小张在某单位是负责事信息安全风险管理方面工作的部门领导，主要负责对所在行业 的新人进行基本业务素质培训。一次培训的时候，小张主要负责讲解风险评估工作形式，小张认为:1.风险评估工作形式包括:自评估和检查评估；2.自评估是 指信息系统拥有.运营或使用单位发起的对本单位信息系统进行风险评估；3.检查评估是信息系统上级管理部门组织或者国家有关职能部门依法开展的风险评 估；4.对信息系统的风险评估方式只能是“自评估”和“检查评估”中的一个，非此即彼，请问小张的所述论点中错误的是哪项:

关键信息基础设施的运营者采购网络产品和服务，应当按照规定与提供者签订（），明确安全和保密义务与责任。

关键信息基础设施的运营者制定网络安全事件应急预案，并定期进行（）。

按照（）规定的职责分工，负责关键信息基础设施安全保护工作的部门分别编制并组织实施本行业、本领域的关键信息基础设施安全规划，指导和监督关键信息基础设施运行安全保护工作。

关键信息基础设施的具体范围和安全保护办法由（）制定。

没有网络安全就没有（）。

在发生危害网络安全的事件时，立即启动（），采取相应的补救措施，并按照规定向有关主管部门报告。

（）会同国务院有关部门制定、公布网络关键设备和网络安全专用产品目录，并推动安全认证和安全检测结果互认，避免重复认证、检测。

网络运营者应当按照（）的要求，履行安全保护义务。

各级人民政府及其有关部门应当组织开展经常性的网络安全宣传教育，并指导、督促有关单位做好（）宣传教育工作。

《中华人民共和国网络安全法》明确有关部门应当对举报人的相关信息予以（），保护举报人的合法权益。