《网络数据安全风险评估办法》：三方权责 + 企业落地建议

原创

金鸷数安
金鸷数安

金天的网络安全

2026年6月22日 18:43
北京

在小说阅读器读本章

去阅读

2026年8月20日，《网络数据安全风险评估办法》将正式施行。作为《数据安全法》《网络数据安全管理条例》的核心配套规则，规范了网络数据安全风险评估的全流程，划清了监管、企业、第三方机构的权责边界。

权责划清：三方角色各守其界

监管端：统筹协同，守住底线

监管体系遵循“国家统筹、行业主管、分级负责”的原则，核心是“管得准、不扰民”。

顶层统筹降负担：国家网信部门会同电信、公安等部门建立专项工作机制，统筹各行业年度检查计划，跨部门共享协调，从源头避免不必要的交叉重复检查；主管部门开展检查不得向企业收取任何费用。
行业主管抓落实：各行业主管部门按照“谁管业务、谁管数据安全”的原则，定期组织本行业评估，检查重要数据处理者的评估开展情况，每年1月底前报送年度检查计划。
监督执法守底线：省级以上网信、电信、公安等部门有权核验评估报告的真实性、准确性；发现企业存在重大安全风险、发生数据安全事件等情形时，可要求其委托认证机构开展评估；对拒不整改的主体，可依法责令停止处理重要数据，直至依据法律法规作出处理。

企业端：主体责任，分级承担

网络数据处理者是数据安全的第一责任人，《办法》按照数据重要程度设置差异化义务，不搞“一刀切”。

重要数据处理者：承担强制性评估义务，需按年度开展评估、报送报告、配合检查、落实整改，是监管的重点对象。
一般数据处理者：以鼓励性规范为主，引导定期开展评估，兼顾安全与经营成本。

服务端：规范执业，杜绝“花钱买报告”

第三方评估机构是风险评估的专业供给方，《办法》用多条规则划定执业红线，保障评估的独立性与真实性。

质量责任：评估机构需公正客观开展工作，对出具报告的真实性、有效性、完整性全权负责。
执业禁令：不得转委托其他机构开展评估；同一机构及其关联方，不得连续3次以上为同一企业提供年度评估服务，防范利益绑定。
保密义务：对评估中获取的数据、商业秘密、保密商务信息严格保密，评估结束后及时删除或按约定处置相关信息。
发展导向：国家鼓励评估机构按《认证认可条例》开展能力认证，推动行业向专业化、规范化发展。

合规红线：数据处理者须落实5项工作

按频次开展评估：分清“强制”与“鼓励”

评估频次是合规的基础红线，不同主体对应不同节奏：

重要数据处理者（强制）：每年必须开展1次全面风险评估；当重要数据安全状态发生重大变化（如新增重要数据品类、处理目的/范围重大变更、核心系统升级、发生数据安全事件等），可能影响数据安全时，需及时针对变化部分开展专项评估。
一般数据处理者（鼓励）：鼓励至少每3年开展1次风险评估，提前排查隐患。
特殊强制场景：出现三类情形时，监管部门可要求企业委托通过认证的机构开展评估：一是处理活动存在较大安全风险、可能危害国家安全与公共利益；二是发生数据安全事件，导致重要数据或大规模个人信息泄露、被窃取；三是部门规定的其他情形。同时明确，同一事件或风险不得重复要求评估。

合规提醒：所有工作的前提是准确识别自身是否属于重要数据处理者，数据家底不清，评估就会失去靶向。

选对实施方式：自行与委托均需规范

企业可自主选择评估实施路径，但两种方式都有明确的规范要求：

自行开展评估：必须指定专人负责，不能由非专业团队随意应付；评估过程需符合法律法规与国家标准要求，留存完整工作底稿。
委托第三方评估：必须通过合同或具备法律效力的文件，明确双方权利义务、保密责任、信息处置方式、违约责任等核心条款。
禁止性要求：企业不得以任何方式要求、示意评估机构出具不实或不当的风险评估报告。

管好评估报告：编制、留存、报送全有规矩

评估报告是监管核验的核心材料，全流程都有法定要求：

编制规范：重要数据处理者需按主管部门规定编制报告；无专门规定的，可参照《数据安全技术数据安全风险评估方法》（GB/T 45577-2025）国家标准执行，确保风险识别、分析、评价、整改建议等核心要素齐全。
留存要求：风险评估报告至少保存3年，建议同步留存评估工作底稿、原始记录等支撑材料，以备监管核验。
报送时限：年度评估完成后，需在20个工作日内向有关主管部门报送报告；主管部门不明确的，向省级网信部门或国家网信部门报送。同时需配合监管部门对报告真实性、准确性的检查核验。

闭环整改：发现风险不能“一报了之”

风险评估的核心价值是化解风险，而非形成报告。

对评估中发现的安全风险，企业需主动制定整改方案、推动落地；
按监管要求整改的，需在整改完成后15个工作日内报送整改情况报告；
若重要数据处理活动被认定可能危害国家安全、公共利益，需按监管责令要求完成整改；拒不整改或未达要求的，将面临停止处理重要数据等严厉措施。

特殊场景：专项评估不可遗漏

三类特殊场景需适用专门规则，不能套用通用评估要求：

处理核心数据的，风险评估按照国家有关专门规定执行；
涉及重要数据加密等技术措施的，需同步按照密码管理法规，开展商用密码应用安全性评估；
涉及国家秘密、工作秘密的评估活动，按照《保守国家秘密法》等保密规定执行。

建议：6步，从“应付合规”到“真防风险”

第一步：摸透家底，先完成数据分类分级

数据分类分级是所有风险评估的前提，家底不清，评估必然流于形式。

全面梳理全量数据资产，建立覆盖数据类型、量级、存储位置、处理流程、涉及主体的资产台账，打通业务、技术、管理的数据视图；
对照国家及行业分类分级标准，完成数据分级判定，明确重要数据、核心数据清单，精准锚定自身的合规定位；
建立资产动态更新机制，业务调整、数据品类变更时同步更新台账，为年度评估与专项评估提供准确输入。

第二步：搭建机制，让评估融入日常管理

避免“临时抱佛脚”式的应付式评估，把风险评估嵌入企业数据安全管理体系。

明确责任架构：由数据安全管理部门牵头统筹，明确业务、技术、法务、合规、运维等部门的协同职责，落实专人负责评估全流程；
制定年度计划：年初制定年度风险评估方案，明确评估范围、实施方法、时间节点、交付成果与责任人，倒排工期确保在法定期限内完成评估与报送；
设定触发清单：梳理“安全状态重大变化”的具体场景，如重要数据处理目的/方式变更、核心系统上线升级、数据跨境流动、企业并购重组、发生数据安全事件等，明确触发后的评估启动流程与完成时限。

第三步：选对路径，保障评估质量与合规性

无论是自行评估还是委托第三方，核心都是确保评估真实有效、符合规范。

自行评估：严格参照GB/T 45577-2025的标准流程执行，覆盖评估准备、风险识别、风险分析、风险评价、处置建议、报告编制全环节；评估需覆盖数据全生命周期，兼顾管理体系、技术防护、人员管理等多维度风险。
第三方选型：优先选择通过国家认证、符合GB/T 45389-2025能力要求的机构，核查其行业服务经验与项目案例；提前规划服务周期，避免触发“连续3次”的回避红线；合同中明确评估范围、交付标准、保密义务、信息处置方式、违约责任，防范转包、虚假报告等风险。

第四步：规范管理，把控报告全生命周期

报告是合规的核心凭证，需从编制、归档到报送全流程管控。