数据安全风险评估今起施行

安世加

2026年8月20日 18:00
上海

在小说阅读器读本章

去阅读

新闻

News Today

2026年8月20日起，国家网信办、工业和信息化部、公安部联合公布的《网络数据安全风险评估办法》（以下简称《办法》）正式施行。25条细则，配套两份国家标准（GB/T 45577-2025《数据安全技术 数据安全风险评估方法》、GB/T 45389-2025《数据安全评估机构能力要求》）同步落地——这是《数据安全法》《网络数据安全管理条例》之后，第一次把\"网络数据安全风险评估\"的程序、口径、责任按可操作、可检查的方式写到纸面上。

先说覆盖范围。处理重要数据的网络数据处理者（重要数据处理者），每年度开展风险评估——这是硬性义务，不是建议。 重要数据安全状态发生重大变化可能对数据安全造成不利影响的，应当及时对发生变化及其影响的部分开展评估。处理一般数据的网络数据处理者，《办法》用了\"鼓励\"的口径，至少每3年开展一次。重要数据处理者一年一评是这次最直接的变化，对企业内部信息安全团队来说，从今天起，\"年度评估\"已经写进合规日历的硬位置。

具体怎么执行，《办法》给出了一条相对顺手的路径。

谁来评？可以自行评估——指定专人负责就行；也可以委托第三方评估机构。《办法》明确要求评估机构不得转委托其他机构开展风险评估，且同一机构及其关联机构不得连续3次以上对同一网络数据处理者开展年度风险评估。这条规则是为了堵\"换了一家、其实还是同一拨人走过场\"的口子——从第三个年度开始你就要主动物色新机构，不能再让同一拨人年年给你盖章。

评什么？范围覆盖网络数据处理活动的全生命周期——收集、存储、使用、加工、传输、提供、公开等环节的风险识别、风险分析、风险评价。配套的两份国标里，GB/T 45577-2025 是评估方法，GB/T 45389-2025 是对评估机构的能力衡量。主管部门对评估另有规定的从其规定，没有规定的参照这两份国标。

报告怎么走？重要数据处理者应在年度评估完成后 20个工作日内向有关主管部门报送风险评估报告，报告至少保存 3 年。主管部门收到报告后 10 个工作日内通报同级网信部门，国家网信部门汇总后再与电信、公安、国家安全等部门共享——等于打通了跨部门报送口径，多部门之间不需要你重复交材料。

什么时候会被强制要求走第三方？《办法》明确：如果监管发现网络数据处理活动存在较大安全风险，可能危害国家安全、公共利益，或者发生网络数据安全事件导致重要数据、大规模个人信息泄露、被窃取的，可以要求委托通过认证的评估机构开展评估。这里面\"通过认证\"四个字直接抬高了评估机构市场的门槛——认证是怎么认、按什么认，是接下来一段时间行业最关注的变量。

还有几个细节值得拎出来。一是多头检查的协调机制：各主管部门每年 1 月底前把年度风险评估检查计划报送国家网信部门，由网信部门在国家数据安全工作协调机制框架内协调，目标是对同一网络数据安全事件或者风险，不得重复要求网络数据处理者委托评估机构开展风险评估。这条对那些一直被多部门反复检查的单位，是个实质性的缓解信号。

二是\"重要数据\"的认定路径。《办法》没有出重要数据的统一目录，延续的是\"谁管业务、谁管业务数据、谁管数据安全\"的原则——重要数据的认定仍然归各行业主管部门。这意味着本企业是不是重要数据处理者，要主动对接主管部门确认，不能等通知。等到监管上门问\"你们的风险评估报告呢\"再被动应对，就完了。

对合规和安全团队来说，几个动作可以今天就起步。一是内部摸底自己是不是或可能是重要数据处理者，自查依据主要是 GB/T 43697-2024《数据安全技术 数据分类分级规则》和行业主管部门出台的分级指南；二是对照 GB/T 45577-2025 的全生命周期口径，把评估流程、模板、记录清单拉一遍；三是提前盘点现有评估机构合同关系，别等到第三个年度才发现踩了连续3次的硬线；四是把\"20个工作日报送\"和\"3年保存\"这两条硬指标直接写进合规日历和文档管理流程。

更深一层的问题是，从去年底的 GB/T 45577、GB/T 45389，到今年的商用密码应用安全性评估要求，再叠加这次的《办法》，\"数据安全合规\"已经形成一个有节奏、有清单的制度包——不再是单独某项点的合规，而是一条\"年度评估 + 触发评估 + 报送报告 + 整改闭环\"的完整通路。谁先把这条通路在企业内部跑顺了，谁的合规成本就越可控；反过来每次政策变动都会变成临时突击。

《办法》施行后，对未按规定开展风险评估或评估机构违反《办法》规定开展评估的，将依据《数据安全法》《网络数据安全管理条例》等法律法规予以处理——重要数据处理者大概率是首批重点监管对象。

信息来源：央视网（《朝闻天下》

本公众号发布的文章均转载自互联网或经作者投稿授权的原创，文末已注明出处，其内容和图片版权归原网站或作者本人所有，并不代表安世加的观点，若有无意侵权或转载不当之处请联系我们处理！

安世加为出海企业提供SOC 2、ISO 体系、PCI DSS认证咨询服务（点击图片可详细查看）