）、在线数据处理与交易处理，以及信息服务中信息发布平台和递送服务（互联网新闻信息、网络出版、网络视听、互联网文化经营除外）、信息保护和处理服务业务的外资股比限制。

这一政策为外资参与云服务和数据中心提供了新的路径。在全国一般规则下，IDC并非普通外资可以自由进入的业务；试点则在特定区域和业务范围内取消外资股比限制，允许外国投资者以控股甚至独资方式参与IDC、CDN、ISP、EDI及部分信息服务业务。

但试点并不等于自动准入。外商投资电信企业仍需向工业和信息化部申请电信业务经营试点批复，并遵守相关法规和批复要求。根据试点方案，经营主体注册地和服务设施放置地应在同一试点区域；不得购买或租用试点区域外的CDN等设施开展加速服务。ISP业务服务范围限于本试点区域，其他试点开放业务原则上可以面向全国。

从落地进展看，四地试点工作于2024年10月23日正式启动。2025年2月，工业和信息化部向北京、上海、海南、深圳四地首批13家外资企业发放增值电信业务经营试点批复；截至2026年6月，根据工业和信息化部公开信息，已有166家外资企业获得试点批复，相关企业可依法开展互联网数据中心、互联网接入服务、信息服务等增值电信业务。目前，全国外商投资电信企业已超过3,100家，其经营范围已覆盖《电信业务分类目录》全部10项增值电信业务。上述进展说明，增值电信业务扩大对外开放试点已从首批项目落地进入规模化推进阶段。

（二） 路径二：CEPA项下的港澳服务提供者路径

在2024年试点开放政策出台之前，港澳投资者依据CEPA进入部分电信业务领域，是IDC业务外资准入的重要例外路径之一。根据相关CEPA电信服务安排，香港服务提供者在内地设立合资企业从事基础电信业务的，须由内地方控股；在提供在线数据处理与交易处理、内地境内互联网虚拟专用网、互联网数据中心、部分互联网接入服务、信息服务、内容分发网络、编码和规程转换等业务时，港资股权比例一般不超过50%。相关安排还明确，优先支持香港服务提供者在北京、上海、海南、深圳等地区参加试点，提供IDC、CDN、ISP、EDI及部分信息服务业务，港资股比不设限制。

因此，现阶段CEPA路径可理解为传统CEPA安排与2024年试点政策的叠加。符合条件的港澳服务提供者，在传统CEPA框架下可设立合资企业申请经营IDC、CDN等业务，但通常仍受股比限制；在试点地区参加扩大开放试点的，则可能适用不设股比限制的安排。对于通过香港主体投资国内数据中心的集团，香港主体能否被认定为“香港服务提供者”，仍是前提问题。

（三） 路径三：海南自由贸易港的特殊开放安排

海南自由贸易港在外资电信业务开放方面较早作了特殊安排。根据《海南自由贸易港外商投资准入特别管理措施（负面清单）（2020年版）》及相关解读，实体注册、服务设施都在海南自由贸易港内的企业，可以面向海南自由贸易港全域及国际，开展互联网数据中心、内容分发网络业务。这条路径的特点，是以自由贸易港为特定区域来开放，并对企业注册地、服务设施所在地和服务对象范围设定条件。2024年试点政策将海南自由贸易港纳入首批试点地区后，海南原有特殊开放安排与增值电信业务扩大开放试点之间形成叠加。对于拟在海南开展IDC、CDN或云服务业务的外国投资者，需进一步判断其适用基础是海南自由贸易港负面清单下的特殊开放安排、107号文项下的试点批复机制，还是二者的组合；相应地，业务范围、服务对象、设施部署、审批流程和主管部门口径均需逐案确认。

（四） 路径四：资产持有与内资持证主体合作

在外资直接经营IDC业务受限的情况下，由外国投资者持有数据中心资产、内资持证主体负责运营，是市场上较为常见的合作模式。外国投资者或其关联方投资建设或持有物业、机电设备、电力设施、机柜和冷却系统；内资持证主体以自己名义签署客户合同、提供服务、收费并承担责任；双方再通过租赁、运维、技术服务、委托管理或资产使用等合同安排进行合作。

这一模式的关键，是区分资产收益与业务经营。外资方可以依法取得资产租赁费、设备使用费或技术服务费，但不宜以自己名义直接提供IDC服务、签署IDC服务合同、承诺服务可用性或收取IDC服务费，也不宜实质控制客户、价格、资源分配和故障处置。未取得许可的外资方如果通过合同安排控制持证主体的核心经营事项，或者直接面向客户提供IDC服务，可能面临实质经营及规避外资准入限制的风险。

（五） 路径五：VIE的历史实践与持续风险

在境外融资和上市的背景下，VIE曾经是外资参与IDC业务领域的重要市场实践。从已上市的数据中心相关企业（如万国数据、秦淮数据、世纪互联等）的公开披露看，与IDC业务相关的VIE协议安排通常包括股权质押协议、股东表决权授权协议、独家技术咨询及服务协议、独家购买权协议、借款协议以及财务支持安排等。其基本逻辑是：由境外上市主体或其关联方，通过一系列协议安排，对持有IDC许可的内资运营主体形成控制或经济利益安排，从而在会计准则层面实现合并报表或取得经济利益。这种安排的历史背景，主要是IDC业务外资准入受限，相关企业又有境外融资和上市的需求。

但是，VIE并未被电信监管规则明确确认为外资准入路径，其稳定性受外资准入、许可证监管、境外上市、网络与数据安全、合同可执行性及政策变化等多重因素影响。对于新增项目，如果能够满足2024年试点条件，直接通过试点地区的外商投资电信企业申请批复和许可证，通常更为透明。对于存量VIE结构，则需持续关注持证主体是否真实、独立履行经营责任，协议控制是否影响许可证合规，运营主体与客户的服务关系是否清晰，数据和系统控制权是否与合同责任一致，以及融资、上市、并购或重组时是否触发安全审查、备案或主管部门沟通要求。境外上市备案制度实施后，VIE结构还需在备案材料和境内律师法律意见中说明；涉及外资限制、增值电信许可、网络安全或数据安全事项的，还可能需要结合行业主管部门意见及相关备案、核准或安全评估要求一并判断。

五、结语

云服务准入监管的核心，是穿透地去看服务内容、资源控制、经营主体和客户关系。对内资云服务商来说，准入判断不能停在“IaaS、PaaS、SaaS、MaaS”这些商业分类上，还需要明确其服务中具体提供了哪些能力，再据此对照B11、B25及其他相关增值电信业务许可。

外国投资者参与境内数据中心业务，还需区分数据中心资产投资与IDC业务经营。前者主要涉及外商投资、项目建设、能耗、环保等要求；后者则需进一步考虑增值电信业务许可及外资准入限制。

准入是云服务合规运营的起点。在业务落地过程中，服务持续性、合同责任、客户数据保护、数据迁移与退出、外包转包以及特殊行业上云等问题，仍需结合具体服务模式作进一步安排。