从等级保护到数据安全评估：测评机构的新赛道来了

原创

scorpio
scorpio

等级保护那些事

2026年6月23日 10:50
湖北

在小说阅读器读本章

去阅读

一、市场机会分析

1. 年度评估成为刚性需求

第五条明确规定：重要数据处理者应当每年度开展风险评估。

这就意味着：持有重要数据的企业必须每年评估。尤其是政务、运营商、金融、能源、医疗、交通等行业。

数据安全评估可能形成类似等保测评的常态化市场

2. 重大变更评估需求

第五条规定：

重要数据安全状态发生重大变化，应及时开展风险评估。典型场景有

• 新建数据中心

• 数据共享开放

• 引入AI大模型
• 数据跨境传输
• 新增重要数据目录

因此评估机构未来不仅有年度项目，还会有：

• 专项评估
• 变更评估
• 事件后评估

3. 政府指定评估需求

第十七条规定：

有关部门可以要求企业委托通过认证的评估机构开展风险评估，触发场景：

（1）存在重大风险

发现数据裸奔、大规模敏感信息暴露、数据分类分级缺失等情形时，主管部门可指定开展评估。

（2）发生数据泄露事件

例如：个人信息泄露、重要数据泄露、数据库被拖库，发生事件后，企业必须委托第三方评估。

二、评估机构必须关注的合规要求

1. 对评估报告终身负责

第十条：对风险评估报告真实性、有效性、完整性负责，此前等保机构管理办法未单独强调，而网络数据风险评估管理办法却单列一条，这意味着评估机构不能走形式出具模板化报告替客户“美化”风险

未来可能面临：

• 行政处罚
• 行业通报
• 资质取消
• 民事赔偿

风险明显高于传统咨询项目。

2. 连续评估限制

第十二条：同一评估机构及关联机构不得连续3次以上对同一网络数据处理者开展年度风险评估。这是一个非常重要的新规定，借鉴了个人信息合规审计管理办法的思路

例如：

2027年：A机构评估

2028年：A机构评估

2029年：A机构评估

2030年：❌ 必须更换机构

目的是保证独立性、防止利益绑定、防止形成“熟人评估”。评估机构需提前规划客户轮换机制。

三、保密义务要求极高

第十四条是评估机构风险最大的条款之一，同样，等保机构管理办法也没有单列一条，该条要求：数据保密、商业秘密保密和保密商务信息保密，并且风险评估结束后及时删除或者妥善处置，因此评估机构应建立：

• 数据接收登记
• 数据脱敏
• 数据销毁记录
• 环境隔离
• 独立评估环境

• 专用评估终端

• 人员保密

• 保密协议
• 保密培训

否则一旦泄密，可能承担：

• 行政责任
• 民事责任
• 刑事责任

四、对现有等保测评机构的影响

对于已开展等级保护业务的机构，这是一个重要增量市场，可形成服务链：

等级保护测评

↓

数据分类分级

↓

重要数据识别

↓

网络数据安全风险评估

↓

整改咨询

能力扩展到数据安全领域，形成“等保+数据安全评估”一体化服务体系。