数据安全风险评估与等级测评法定强制性辨析
祺印说信安
2026年8月25日 00:08
河南
在小说阅读器读本章
去阅读
以下文章来源于豫说网数安
，作者何威风
豫说网数安
.
网络安全人人有责，贯彻网络安全为人民，网络安全靠人民。网络安全和信息化是相辅相成的。安全是发展的前提，发展是安全的保障，安全和发展要同步推进。
上篇公众号，我通过结合我国数据安全现行法律法规以及数据安全风险评估管理办法、数据安全风险评估国家标准，整理了《网络数据安全风险评估办法》今日施行，探讨了数据安全风险评估一些基本概念和方法论。再往前，我也用数据安全风险评估能否避免粗制滥造，探讨数据安全风险评估可能走其他评估老路问题。今天，结合现行法律法规以及个人理解，探讨一下数据安全风险评估与等级测评的强制性问题。很长一段时间，很多单位感觉数据安全风险评估可做可不做，或者不需要急着做，甚至有人认为数据安全风险评估不具备强制性等等，所以他们能够理解年年开展等级测评，留好等级测评预算却不怎么在乎数据安全风险评估工作。
从现行网络与数据安全法律规范体系来看，数据安全风险评估与等级测评都具有强制性，但二者在法定强制性的来源、规范层级以及法律直接规定程度方面存在差异。总体而言，现阶段数据安全风险评估的法定强制性更强、更直接，而等级测评虽然同样具有明确的制度约束和实践中的强制要求，但其“定期开展等级测评”这一具体义务更多是通过等级保护配套规范予以明确。
网络安全等级保护制度本身具有明确的法律基础。《网络安全法》已经在法律层面确立网络安全等级保护制度，网络运营者应当按照网络安全等级保护制度的要求履行相应安全保护义务。因此，等级测评是等级保护工作的一个重要内容或者说重要动作，所以虽然“等级测评”这一具体行为没有直接写入《网络安全法》，但是等级测评也具有强制性。实际上，第三级网络以上强制性要求开展等级测评，是在2007年公安部等四部门共同发布的《信息安全等级保护管理办法》里进行明确的。也就是说，等级保护制度是法律确立的，等级测评则是这一制度的重要实施手段之一。从规范结构来看，《网络安全法》直接规定的是“实行网络安全等级保护制度”，而不是直接规定“第三级信息系统每年必须开展一次等级测评”，这个规定有部门规章《信息安全等级保护管理办法》。
数据安全风险评估则呈现出另一种更加完整的规范体系。《数据安全法》已经从法律层面直接规定，重要数据的处理者应当按照规定对其数据处理活动定期开展风险评估，并向有关主管部门报送风险评估报告。那么就意味着“风险评估”本身已经成为法律直接设定的一项数据安全义务，而不是仅仅作为某一安全制度的配套技术措施存在。在此基础上，《网络数据安全管理条例》进一步对重要数据处理者开展年度风险评估、报送风险评估报告以及特定数据处理活动的风险评估要求进行了细化，进一步明确了风险评估在网络数据安全监管体系中的制度地位。
随着《网络数据安全风险评估办法》的实施，这一制度又进一步从原则性要求走向具体化和程序化。风险评估不再只是简单意义上的“做一次评估、出一份报告”，而是逐步形成了从风险识别、风险分析、风险评价，到报告编制、报送、保存、监督核验以及整改的完整制度闭环。由此可以看到，数据安全风险评估已经形成了较为清晰的“法律—行政法规—部门规章”三级规范体系：法律直接确立义务，行政法规进行制度细化，部门规章进一步明确具体实施要求。这也是当前数据安全风险评估法定强制性明显增强的重要原因。
因此，从法律规范体系的纵向结构进行比较，可以发现二者存在一个非常重要的差异。那就是等级测评是“法律确立等级保护制度，再由配套规范具体规定测评要求”；数据安全风险评估则是“法律直接规定风险评估义务，再由行政法规和部门规章进一步具体化”。前者的法律基础主要体现为对等级保护制度的确立，后者则已经直接把“风险评估”作为一种法定义务写入法律。因此，二者虽然都具有强制性，但数据安全风险评估的法定强制性来源更加直接，规范体系更加完整，法律层面的直接规定程度也更高。
等级测评的核心，是依据确定的网络安全等级，对网络和信息系统是否满足相应安全保护要求进行符合性和有效性检验，重点关注系统安全保护措施是否达到相应等级要求，是验证能力和水平。而数据安全风险评估关注的是数据处理活动本身，重点分析数据处理过程中面临的安全风险、风险可能造成的影响以及现有安全措施能否有效控制这些风险。等级测评回答的是“系统有没有达到相应安全保护等级要求”，数据安全风险评估回答“数据处理活动面临什么风险以及这些风险是否得到有效控制”。
因此，未来网络与数据安全监管体系不是由一种评估方式取代另一种评估方式，而是逐渐形成多种制度并行、相互衔接的格局。等级保护解决网络和信息系统基础安全保护问题，数据安全风险评估解决数据处理活动的安全风险问题，个人信息保护合规审计解决个人信息处理合规问题，数据出境安全评估解决数据跨境流动中的安全问题，商用密码应用安全性评估则解决密码应用安全问题。这些制度虽然存在一定交叉，但监管目标、评估对象和评价逻辑并不完全相同。对于内容存在重合的情况，监管制度也正在探索结果互认和衔接，而不是要求不同制度完全重复建设、重复评估。当然，这也是建立在客观真实的前提下，如果大量报告与单位实际情况存在不一致时，结果互认将出现更大麻烦，所以监管层面的要求也因此会面临新的压力。
从这个角度来看，数据安全风险评估制度的快速发展实际上反映了我国网络安全监管思路的一种变化。传统等级保护更多围绕“系统安全”建立制度体系，而数据安全治理正在逐步转向围绕“数据处理活动和数据风险”建立独立的监管体系。尤其是重要数据已经成为数据安全监管的核心对象之一，风险评估逐渐成为连接数据识别、分类分级、安全保护、风险监测、事件处置和监管检查的重要制度工具。因此，数据安全风险评估未来的监管地位很可能还会进一步提升。
至于未来《网络安全等级保护条例》的出台，其重要意义将进一步把目前主要通过《网络安全法》及《信息安全等级保护管理办法》等制度形成的定级、备案、建设整改、等级测评和监督检查体系进行行政法规层面的系统化整合。如果未来条例进一步明确等级测评的责任主体、适用对象、实施周期、程序要求以及监督处罚机制，那么等级测评具体义务的法规范基础和强制性程度将会进一步增强。
当然，未来等级保护制度进一步上升到行政法规层面，二者依然存在区别。数据安全风险评估已经由《数据安全法》直接规定重要数据处理者的风险评估义务，再由《网络数据安全管理条例》和《网络数据安全风险评估办法》逐层细化，其法定强制性具有更强的直接性和完整性。二者都是强制性的，但现阶段数据安全风险评估的法定强制性更高、更直接。
往期回顾
等保、关保、数保、个保，网络安全与数据治理“四位一体”的体系化制度框架
网络安全问题解决思路
网络安全等保系列
等级保护建设参考系列
关基保护系列
数据安全系列
结构化数据（Structured Data）与非结构化数据（Unstructured Data）
医疗机构数据安全和个人信息保护自查简表（基于最新医疗机构管理办法）
个人信息保护系列
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论