《网络数据安全风险评估办法》8月20日施行，单位该关注什么？

晟晖科技

2026年7月13日 08:30
江苏

在小说阅读器读本章

去阅读

2026年6月18日，国家网信办、工业和信息化部、公安部三部门联合公布《网络数据安全风险评估办法》（以下简称《办法》），自*2026年8月20日*起正式施行。

距离现在只剩40天左右。这部法规虽然名字里有\"风险评估\"四个字，但它不是只针对大公司，而是*覆盖了处理网络数据的*各类**单位——政府机关、医院、学校、企业**等。

今天我们就用一篇文章，帮你看清楚这部法规到底要求什么、哪些单位需要行动、以及应该从哪里开始准备。

01

这部法规的核心要求：两类主体，两种节奏

《办法》把网络数据处理者分成了两类，要求截然不同。

*第一类：重要数据处理者*

如果你处理的数据被认定为“重要数据”，即关系国家安全、国民经济命脉、重要民生、重大公共利益等数据（具体目录由各地区、各部门制定），那么：

*✔每年至少开展*一次数据安全风险评估

✔当数据安全状态发生重大变化时，还要及时追加评估

✔年度风险评估完成后，应在20个工作日内向有关主管部门报送风险评估报告；主管部门不明确的，向省级网信部门或国家网信部门报送。

✔风险评估报告*至少保存3年***

*第二类：一般数据处理者*

处理普通网络数据（比如用户注册信息、业务运营数据等）的单位：

✔不强制要求每年评估，但*鼓励至少每三年开展一次*

✔虽然没有强制报送要求，但一旦发生数据安全事件，主管部门可以要求你补做评估

*简单来说：重要数据每年必须评，一般数据建议三年一评。*

02

数据安全风险评估，到底要评什么？

根据《办法》第六条规定，风险评估应参照数据安全风险评估有关国家标准开展，建议关注以下方面：

01

数据资产梳理

你有哪些数据？存在哪里？谁在用？哪些属于重要数据？这是评估的基础，也是很多单位的第一个盲区——\"我们到底有多少数据，自己都不清楚\"。

02

数据处理活动风险分析

数据在采集、存储、使用、加工、传输、提供、公开、删除等全生命周期中，每个环节存在什么风险？有没有越权访问、非法导出、接口暴露等问题？

03

安全管理制度和技术措施评估

你有没有数据分类分级制度？有没有数据安全负责人？有没有访问控制、加密、备份、日志审计等技术手段？制度是否落地、技术是否有效，都要逐项检查。

04

数据出境和第三方共享风险

如果数据要出境，或者要提供给第三方使用，有没有履行安全评估、标准合同备案、个人信息保护认证等合规程序？

05

应急处置能力评估

一旦发生数据泄露，你有没有应急预案？能不能快速止损、溯源、通知受影响的用户？

03

距离8月20日只剩40天，该做什么？

如果你的单位属于\"重要数据处理者\"，建议按以下节奏推进：

*第一阶段：数据资产盘点*（第1-2周）

先搞清楚自己手里有什么数据。建议从核心业务系统入手，梳理数据清单，初步判断哪些可能属于重要数据。

*第二阶段：差距分析*（第3-4周）

对照《办法》要求，逐条检查现有制度和技术措施是否到位。重点看：有没有数据分类分级？有没有访问控制？有没有日志留存？有没有应急预案？

*第三阶段：整改+评估*（第5-6周及以后）

针对差距项启动整改，并尽快确定评估方式（自评估或委托第三方）。重要数据处理者如委托第三方评估，应预留充足时间，确保在年度周期内完成并报送报告。

*第四阶段：持续运营*（长期）

数据安全不是一次性的。评估完成后，要建立常态化的监测、预警、复盘机制，确保制度持续有效、风险持续可控。

最后提醒一点：《办法》第二十二条明确，未按规定开展风险评估，或评估流于形式、未按要求报送整改的，*都可能面临监管处理*。

《网络数据安全风险评估办法》的施行，标志着数据安全合规从“建制度”进入“抓落实”阶段。对政企单位而言，风险评估不仅是合规要求，更是发现隐患、提升数据安全能力的重要抓手。

作为一家深耕网络安全23年的服务商，晟晖科技已帮助政务、医疗、教育、制造等多个行业的客户完成数据安全评估和合规建设。从数据资产盘点到差距分析，从整改方案到第三方评估报告，我们可以提供全流程支持。

*如果您的单位在数据安全评估方面存在以下困惑，欢迎联系我们：*

• 不清楚自己处理的数据是否属于\"重要数据\"

• 数据资产分布散、数量大，缺乏完整的资产清单

• 现有安全制度和措施不知道是否满足法规要求
• 需要第三方专业机构出具数据安全风险评估报告
• 评估完成后不知道怎么整改、怎么持续运营

*晟晖科技，23年网络安全深耕，累计服务政府、医疗、教育、制造等客户超1000家。***

全时全域  安全无忧

服务热点：

400-630-6830