非法侵入计算机信息系统罪规定于《中华人民共和国刑法》第二百八十五条第一款。第二百八十五条一条之内装着三个罪名，另有第四款规定单位犯罪，原文如下：
第二百八十五条 违反国家规定，侵入国家事务、国防建设、尖端科学技术领域的计算机信息系统的，处三年以下有期徒刑或者拘役。
违反国家规定，侵入前款规定以外的计算机信息系统或者采用其他技术手段，获取该计算机信息系统中存储、处理或者传输的数据，或者对该计算机信息系统实施非法控制，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。
提供专门用于侵入、非法控制计算机信息系统的程序、工具，或者明知他人实施侵入、非法控制计算机信息系统的违法犯罪行为而为其提供程序、工具，情节严重的，依照前款的规定处罚。
单位犯前三款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。
读这一条：一个条文，三个罪名
看第二百八十五条时最容易出错的地方，是把它当成一个罪名。实际上：第一款是非法侵入计算机信息系统罪；第二款是非法获取计算机信息系统数据、非法控制计算机信息系统罪；第三款是提供侵入、非法控制计算机信息系统程序、工具罪；第四款规定的是单位犯罪。三个罪名的保护对象、行为方式与成立条件都不一样，收到法律文书时首先要把「指控的是哪一款」看清楚。
本罪对应第一款：保护对象只有三类系统
第一款的保护对象被条文写死为三类：国家事务、国防建设、尖端科学技术领域的计算机信息系统。这是一个很窄的口子。判断某个系统是否落入本款，看的是该系统本身的归属与用途，而不是「谁进去了」「技术手段有多高明」「造成了多大影响」。普通商业网站、企业办公系统、电商平台、社交平台、校园网、医院挂号系统，一般不属于这三类；反过来，涉及国家事务管理、国防建设、尖端科学技术研究的系统，才可能落入本款。这一区分是本罪辩护的全部基础。
本罪是行为犯：条文中没有「情节严重」
需要特别指出：第一款的条文里没有「情节严重」的表述。也就是说，只要「违反国家规定」且「侵入」了上述三类系统之一，本罪即告成立，条文不要求造成什么后果，也不要求拿走任何数据。这与同条第二款、第三款都明文要求「情节严重」不同，也与第二百八十六条要求「后果严重」不同。正因为本罪没有情节要件，「系统属于哪一类领域」与「行为是否构成侵入」就成了主要的辩护战场，没有第二道门槛可以缓冲。同理，侵入的次数、持续时长、是否窃得数据，在本罪中不是入罪要件，而是量刑时才会被评价的情节。
「违反国家规定」与「侵入」
「违反国家规定」是本罪的前提。访问他人系统是否被允许，首先取决于有没有授权，以及授权到什么程度。拿到账号密码但超出授权范围使用、借用他人账号、在授权测试结束后继续访问，都可能被评价为「未经授权或者超越授权」。而「侵入」指的是突破或者绕过系统原有的访问控制而进入——它并不要求使用多么高明的技术，猜出弱口令、利用已知漏洞、甚至使用他人遗失的凭证，都可能落入其中。反过来，系统本来就向公众开放、或者权利人明确同意、或者存在职务上的正当权限，则谈不上侵入。
法定刑：只有一档，且没有罚金
第一款规定的法定刑只有一个档次：三年以下有期徒刑或者拘役。注意这里没有罚金——同条第二款规定了「并处或者单处罚金」，第一款没有。这一点在辩护与家属沟通中常被问起，可以据条文明确回答。另据第四款，单位犯本款罪的，对单位判处罚金，并对直接负责的主管人员和其他直接责任人员依照本款的规定处罚。