从个保合规审计到重要数据安全风险评估：网络数据安全风险评估办法十五问

2026年6月18日，国家互联网信息办公室、工业和信息化部、公安部联合公布《网络数据安全风险评估办法》（以下简称“《办法》”），并将于2026年8月20日起施行。

这不是一项孤立的新合规要求。其制度逻辑，承接的是《数据安全法》《网络安全法》《网络数据安全管理条例》关于数据分类分级、重要数据保护、风险评估、报告报送和监管核验的既有制度安排。

如果说《个人信息保护合规审计管理办法》解决的是“个人信息处理活动是否合法合规”的审计问题，那么《办法》解决的则是“重要数据处理活动是否安全可控”的评估问题。前者以个人信息权益保护为中心，后者以网络数据安全和重要数据保护为中心。二者共同说明，企业数据合规正在从“制度文本合规”，进入“评估、审计、报告、整改和证据留痕”的可核验阶段。

本文以十五问的方式，对企业最关心的问题作出快速解读。

01.什么是网络数据安全风险评估？

《办法》第二条第二款明确规定，网络数据安全风险评估，是指对网络数据和网络数据处理活动安全进行的风险识别、风险分析和风险评价等活动。

这一定义有三个关键词。第一，评估对象是“网络数据”。这意味着评估并不局限于个人信息，也不局限于某一个具体的信息系统，而是覆盖企业在网络环境中处理的数据。第二，评估对象还包括“网络数据处理活动”。也就是说，评估并不是只看数据本身是否敏感，而是要看企业如何收集、存储、使用、加工、传输、提供、公开、删除数据，以及这些处理活动是否会引发数据安全风险。第三，评估内容是“风险识别、风险分析和风险评价”。因此，网络数据安全风险评估不是简单的制度检查，也不是形式化的安全声明，而是需要对企业数据处理活动中的风险来源、风险发生可能性、风险影响程度、安全控制措施有效性和剩余风险进行系统判断。

从企业实务角度看，网络数据安全风险评估至少应当覆盖数据资产和数据处理活动梳理、数据分类分级、重要数据识别、数据流向分析、数据接收方管理、委托处理和共同处理管理、数据出境场景、系统安全措施、组织管理制度、数据安全事件应急处置机制以及问题整改闭环。

02.网络数据安全风险评估等于网络安全测评吗？

不等于。

《办法》第二条将网络数据安全风险评估界定为对“网络数据”和“网络数据处理活动安全”的风险识别、分析和评价。其核心对象是数据及数据处理活动，而不是单纯的信息系统。

网络安全测评，尤其是网络安全等级保护测评，重点关注网络和信息系统是否达到相应等级的安全保护能力，例如身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、数据备份恢复等技术和管理要求。网络数据安全风险评估则更进一步关注：系统中处理了什么数据，是否涉及重要数据，数据如何流动，是否向第三方提供，是否委托处理，是否出境，安全措施是否与数据风险相匹配，发生泄露、篡改、损毁、非法获取或者非法利用后可能造成何种影响。

可以作一个简化区分：网络安全测评更像是“系统安全体检”；网络数据安全风险评估更像是“数据处理活动体检”。这也意味着，企业不能简单以已经完成等保测评为由，当然替代网络数据安全风险评估。对于处理重要数据的企业而言，等保测评可以作为风险评估的重要基础材料之一，但不能替代对重要数据处理活动本身的风险识别、分析和评价。

03.哪些企业必须开展网络数据安全风险评估？

《办法》第五条第一款明确规定，重要数据处理者应当每年度开展风险评估。因此，强制开展年度网络数据安全风险评估的核心主体，是处理重要数据的网络数据处理者，也就是重要数据处理者。

这里有两个判断步骤。第一，企业是否属于网络数据处理者。根据我国数据安全和网络数据安全监管体系，企业只要在网络环境中开展数据收集、存储、使用、加工、传输、提供、公开、删除等活动，通常就可能构成网络数据处理者。第二，企业是否处理重要数据。只有处理重要数据的网络数据处理者，才会进入《办法》第五条第一款所规定的“每年度开展风险评估”的强制义务范围。

因此，企业判断自己是否必须开展年度网络数据安全风险评估，不能只问“我是不是互联网企业”，而应当问：“我是否处理重要数据？”一些传统行业企业虽然不是互联网平台，但如果处理的数据达到重要数据识别标准，例如涉及金融运行、医疗卫生、教育管理、交通出行、能源供应、工业生产、地理空间、供应链运行等重点领域数据，也可能落入重要数据处理者范围。

04.不处理重要数据的企业，是否也需要开展风险评估？

《办法》第五条第三款规定，鼓励处理一般数据的网络数据处理者，即一般数据处理者，至少每3年开展一次风险评估。

这意味着，不处理重要数据的企业，通常不承担与重要数据处理者相同的年度强制评估义务。但《办法》并没有将一般数据处理者完全排除在风险评估制度之外，而是以“鼓励至少每3年开展一次”的方式，为一般数据处理者设定了合规倡导性要求。

从严格法律义务角度看，一般数据处理者至少每3年开展一次风险评估，不宜直接理解为与重要数据处理者年度评估同等强制的义务。但从合规实践角度看，企业不宜因此得出“只要不处理重要数据，就完全不需要评估”的结论。其原因在于，企业对自身是否处理重要数据的判断可能并不准确；一般数据在特定规模、特定场景、特定组合和特定流向下，也可能产生较高安全风险；在监管检查、客户尽调、融资上市、数据交易、数据出境、供应商准入和重大数据安全事件处置中，企业是否开展过数据安全风险评估，可能成为外部评价其数据治理能力的重要依据。

因此，对于一般数据处理者，较为稳妥的做法是：不将三年一次风险评估简单理解为强制年度义务，但应逐步建立周期性数据安全风险评估机制，至少在重大业务调整、系统改造、数据流转变化、引入第三方处理、发生数据安全事件等场景下开展专项评估。

05.核心数据处理者是否适用本办法？

《办法》第二十三条第一款规定，处理核心数据的网络数据处理者的风险评估，按照国家有关规定执行。

这一规定说明，核心数据处理者不能简单按照普通重要数据处理者的规则处理。核心数据在我国数据安全制度中处于更高保护层级，通常涉及国家安全、国民经济命脉、重要民生、重大公共利益等重大事项。对于核心数据，国家会通过更高层级、更严格的制度规则进行管理。

因此，企业如果处理的数据可能涉及核心数据，应当优先关注国家及行业主管部门关于核心数据目录、核心数据识别规则、核心数据处理活动安全管理、核心数据出境和安全评估的专门规定，而不是仅仅适用《办法》中关于重要数据处理者年度风险评估的一般规则。核心数据与重要数据的识别不是企业可以完全自由裁量的事项。企业既要结合国家标准、行业规则和主管部门要求进行识别，也要关注是否已被有关部门告知、认定或者要求纳入核心数据、重要数据目录管理。

06.企业如何判断自己是否处理重要数据？

企业判断自己是否处理重要数据，不能只凭经验判断，更不能简单以“我们不是平台企业”“我们不是数据公司”“我们只是内部管理数据”为理由排除重要数据风险。

《办法》第六条规定，风险评估工作应当按照《数据安全法》《网络数据安全管理条例》有关要求，参照数据安全风险评估有关国家标准开展；有关主管部门对本行业、本领域风险评估工作另有规定的，从其规定。这说明，重要数据识别本身应当放在数据分类分级、行业规则和国家标准的框架下进行。

企业可从三个层面判断是否处理重要数据。第一，依据国家层面的数据分类分级规则。企业应关注《数据安全法》《网络数据安全管理条例》以及《数据安全技术 数据分类分级规则》等国家标准中关于一般数据、重要数据、核心数据的基本识别逻辑。通常而言，重要数据并不是看数据是否对单个企业重要，而是看数据一旦遭到泄露、篡改、损毁、非法获取、非法利用，是否可能影响国家安全、经济运行、社会稳定、公共健康和安全、公共利益等。第二，依据行业主管部门的数据分类分级和重要数据识别规则。近年来，不同行业陆续出台或发布数据分类分级规则。例如，金融信息服务领域已经发布《金融信息服务数据分类分级指南》，用于指导金融信息服务机构开展数据分类分级和重要数据识别；教育领域已经发布《教育数据分类分级指南》，为教育行政部门、学校等主体开展数据分类分级提供规则依据；卫生健康领域此前也已印发《卫生健康行业数据分类分级指南（试行）》，明确卫生健康行业重要数据、核心数据范围定义，并指导行业开展数据分类分级工作。第三，结合企业自身数据处理场景进行判断。即使某类数据在单项、少量、静态状态下未必构成重要数据，但在特定规模、精度、覆盖范围、时间跨度、组合方式或者流转场景下，可能发生风险等级变化。

因此，企业判断是否处理重要数据，应当先完成四项基础工作：数据资产梳理、数据分类分级、重要数据识别、重要数据目录形成。没有这四项前置工作，企业直接回答“我是否需要开展重要数据安全风险评估”，通常缺乏可靠基础。

07.重要数据处理者多久评估一次？是否只有每年固定评估一次？

首先需要明确：对于重要数据处理者，每年度开展一次网络数据安全风险评估，是《办法》第五条第一款确立的基本义务。只要企业属于重要数据处理者，就不应将风险评估理解为偶发性、临时性或者被监管要求后才开展的工作，而应将其纳入年度数据合规计划，形成年度评估、报告编制、内部审查、报告报送和问题整改的常态化机制。

但年度评估并不是唯一情形。《办法》第五条第二款进一步规定，重要数据安全状态发生重大变化，可能对数据安全造成不利影响的，应当及时对发生变化及其影响的部分开展风险评估。由此可见，重要数据安全风险评估至少包括两类情形：一类是年度评估，即重要数据处理者每年都要开展一次，对其重要数据处理活动进行整体性、周期性评估；另一类是重大变化触发的专项评估，即当重要数据安全状态发生重大变化，并可能对数据安全造成不利影响时，企业应当及时对发生变化及其影响部分开展专项风险评估。

实务中，可能触发专项评估的情形包括重要数据处理系统发生重大改造，重要数据处理目的、方式、范围发生实质变化，重要数据向新的第三方提供，重要数据委托处理关系发生重大变化，重要数据出境场景发生变化，重要数据存储地点、系统架构或者安全控制措施发生重大变化，企业并购、业务重组、系统迁移导致重要数据控制关系或者流向发生重大变化，以及发生重要数据泄露、篡改、损毁、非法获取或者非法利用事件等。企业不能只在每年固定时间做一次形式化评估，而应建立“年度评估+触发式专项评估”的双轨机制。

08.一般数据处理者三年一次是否是强制义务？

《办法》第五条第三款使用的是“鼓励”表述，即鼓励一般数据处理者至少每3年开展一次风险评估。

因此，从规范性质上看，一般数据处理者至少每3年开展一次风险评估，属于倡导性、引导性要求，不宜直接等同于重要数据处理者每年度风险评估的强制义务。但这一规定仍然有重要意义：它表明网络数据安全风险评估制度并不只服务于重要数据处理者，即使企业不处理重要数据，风险评估仍然是数据安全治理的重要工具；它也可能逐步成为行业实践基线，对于数据规模较大、数据处理活动复杂、外部合作频繁、客户审查严格的企业，即使不处理重要数据，也可能被客户、合作方、审计机构、投资人或者监管部门要求说明其数据安全风险评估情况。

此外，周期性风险评估还可以帮助企业提前发现重要数据识别风险。部分企业在未进行数据分类分级前，可能误认为自己只处理一般数据。通过三年一次或不定期风险评估，可以及时发现数据类型、数据规模、数据流向和风险等级变化。因此，一般数据处理者可以不按照重要数据处理者的年度强制评估要求执行，但仍建议建立适度的周期性评估机制，并在高风险业务变化、数据安全事件、重大系统调整、数据出境、委托处理、数据共享开放等场景下开展专项评估。

09.企业可以自己开展风险评估吗？

可以。《办法》第七条第一款规定，网络数据处理者可以自行或者委托第三方评估机构开展风险评估。第七条第二款进一步规定，网络数据处理者自行开展风险评估的，应当指定专人负责。

这意味着，《办法》并没有要求所有风险评估都必须由外部机构完成。对于具备数据安全、网络安全、法务合规、内控审计等专业能力的企业，可以自行组织开展风险评估。但自行评估不等于简单自查，更不等于由信息技术部门出具一份安全说明。企业自行评估仍应当具备完整的评估方案、评估负责人、评估范围和评估依据，并以数据资产和处理活动清单、数据分类分级和重要数据识别结果为基础，通过业务访谈、系统核验、制度审查、第三方管理审查等程序，形成风险识别、风险分析和风险评价结论，最终落实为问题清单、整改计划、整改跟踪机制、评估报告和支撑底稿。

自行评估更适合数据处理场景相对清晰、内部数据合规团队和安全团队较成熟、数据资产管理基础较好的企业。对于重要数据范围较广、业务场景复杂、外部数据流转频繁或者需要较强外部可采信度的企业，则可以考虑委托第三方评估机构开展评估。

10.企业可以委托第三方机构开展风险评估吗？

可以。《办法》第七条第一款明确规定，网络数据处理者可以委托第三方评估机构开展风险评估。第七条第二款规定，网络数据处理者委托评估机构开展风险评估的，应当通过订立合同或者其他具有法律效力的文件等方式明确双方的权利、义务等。

需要特别注意的是，《办法》第十条要求评估机构公正客观地作出风险判断，并对其出具的风险评估报告真实性、有效性、完整性负责；第十一条规定评估机构不得转委托；第十四条要求评估机构及其工作人员对评估过程中获得的数据、商业秘密、保密商务信息等依法保密，并在评估结束后及时删除或者按照合同约定妥善处置相关信息。

这些规定意味着，企业委托第三方评估机构时，不能只关注报价和报告模板，还应关注评估机构专业能力、独立性、保密能力、数据处理安全能力和报告质量控制机制。同时，企业也不能因为委托第三方机构而免除自身的数据安全责任。评估机构提供的是专业评估服务，数据安全保护义务仍然由网络数据处理者承担。

11.什么情况下监管部门会要求企业委托评估？

《办法》第十七条规定，省级以上网信部门、电信主管部门、公安机关和其他有关部门，在风险评估报告核验、监督检查等工作中发现特定情形的，可以要求网络数据处理者委托通过认证的评估机构开展风险评估。这些情形包括：网络数据处理活动存在较大安全风险，可能危害国家安全、公共利益；发生网络数据安全事件，导致重要数据或者大规模个人信息泄露、被窃取；以及有关部门规定的其他情形。

这里需要注意三个问题。第一，这不是监管部门直接替企业指定某一家评估机构，而是监管部门可以要求企业委托“通过认证的评估机构”开展风险评估。第二，这类评估通常发生在风险较高或者已经发生安全事件的场景下，与企业自行开展的年度评估不同，具有更强的监管处置属性。第三，《办法》第十七条还规定，对同一网络数据安全事件或者风险，不得重复要求网络数据处理者委托评估机构开展风险评估。这一规定有助于避免对同一事件、同一风险进行重复评估，降低不必要的合规负担。

企业如被监管部门要求委托评估，还应注意《办法》第十八条规定的配合义务：企业应为评估机构提供必要支持，包括必要的访问网络数据设施、网络数据、系统及操作日志记录权限；在限定时间内完成风险评估；完成评估后将评估机构出具的风险评估报告报送有关部门；并按照要求对评估中发现的问题进行整改，在整改完成后15个工作日内报送整改情况报告。此外，《办法》第十八条还明确，网络数据处理者不得以任何方式要求或者示意评估机构出具不实或者不当的风险评估报告。

12.风险评估报告什么时候报送？

《办法》第十六条第一款规定，重要数据处理者应当在年度风险评估完成后的20个工作日内，按照有关主管部门要求向其报送风险评估报告。这说明，重要数据处理者的年度风险评估不是只需内部留存，而是存在明确的报告报送义务。

企业需要重点关注“20个工作日”这一期限。该期限从年度风险评估完成后开始起算。因此，企业在年度合规计划中不能只安排评估启动时间，还应倒排评估完成时间、报告定稿时间、内部审批时间和正式报送时间。较为稳妥的年度安排可以按照以下时间轴设计：

注：上述时间表为年度风险评估工作建议安排。企业可根据主管部门报送要求、行业监管实践、业务复杂程度及是否委托第三方机构适当提前启动；如重要数据安全状态发生重大变化，应及时对发生变化及其影响部分开展专项风险评估，不受年度时间表限制。

对于大型集团企业，还应进一步考虑不同主体、不同业务板块、不同区域公司是否分别构成重要数据处理者，风险评估报告是统一编制、分主体编制，还是采取集团统筹、主体分别确认和报送的方式。这些问题都需要在评估启动前确定，否则容易影响后续报送期限。

13.风险评估报告报送给谁？

《办法》第十六条第一款规定，重要数据处理者应当按照有关主管部门要求向其报送风险评估报告；主管部门不明确的，向省级网信部门或者国家网信部门报送。

因此，报送对象的基本规则是：有明确行业主管部门的，按照有关主管部门要求报送；主管部门不明确的，向省级网信部门或者国家网信部门报送。

《办法》第十六条第二款进一步要求，有关主管部门应当公开风险评估报告报送渠道和联系方式，及时接收重要数据处理者报送的风险评估报告，并自收到风险评估报告之日起10个工作日内将报告通报同级网信部门。国家网信部门汇总相关报告，并与国务院电信、公安、国家安全等有关部门共享。这一规则体现了“行业主管部门主责、网信部门统筹协调、相关部门共享”的监管机制。

对企业而言，实务上应提前确认企业所属行业是否已有明确主管部门和报送路径，所在地省级网信部门是否已经公开风险评估报告报送渠道和联系方式，以及集团企业或者跨行业企业是否涉及多个主管部门、是否需要分别沟通报送路径。对于业务类型复杂的企业，尤其是同时涉及金融、医疗、教育、交通、工业、互联网平台等多类业务的集团企业，报送对象和报送路径可能比单一主体企业更复杂，应提前进行监管沟通和内部统筹。

14.风险评估报告要保存多久？

《办法》第十五条第一款规定，重要数据处理者开展年度风险评估，应当依法按照有关主管部门规定编制风险评估报告；有关主管部门对风险评估报告没有规定的，可以参照数据安全风险评估有关国家标准编制风险评估报告；风险评估报告至少保存3年。

因此，重要数据处理者至少应当保存最终版风险评估报告3年。但从实务角度看，只保存最终报告是不够的。因为《办法》第十六条第三款规定，省级以上网信部门、电信主管部门、公安机关、国家安全机关和其他有关部门，可以对重要数据处理者的风险评估报告真实性、准确性进行检查核验，重要数据处理者应当配合开展检查核验。

如果监管部门核验报告真实性、准确性，企业仅提供最终报告，而无法提供支撑报告结论的工作底稿、数据清单、访谈记录、系统核验记录和整改证据，报告的可采信度将受到影响。因此，企业建议同步留存以下材料：

从合规证据链角度看，风险评估报告不是一个孤立文件，而是企业数据安全治理能力的集中呈现。没有底稿、没有整改、没有留痕的报告，难以应对后续监管核验。

15.网络数据安全风险评估和个人信息保护合规审计有什么相同和不同？

网络数据安全风险评估与个人信息保护合规审计在制度结构上具有相似性，因此可以用企业较为熟悉的个保合规审计制度来理解新的网络数据安全风险评估制度。

《个人信息保护合规审计管理办法》第二条第二款规定，个人信息保护合规审计，是指对个人信息处理者的个人信息处理活动是否遵守法律、行政法规的情况进行审查和评价的监督活动。其第三条规定，个人信息处理者自行开展个人信息保护合规审计的，应当由内部机构或者委托专业机构定期开展。第五条规定，在个人信息处理活动存在较大风险、可能侵害众多个人权益，或者发生达到一定规模的个人信息安全事件时，保护部门可以要求个人信息处理者委托专业机构开展合规审计。

与之相比，《办法》第二条规定的是对网络数据和网络数据处理活动安全进行风险识别、分析和评价；第七条规定网络数据处理者可以自行或者委托第三方评估机构开展风险评估；第十七条规定在特定高风险场景下，监管部门可以要求网络数据处理者委托通过认证的评估机构开展风险评估。二者的主要异同如下：

二者不是替代关系，而是并行关系。对于同时处理大量个人信息和重要数据的企业，未来可能同时面对个人信息保护合规审计和网络数据安全风险评估。前者关注个人信息处理合法性、个人权益保护、告知同意、自动化决策、委托处理、共同处理、个人信息保护影响评估等问题；后者关注数据安全风险、重要数据识别、重要数据流向、重要数据安全状态变化、第三方接收方能力、报告报送和监管核验等问题。

但二者又可以共享大量基础工作。例如，数据资产清单、处理活动清单、系统清单、第三方清单、数据流转图、安全管理制度、应急预案、权限管理和日志管理资料，都可以同时支撑个保合规审计和网络数据安全风险评估。因此，企业不应为每一项新规单独建立一套孤立流程，而应以数据资产梳理和数据分类分级为底座，统筹开展个人信息保护合规审计、重要数据安全风险评估、数据出境安全评估、网络安全等级保护测评、商用密码应用安全性评估和日常数据安全治理。

结语：企业数据合规正在进入“可核验时代”

The content of this article is intended to provide a general guide to the subject matter. Specialist advice should be sought about your specific circumstances.