不做等保会怎样？从《网络安全法》看清罚款与问责红线

原创

慧等保
慧等保

悟安

2026年11月2日 22:29
北京

去阅读

大部分企业第一次认真研究\"等保\"，都发生在两件事之后：系统被攻破，或者收到公安机关的《责令整改通知书》。

2026 年 1 月 1 日，新修订的《中华人民共和国网络安全法》正式施行。这次修改的核心动作只有一个：把违法成本抬到企业不敢忽略的高度。

一、不做等保，违反的到底是什么

《网络安全法》第二十三条写得很直接：国家实行网络安全等级保护制度。网络运营者应当履行五项义务——建立安全管理制度、确定网络安全负责人；采取防范病毒和网络攻击的技术措施；监测记录网络运行状态并留存日志不少于六个月；数据分类、重要数据备份和加密；以及法律行政法规规定的其他义务。

要澄清一个最普遍的误解：等保不是\"自愿参加的认证\"，而是法定义务。定级、备案、建设整改、等级测评、监督检查这五个规定动作本身就是义务的组成部分。\"系统还没定级，所以暂时不用做\"——逻辑恰好相反：不定级，就是未履行义务。

二、罚多少：红线被画成了三个台阶

修订后，原第五十九条变为第六十一条，罚则从\"结果才罚\"变成\"三级递进\"。

三个变化值得注意。一是起罚点从\"警告了事\"变成\"警告+可以罚款\"，首次检查不合格就可能产生罚单；二是\"大量数据泄露\"被单独列为加重情形，即便不在关基名单里，一次大规模泄露也可能把处罚推到 50 万–200 万；三是关基运营者的上限从 100 万提到 1000 万，整整十倍。

三、罚的是公司，还是人

这是新法最容易被低估的部分：双罚制。

第六十一条每一档在罚单位的同时，都明确\"对直接负责的主管人员和其他直接责任人员\"并处罚款。谁是\"直接负责的主管人员\"？通常是分管信息化的副总、CTO、IT 总监或安全负责人。公司付公司的账，个人付个人的账，这条记录还跟着人走。

再往上，是刑事。《刑法》第二百八十六条之一规定：网络服务提供者不履行法定的信息网络安全管理义务，经监管部门责令采取改正措施而拒不改正，致使违法信息大量传播、用户信息泄露造成严重后果等情形，处三年以下有期徒刑、拘役或者管制，并处或者单处罚金；单位犯罪实行双罚。

注意这个链条：不是\"出了事就追刑责\"，而是\"责令改正 + 拒不改正\"才入刑。反过来读就是——收到整改通知书的那一刻，你已经站在刑事风险的门口，此后每一步都在决定要不要跨过去。

四、罚款只是最便宜的那一项

真正让企业难受的，是罚款之外的连锁反应：

• 业务中断：情节严重的，可被责令暂停相关业务、停业整顿、关闭网站、吊销许可证或营业执照。
• 信用留痕：处罚信息通过\"信用中国\"公示，最短三个月、最长三年，直接影响招投标与资质评审。
• 合同违约：越来越多甲方要求供应商提供等保备案证明或测评报告，缺一份就是违约。
• 民事赔偿：《个人信息保护法》第六十六条对情节严重者可处五千万元以下或上一年度营业额百分之五以下罚款。

还有一条新规：《国家网络安全事件报告管理办法》自 2025 年 11 月 1 日施行。较大以上事件，关基运营者最迟 1 小时内报告，其他运营者最迟 4 小时；迟报、漏报、谎报、瞒报造成重大危害后果的，从重处罚。出事后的第一个动作做错，罚则会再加一档。

五、三个最危险的自我安慰

\"我们是小公司，没人查。\"监管逻辑不是抽查概率，而是事件倒查。系统被攻破、数据被挂到暗网、用户举报，任何一条都会触发对义务履行情况的检查。等保是事前义务，检查却发生在事后——这是最被动的顺序。

\"业务都在云上，安全是云厂商的事。\"责任主体是\"网络运营者\"，即网络的所有者、管理者。用了云，你依然是运营者，责任不随基础设施外包而转移。云平台过等保，不等于你的业务系统过等保。

\"先上线，等有钱了再补。\"整改成本与系统复杂度正相关，越晚越贵；而且\"事后补做\"在执法中不构成免责理由，最多算整改态度。

六、这笔账怎么算

一次三级等保测评，市场价通常在数万元；一套覆盖边界防护、主机安全、数据库审计、日志审计的等保一体机方案，投入也在可控区间。而第六十一条最低一档的罚款下限就是五万，严重情形两百万到一千万，还没算停业整顿的营收损失。

合规投入是确定的、可预算的；风险成本是不确定的、没有上限的。这就是新法想传递的信号：让\"不投入\"变得比\"投入\"更贵。

慧等保长期服务政企客户的等保测评与整改落地，从定级备案、差距分析、整改建设到测评通过形成闭环，也提供适配云上业务的等保一体机方案。如果此刻你还不确定自家系统该定几级、缺哪些控制项，建议先做一次免费的合规差距自查——把红线看清楚，永远比事后解释便宜。