10 月 1 日起施行！公安部第176号令解读：检查范围、执法程序与企业合规准备

网络安全与等保测评

2026年10月1日 08:49
云南

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

以下文章来源于AI 安全与合规
，作者AI 安全与合规

AI 安全与合规
.

一个AI 安全与合规管理者的自省沉思录，记录、总结、分享！

《公安机关网络空间安全监督检查办法》自2026年10月1日起施行，2018年发布的《公安机关互联网安全监督检查规定》同时废止。

第二十三条　本办法自2026年10月1日起施行，2018年9月15日发布的《公安机关互联网安全监督检查规定》（公安部令第151号）同时废止。

《办法》将网络安全、数据安全、信息安全纳入监督检查范围，并规定了检查对象、重点事项、技术检测方式、部门协作和风险处置程序。

哪些要求适用于自身业务，安全措施是否实际运行，发现问题后是否完成整改。同时，检查机关的管辖、告知、资料调取和第三方技术支持也受到程序约束。本文结合条文说明这些要求，并提供企业履责与检查程序核对清单。

一、检查对象范围较广，但义务需要分别判断

《办法》的制定依据和适用范围如下：

第一条　为了维护国家安全和社会公共利益，保障公民、法人和其他组织合法权益，规范公安机关对网络空间安全的监督检查工作，防范、治理网络违法犯罪，根据《中华人民共和国人民警察法》《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《关键信息基础设施安全保护条例》《网络数据安全管理条例》《互联网信息服务管理办法》等有关法律、行政法规规定，制定本办法。

第二条　本办法适用于公安机关依法对网络运营者、数据处理者、个人信息处理者等履行法律法规规定的网络安全、数据安全、信息安全义务情况开展的监督检查。

本办法所称网络空间安全，包括网络安全、数据安全、信息安全。

第六条　公安机关根据维护网络空间安全需要，对下列对象依法开展监督检查：

（一）提供互联网接入、数据中心、内容分发、域名服务、信息服务等的互联网服务提供者；

（二）公共上网服务提供者；

（三）网络运营者及其建设者、维护者；

（四）关键信息基础设施运营者及其建设者、维护者；

（五）网络产品、服务的提供者；

（六）数据处理者；

（七）个人信息处理者；

（八）其他依法可以监督检查的对象。

对曾发生网络安全、数据安全等事件，或者因未履行法定网络安全、数据安全、信息安全义务被行政处罚且未按照要求整改的，应当重点开展监督检查。

传统行业企业、技术供应商和运维服务商，也可能因为运营网络、处理数据或参与系统建设维护而属于检查对象。判断依据是实际活动及对应法律规定。

但检查对象身份不能直接替代义务适用判断。一家企业属于数据处理者，并不意味着它同时承担关键信息基础设施运营者、公共信息服务提供者和算法推荐服务提供者的全部要求。

企业应按系统和业务建立适用义务清单，记录处理活动、主体身份、法律依据、责任部门和执行措施。涉及多个法律角色的，应分别判断。例如，同一企业可能在员工管理中承担个人信息处理者义务，在平台业务中承担公共信息服务相关义务，在客户项目中承担网络维护服务相关责任。

第六条还明确了重点检查情形。曾发生相关安全事件，或者被行政处罚后未按要求整改的企业，应优先核实历史问题及其处置状态，保留整改和验证材料。

二、检查目录不能直接作为新增义务的依据

第七条列出了日常监督检查的重点内容：

第七条　公安机关应当对被检查对象履行法定网络安全、数据安全、信息安全义务等情况进行监督检查，重点检查以下内容：

（一）是否依法办理联网单位备案手续，并报送接入单位和用户基本信息及变更情况；

（二）是否依法制定并落实网络安全、数据安全、信息安全管理制度和操作规程；

（三）是否依法记录并留存用户注册信息和上网日志信息；

（四）是否依法履行网络安全等级保护定级备案、等级测评、建设整改、自查等安全保护义务；

（五）是否依法履行关键信息基础设施安全保护义务；

（六）是否依法采取防范计算机病毒和网络攻击、网络侵入等技术措施；

（七）是否依法针对网络安全漏洞、隐患采取相应的整改措施，消除风险隐患；

（八）是否依法在公共信息服务中对法律、行政法规禁止发布或者传输的信息采取防范措施；

（九）是否依法落实算法安全主体责任，建立健全算法推荐管理制度和技术措施；

（十）是否依法履行数据安全、个人信息保护义务；

（十一）是否依法为公安机关维护国家安全、防范调查恐怖活动、侦查犯罪等提供技术支持和协助。

这些事项均以依法履责为前提。具体是否需要备案、哪些日志需要留存、适用何种安全措施，应进一步查明对应法律法规及业务条件。

日志留存尤其需要避免扩大解释。《办法》要求检查是否依法记录并留存用户注册信息和上网日志信息，但没有在该条中统一规定所有企业应收集的数据字段、留存期限或留存全部业务内容。企业应同时核对安全留存要求和个人信息保护要求，避免以准备检查为由无差别扩大收集范围或延长保存期限。

数据安全和个人信息保护在第七条中采用概括性表述。企业需要继续细化到实际处理活动和适用要求，不能仅以“已建立数据安全制度”或“已发布隐私政策”证明全部义务已经履行。

三、技术检测要求企业验证措施的实际效果

线上巡查和远程检测的规定如下：

第四条　公安机关通过网络信息巡查、信息审核能力测试、漏洞扫描等不影响被检查对象正常业务运行和网络空间安全的方式，对本辖区范围内被检查对象的网络空间安全情况进行线上巡查，以发现风险隐患。开展信息审核能力测试的，应当提前三个工作日告知被检查对象巡查时间、巡查范围等事项。

设区的市级以上公安机关可以通过漏洞探测、渗透性测试等方式，对本辖区范围内关键信息基础设施以外的网络设施、信息系统进行远程检测，但应当提前三个工作日告知被检查对象检查时间、检查范围等事项，不得干扰、破坏被检查对象网络设施、信息系统的正常运行，并通报同级网信部门、行业主管部门。对基础电信网络开展漏洞探测、渗透性测试等活动的，应当依照《关键信息基础设施安全保护条例》等有关规定进行。

对线上巡查、远程检测发现的风险隐患，应当进行核查；必要时，通过现场检查等方式进行线下核查。

现场检查可以采取的措施如下：

第十二条　公安机关开展网络空间安全现场检查，可以采取下列措施：

（一）进入营业场所、机房、工作场所；

（二）问询被检查对象的负责人或者网络安全、数据安全、信息安全管理人员，要求对监督检查事项说明情况；

（三）查阅、复制与监督检查事项相关的信息；

（四）查看安全保护技术措施运行情况；

（五）开展漏洞探测、渗透性测试等技术检测。

检查可以涉及措施的实际运行情况。企业因此需要准备能够反映执行情况的材料：制度文件说明管理要求，配置和操作记录说明要求是否执行，核验结果说明措施是否有效。

例如，平台采购外部内容安全识别服务后，还需要核实哪些内容进入审核、识别结果如何触发拦截或复核、异常请求怎样处理，以及人工处置是否留有记录。供应商的产品说明和合同承诺，不能单独证明平台自身的防范措施有效。

外包安排也需要分别确认责任。采购合同可以分配服务内容和交付责任，但企业仍应核对自身法定义务是否得到履行。供应商则应根据自身参与的建设、维护或产品服务活动，承担对应责任。

上述材料属于合规准备建议。《办法》没有统一规定审核产品、测试题库或通过率，不能将企业内部指标或供应商指标直接认定为法定合格标准。

第四条的告知要求也有具体适用条件。信息审核能力测试、规定范围内的远程检测，应提前三个工作日告知；不能据此推导出所有线上巡查均须提前通知。针对关基以外系统的远程检测规定，也不能直接套用于关键信息基础设施。

四、检查管辖、频次和部门协作需要分别核对

《办法》规定了日常检查的协作原则和现场检查管辖：

第三条　公安机关开展网络空间安全监督检查，应当在中央网络安全和信息化委员会等领导下开展，遵循依法科学管理、保障和促进发展的方针，严格遵守法定权限和程序，改进执法方式方法，会同有关主管部门建立健全网络空间安全监督检查协作配合机制。对日常性的现场检查，有行业主管部门的，原则上以行业主管部门开展现场检查为主。

公安机关应当按照分级分类管理等原则，建立并落实网络空间安全监督检查制度，自觉接受被检查对象和人民群众的监督。

第五条　开展网络空间安全现场检查，由被检查对象运营机构所在地县级以上公安机关实施。被检查对象为个人的，由其经常居住地公安机关实施。

前款所称运营机构所在地，是指运营者的实际主要运营地，或者管理机构所在地、网络设施所在地、工商注册登记地等。公安机关对监督检查的管辖权存在争议的，由共同的上级公安机关指定实施监督检查的公安机关。

上级公安机关应当对下级公安机关开展监督检查的情况进行指导和监督。必要时，可以提级或者组织有关公安机关开展监督检查。

运营机构所在地不限于工商注册地。对于跨区域经营、集中管理或异地部署系统的企业，应提前整理实际运营地、管理机构和网络设施所在地等事实，避免仅凭注册地判断管辖。

日常现场检查的频次及协作要求如下：

第九条　公安机关开展网络空间安全日常性的现场检查，在国家网络安全、数据安全等机制统筹协调下进行，加强监督检查的协同配合、信息沟通，合理确定现场检查的频次、范围、方式，避免重复检查、交叉检查，最大程度减少被检查对象的负担。

对网络安全等级保护第三级（含）以上的网络运营者、关键信息基础设施运营者，每年开展一次日常性的现场检查；本年度其他主管部门已经开展的现场检查，公安机关复用相关检查结果，不再重复开展现场检查。

公安机关为调查处置网络空间安全案事件开展监督检查，或者为执行重大安全保卫任务等开展专项监督检查，应当及时依照法定职责、程序进行。

第十条　公安部部署开展涉及多行业、多部门的日常性的现场检查，应当报中央网络安全和信息化委员会审批。其中，涉及数据安全的，应当在国家数据安全工作协调机制统筹指导下，按照有关要求开展；涉及内容导向管理、网络意识形态安全等工作的，应当在意识形态主管部门统筹指导下，按照有关要求开展。

对基础电信网络开展日常性的现场检查，由设区的市级以上公安机关组织实施。对电信、能源、交通、水利、金融、国防科技工业等行业网络空间安全开展日常性的现场检查，应当提前五个工作日告知网信部门、行业主管部门；网信部门、行业主管部门提出联合检查的，公安机关会同网信部门、行业主管部门联合开展检查。

公安机关应当将现场检查相关情况及时通报同级网信部门、行业主管部门。

“每年一次”针对规定对象的日常现场检查。调查处置案事件、执行重大安保任务等检查，按照相应职责和程序开展，不能将年度安排理解为全年所有检查的次数上限。

企业提出复用检查结果时，应提供已有检查范围、结果及整改材料。第十条的“提前五个工作日告知”，告知对象是网信部门和行业主管部门，不能改写为统一提前五个工作日通知企业。

五、资料交付和第三方技术支持有明确限制

现场检查的人员和文书要求如下：

第十一条　公安机关开展网络空间安全现场检查，人民警察不得少于二人，并应当出示人民警察证和县级以上公安机关出具的监督检查通知书。

结合第十二条，企业应核对检查事项和资料范围，记录提供了什么信息、由谁接收。涉及商业秘密、个人隐私和个人信息的，还应明确保密安排。

第三方参与检查的规定如下：

第十三条　公安机关开展网络空间安全监督检查，可以委托具有相应技术能力的网络安全服务机构或者专门人员提供技术支持，并向上一级公安机关备案。网络安全服务机构或者专门人员应当在人民警察指挥下开展监督检查，并通过与被检查对象签订承诺书等方式，承诺对检查过程中知悉的商业秘密、个人隐私、个人信息等予以保密。

公安机关对关键信息基础设施开展监督检查，确因工作需要委托网络安全服务机构或者专门人员提供技术支持的，应当告知行业主管部门。

公安机关应当对参与漏洞探测、渗透性测试的网络安全服务机构及其工作人员开展背景审查，并进行全流程的安全管理。

第十四条　公安机关开展网络空间安全监督检查应当客观公正，不得向被检查对象收取费用，不得要求被检查对象购买、使用指定的产品和服务。

参与检查的技术机构不因此获得指定采购地位。企业应根据发现的问题确定整改措施，再按照技术需求和采购程序选择产品或服务。

资料用途和检查结束后的处理要求如下：

第二十条　公安机关及其工作人员和受委托提供技术支持的网络安全服务机构、专门人员，应当保守监督检查中知悉的国家秘密、工作秘密、商业秘密以及个人隐私、个人信息，不得泄露、出售或者非法向他人提供。

在监督检查中获取的信息、资料，只能用于维护网络空间安全的需要，不得用于其他用途，不得非法提供给其他组织、个人。监督检查完毕后，参与监督检查的网络安全服务机构及其工作人员应当将获取的信息、资料交由公安机关保管，或者按照公安机关要求进行删除、销毁。

企业宜保存资料交付清单、接收记录和保密承诺，并记录适用的移交、删除或销毁安排。

六、检查记录、风险隐患和违法责任需要分别处理

检查记录不仅用于记载检查过程，也关系到企业如何说明事实和提出异议。

第十五条　公安机关开展网络空间安全现场检查，应当制作监督检查记录，并由开展监督检查的人民警察和被检查对象的负责人或者网络安全管理人员签名。被检查对象的负责人或者网络安全管理人员对监督检查记录有异议的，应当允许其作出说明；拒绝签名的，人民警察应当在监督检查记录中注明。

公安机关开展漏洞探测、渗透性测试等远程检测，应当制作监督检查记录，并由开展监督检查的人民警察在监督检查记录上签名。

委托网络安全服务机构、专门人员提供技术支持的，技术支持人员应当一并在监督检查记录上签名。

监督检查过程中形成的文件材料，应当按照规定立卷存档。

企业签署记录前，应核实系统范围、问题描述、测试条件和整改状态。存在异议的，应说明具体事实和依据，避免仅作笼统表态。

风险隐患和违法责任的处置规定如下：

第十六条　公安机关在监督检查中发现被检查对象存在网络空间安全风险隐患的，应当督促指导其采取措施消除风险隐患，并在监督检查记录上注明。

被检查对象存在不依法履行网络安全、数据安全、信息安全义务等情况的，公安机关依据职责按照《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《关键信息基础设施安全保护条例》《网络数据安全管理条例》《互联网信息服务管理办法》《计算机信息网络国际联网安全保护管理办法》等法律法规，追究其法律责任。

第十七条　公安机关在监督检查中，发现被检查对象存在网络空间安全风险隐患，尚不构成违法犯罪的，可以按照下列程序予以提示或者通告：

（一）由县级以上公安机关向被检查对象发放公安提示函，督促其采取安全防范措施；

（二）由设区的市级以上公安机关向同级行业主管部门发放公安提示函，督促其加强本行业网络安全、数据安全、信息安全监督管理；

（三）由省级以上公安机关向社会发布不指向具体被检查对象的公安通告，提示网络空间安全风险隐患，督促社会公众采取防范措施。

不能仅凭发现漏洞、收到提示函等事实，直接认定企业已经违法。违法责任需要结合具体法定义务和事实判断。

企业也不能因为尚未被认定违法而忽略隐患处置。整改记录应包括问题范围、采取的措施、完成时间和验证结果。仍未消除的风险，应记录原因及后续安排。

重大风险和约谈的规定如下：

第十八条　公安机关在网络空间安全监督检查中，发现网络安全等级保护第三级（含）以上网络、关键信息基础设施、重要数据存在重大安全风险隐患的，应当及时通报行业主管部门、网信部门。

发现重要行业或者本地区存在严重威胁国家安全、公共安全和社会公共利益的重大网络空间安全风险隐患的，应当报告人民政府和上级公安机关，并按照规定发布公安提示或者通告。

第十九条　省级以上公安机关在履行网络安全、信息安全监督管理职责中，发现存在较大安全风险或者发生安全事件的，可以对该网络运营者的法定代表人或者主要负责人进行约谈。

县级以上公安机关在履行数据安全监督管理职责中，发现数据处理、个人信息处理活动存在较大安全风险或者发生数据安全、个人信息安全事件的，可以对有关组织、个人进行约谈。

被约谈对象应当按照法律、行政法规要求采取措施进行整改，消除网络空间安全风险隐患。

约谈权限需要区分监管领域。网络安全、信息安全领域适用省级以上公安机关及规定的企业负责人；数据安全、个人信息安全领域适用县级以上公安机关及有关组织、个人。企业应核实约谈机关、所涉活动、风险事实和整改要求。

七、专项监督检查具有特定适用条件

重大安全保卫任务期间的检查，适用以下规定：

第八条　在国家重大安全保卫任务期间，对与国家重大安全保卫任务相关的网络运营者、数据处理者、个人信息处理者，公安机关重点对下列内容开展专项监督检查：

（一）是否制定重大安全保卫任务所要求的工作方案，明确安全责任分工并确定安全管理人员；

（二）是否依法组织开展网络安全、数据安全、信息安全风险评估，并采取相应风险管控措施，堵塞安全漏洞隐患；

（三）是否制定网络安全、数据安全、信息安全应急处置预案并开展应急演练，应急处置相关设施是否完备有效；

（四）是否依法采取重大安全保卫任务所需要的其他网络安全、数据安全、信息安全防范措施；

（五）是否依法报告网络安全、数据安全、信息安全事件及处置情况。

对防范恐怖袭击的重点目标的网络空间安全监督检查，按照前款规定执行。

上述要求适用于与任务相关的对象，以及防范恐怖袭击的重点目标，不能直接转化为所有企业的常年统一要求。企业应依据具体任务和适用规定，确认专项方案、风险评估、演练、设施和报告安排。

八、企业履责自查清单

以下清单将前述条文转化为核对事项。建议材料不是统一报送目录，具体义务仍须结合适用法律法规确定。（清单仅供参考，具体以监管部门官方文件为准）

核对结果可记录为“已符合、需整改、不适用、待核实”。“已符合”应有证据，“不适用”应有理由。

适用范围和日常义务

专项检查和后续整改

专项检查事项适用于重大安全保卫任务期间与任务相关的对象，以及防范恐怖袭击的重点目标。

九、检查程序核对清单

本表用于核对检查权限和程序。涉及机关内部审批、备案、通报等事项，应依据可取得的信息记录，无法核实的标注“待核实”。

企业使用清单时，应将每项结论落实到具体业务或系统，记录核验事实、证据位置、责任人、整改措施和复核结果。计划完成时间根据具体整改要求确定，《办法》没有为所有事项统一设定整改期限。

准备顺序应以已知问题为先：核实历史事件和处罚整改，处理现存漏洞及失效措施，补齐适用义务和日常执行记录。已经完成的整改应验证效果；尚未完成的事项应明确剩余工作及完成安排。

\*本文基于公开法规文本进行解读，所附清单用于企业内部自查，不构成针对特定企业或事项的法律意见。具体义务及应对措施应结合业务事实、适用法律法规和主管机关要求确定。条文引用如有出入，以正式公布的文本为准。