English | 中文
卓纬研究
当前位置：卓纬研究 / 卓纬研究 / 正文
从原则到操作：《网络数据安全风险评估办法》的制度创新与合规影响
日期：2026/8/12

2026年6月18日，国家互联网信息办公室、工业和信息化部、公安部联合公布《网络数据安全风险评估办法》（以下简称《办法》）[1]，自2026年8月20日起施行。这是我国首部专门针对数据安全风险评估活动的部门联合规章，标志着数据安全风险评估从法律原则走向操作落地。在《办法》即将施行之际，本文尝试对其制度框架、核心创新与合规影响作一系统梳理。


一、出台背景：从宏观原则到操作规范的制度跃迁


《办法》的出台并非孤立的立法行为，而是我国数据安全治理体系持续深化的必然产物。
从宏观政策层面看，《中华人民共和国国民经济和社会发展第十五个五年规划纲要》明确提出，实施数据分类分级管理，提升数据安全保护能力。这一顶层设计为数据安全治理的制度细化提供了政策依据。
从法律依据看，《中华人民共和国数据安全法》（以下简称《数据安全法》）[2]第三十条规定，重要数据的处理者应当按照规定对其数据处理活动定期开展风险评估，并向有关主管部门报送风险评估报告。《网络数据安全管理条例》[3]第三十三条进一步明确，重要数据的处理者应当每年度对其网络数据处理活动开展风险评估；第四十八条规定，各有关主管部门承担本行业、本领域网络数据安全监督管理职责，定期组织开展本行业、本领域网络数据安全风险评估。
然而，上位法的原则性规定在实践中面临“最后一公里”的落地难题。正如有专家指出，在《数据安全法》《网络数据安全管理条例》等法律法规确立网络数据风险评估宏观框架的基础上，亟须通过配套规章将原则性要求转化为具象化的操作规范。《办法》的出台，正是为了解决企业网络数据安全风险评估“谁来管、怎么评、如何用”的实践难题。
《办法》的制度定位可以从三个维度理解：其一，它是落实党中央、国务院关于数据安全治理工作部署和法律法规要求的重要举措；其二，它旨在规范网络数据安全风险评估活动，完善数据安全管理体制机制，以数据安全保障数据开发利用和产业发展；其三，它是继《网络安全法》[4]、《数据安全法》[2]、《个人信息保护法》[5]、《网络数据安全管理条例》[3]以及《促进和规范数据跨境流动规定》[6]（国家互联网信息办公室令第16号）之后，我国数据安全治理体系中的又一重要制度性文件。
从“原则性立法”到“操作性规程”，《办法》的出台意味着我国数据安全治理迈入了一个新阶段——风险评估不再停留在法律条文中的抽象要求，而是转化为具有明确主体、时限、流程、标准和法律后果的可执行制度。


二、制度框架：二十五条构建的全景式操作规范


《办法》正文共二十五条，以“规范评估活动、保障数据安全、促进数据利用”为目标，构建了“分层分类义务—多元评估主体—强制触发机制—跨部门协同监督—法律责任兜底”的完整制度链条。
（一）适用范围与核心概念
《办法》明确，在中华人民共和国境内开展网络数据安全风险评估，应当遵守本办法。这一规定确立了《办法》的地域适用原则。
《办法》对“网络数据安全风险评估”作出了明确界定——是指对网络数据和网络数据处理活动安全进行的风险识别、风险分析和风险评价等活动。这一定义包含三个关键词：网络数据（评估对象）、网络数据处理活动（评估场景）、风险识别、风险分析和风险评价（评估活动的三个环节）。
（二）监管体制：谁管业务、谁管业务数据、谁管数据安全
《办法》确立了“在国家数据安全工作协调机制指导下，国家网信部门会同国务院电信、公安等有关部门建立网络数据安全风险评估专项工作机制，指导、监督风险评估工作”的监管框架。
在部门职责分配上，《办法》明确了“谁管业务、谁管业务数据、谁管数据安全”的原则。有关主管部门定期组织开展本行业、本领域风险评估，根据工作需要对本行业、本领域重要数据处理者开展风险评估情况进行检查，并于每年1月底前将年度风险评估检查计划报送国家网信部门。国家网信部门通过国家数据安全工作协调机制将计划与国务院电信、公安、国家安全等有关部门共享并进行协调，避免不必要的检查和交叉重复检查。有关主管部门开展检查不得向被检查的重要数据处理者收取费用。
值得特别注意的是，《办法》明确要求“对同一网络数据安全事件或者风险，不得重复要求网络数据处理者委托评估机构开展风险评估”。这一规定旨在从制度层面防止多头监管带来的企业合规负担过重问题。
（三）分层分类的评估义务体系
《办法》最核心的制度创新之一，是建立了分层分类的评估义务体系。
第一层：重要数据处理者的“年度评估+动态评估”双重义务。《办法》第五条规定，重要数据处理者应当每年度开展风险评估。同时，重要数据安全状态发生重大变化可能对数据安全造成不利影响的，应当及时对发生变化及其影响的部分开展风险评估。这一“年度评估+动态评估”的双重义务设计，既保证了评估的常态化覆盖，又兼顾了风险状态的动态变化。
所谓“安全状态重大变化”，在实践中可能涵盖数据量级骤增、处理目的变更、跨境传输场景变化、新技术应用（如引入AI模型训练）等多种情形。这一弹性条款为动态风险评估提供了法律依据，但也对企业的风险识别能力提出了更高要求。
第二层：一般数据处理者的鼓励性评估。《办法》鼓励处理一般数据的网络数据处理者至少每3年开展一次风险评估。这一规定采取了鼓励而非强制的立场，体现了差异化监管的思路——既不对一般数据处理者施加过重的合规负担，又通过制度引导推动其逐步建立风险评估能力。
有学者指出，这一分层设计与《数据安全法》[2]第二十一条的数据分类分级制度一脉相承，实现了监管资源与风险等级的精准匹配。这一设计理念值得肯定——在数据安全治理中，“一刀切”的监管方式既不经济也不现实，基于风险等级的差异化监管是更为理性的制度选择。
（四）评估的实施机制：自评与第三方双轨并行
《办法》第七条规定，网络数据处理者可以自行或者委托第三方评估机构开展风险评估。这一“双轨制”设计赋予了网络数据处理者根据自身技术能力、业务规模及风险状况选择评估路径的自主权。
对于自行开展风险评估的，《办法》要求应当指定专人负责。对于委托第三方评估机构开展的，应当通过订立合同或者其他具有法律效力的文件等方式明确双方的权利、义务。
这一制度设计的立法目的在于避免强制要求引入第三方机构给中小微企业带来过高的业务合规成本。从实际效果看，大型企业可能更倾向于委托专业机构以获取更具公信力的评估报告，而中小微企业则可能选择自行评估以控制成本。这种灵活性有助于实现合规资源的最优配置。
（五）评估的技术标准支撑
《办法》第六条规定，风险评估工作应当按照《数据安全法》[2]、《网络数据安全管理条例》[3]有关要求，参照数据安全风险评估有关国家标准开展。
国家网信办有关负责人在答记者问中明确提到了两项核心国家标准[7]：
一是2025年11月1日实施的推荐性国家标准《数据安全技术 数据安全风险评估方法》（GB/T 45577-2025）[8]，该标准明确了数据安全风险评估的实施流程、评估内容、分析评价方法以及评估报告模板等。该标准于2025年4月25日发布，首次从国家层面确立了数据安全风险评估的通用方法，融合了“合规导向+技术实操”理念。
二是2025年10月1日实施的推荐性国家标准《数据安全技术 数据安全评估机构能力要求》（GB/T 45389-2025）[9]，明确了评估机构的基础条件、管理能力、技术能力、人力资源能力、场所与设备资源能力等要求。
对于有关主管部门对本行业、本领域风险评估工作没有规定的，可以参照上述标准开展风险评估、建设相应能力；对于另有规定的，可以按照相关规定，参照行业领域标准规范开展风险评估。
（六）与数据出境安全评估的制度衔接：16号令与《办法》的比较
在讨论《办法》的制度设计时，有必要将其与此前已施行的《促进和规范数据跨境流动规定》（国家互联网信息办公室令第16号，以下简称“16号令”）[6]加以比较。两者均以《数据安全法》《个人信息保护法》为上位法依据，均由同一主管部门（国家网信部门）主导制定，但在规制对象、制度目标和操作逻辑上存在显著差异。
16号令发布于2024年3月22日[6]，全文共14条[7]，核心目标是调整和优化数据出境安全评估、个人信息出境标准合同、个人信息保护认证等数据出境制度的实施。其制度逻辑可以概括为“出境豁免为主、安全评估为例外”——通过设定明确的豁免场景和数量门槛，大幅降低企业数据出境的合规负担。例如，16号令将需要申报数据出境安全评估的个人信息数量门槛从此前《数据出境安全评估办法》[10]的“自上年1月1日起累计向境外提供10万人个人信息”提高至“自当年1月1日起累计向境外提供100万人以上个人信息（不含敏感个人信息）或1万人以上敏感个人信息”；同时明确，未被相关部门告知或公开发布为重要数据的，数据处理者不需要作为重要数据申报数据出境安全评估。此外，16号令还设立了自由贸易试验区数据出境负面清单制度，为区内企业提供了更为便利的数据出境通道。有学者将16号令的核心精神概括为“促进数据依法有序自由流动”——将“促进”置于“规范”之前，体现了对数据流动的鼓励态度。
《办法》的制度逻辑则与16号令形成对照。《办法》规制的是所有网络数据处理者的风险评估活动，而非仅限于数据出境场景。其核心目标是将上位法中的风险评估原则转化为可操作的程序性规范，建立“年度评估+动态评估”的常态化风险评估机制。两者的主要差异可以归纳如下：
图片
两者的关系可以理解为：16号令解决的是“什么情况下需要评估”的门槛问题（出境场景下的触发条件），而《办法》解决的是“如何进行评估”的程序问题（所有场景下的操作规范）。对于涉及数据出境的重要数据处理者而言，这两套制度需要叠加适用——既需要依据16号令判断是否触发数据出境安全评估，又需要依据《办法》完成年度风险评估。正如《网络数据安全管理条例》[3]第五十二条第二款所要求的，“个人信息保护合规审计、重要数据风险评估、重要数据出境安全评估等应当加强衔接，避免重复评估、审计”——在实践中，如何实现16号令框架下的出境安全评估与《办法》框架下的年度风险评估之间的有效衔接与结果互认，仍有待进一步的制度细化和操作指引。


三、评估机构管理：独立性保障与市场培育

评估机构的独立性和专业性是风险评估制度有效运行的关键前提。《办法》第七条至第十四条构建了一套较为完整的评估机构管理制度。
（一）认证鼓励与市场培育
《办法》第八条鼓励相关评估机构通过认证，认证按照《中华人民共和国认证认可条例》[11]的有关规定执行。第九条进一步明确，在国家数据安全工作协调机制指导下，国家网信部门和国务院电信、公安等有关部门积极促进网络数据安全风险评估服务的发展，培育评估机构。
这一“认证鼓励+市场培育”的组合拳，既通过认证制度为评估服务质量提供了底线保障，又通过政策引导推动评估服务市场的健康发展。
（二）独立性保障机制
为确保评估的独立性和客观性，《办法》设计了多重保障机制：
禁止转委托（第十一条）：评估机构不得转委托其他机构开展风险评估。这一规定直指当前安全评估市场“层层转包”的乱象。在实践中，转委托往往导致评估质量失控、责任主体模糊等问题，禁止转委托有助于压实评估机构的第一责任。
强制轮换制度（第十二条）：同一评估机构及其关联机构不得连续3次以上对同一网络数据处理者开展年度风险评估。这是审计轮换制度在数据安全风险评估领域的实务运用，旨在防止评估机构与企业形成利益共同体，确保评估的独立性和客观性。从制度设计看，强制轮换以3次为限，既避免了频繁更换带来的效率损耗，又有效防范了长期绑定导致的独立性侵蚀。
保密义务与数据处置（第十四条）：评估机构及其工作人员应当对在风险评估过程中获得的数据、商业秘密、保密商务信息等依法予以保密，不得泄露或者非法向他人提供，在风险评估结束后及时删除或者按照合同约定妥善处置相关信息。这一规定对AI领域的评估尤为重要——评估过程中评估人员可能接触到模型架构、训练方法、参数配置等核心知识产权，保密要求因此具有特殊意义。
（三）评估机构的责任与义务
《办法》第十条规定，评估机构开展风险评估应当遵守法律法规，公正客观地作出风险判断，并对所出具的风险评估报告真实性、有效性、完整性负责。第十三条要求，评估机构在风险评估过程中发现网络数据处理活动存在重大数据安全风险的，应当及时通知网络数据处理者。
这些规定将评估机构的角色从单纯的“服务提供者”提升为“风险发现者”和“风险预警者”，赋予了评估机构在数据安全治理中更为积极的职能。


四、监管强制评估：穿透监管的刚性工具


除常规的年度评估外，《办法》还赋予了监管部门在特定情形下要求企业开展强制评估的权力，这是穿透式监管理念在数据安全领域的具体体现。
（一）触发条件
《办法》第十七条规定，省级以上网信部门、电信主管部门、公安机关、国家安全机关和其他有关部门在三种情形下可以要求网络数据处理者委托通过认证的评估机构开展风险评估：
一是数据处理活动存在较大安全风险，可能危害国家安全、公共利益的；
二是发生数据安全事件，导致重要数据或大规模个人信息泄露、被窃取的；
三是有关部门规定的其他情形。
（二）企业的配合义务
《办法》第十八条进一步规定了网络数据处理者在强制评估中的四项义务：
一是提供必要的访问权限，包括网络数据设施、系统及操作日志记录等；
二是在限定时间内完成评估，情况复杂的经批准可延长；
三是报送由机构主要负责人和评估负责人签字并加盖公章的报告；
四是按要求整改并在完成后15个工作日内报送整改报告。
（三）整改闭环与底线管控
《办法》建立了从“评估—报告—检查—整改—复查”的完整闭环机制。重要数据处理者应当在年度风险评估完成后的20个工作日内按照有关主管部门要求向其报送风险评估报告。有关主管部门应当公开风险评估报告报送渠道和联系方式，自收到风险评估报告之日起的10个工作日内将报告通报同级网信部门（第十六条）。
对于拒不整改或者未达到整改要求的重要数据处理者，有关部门可以采取要求其停止处理重要数据等措施。这为监管部门提供了实质审查与底线管控的刚性手段。


五、合规影响：企业面临的挑战与应对


《办法》自2026年8月20日起施行，留给企业的准备时间不足三个月。对于不同类型的数据处理者，《办法》带来的合规影响有所不同。
（一）重要数据处理者：合规压力最为直接
对于重要数据处理者而言，《办法》带来的合规要求最为直接和紧迫：
年度评估义务：必须在每个年度内完成一次完整的风险评估，并在完成后20个工作日内向有关主管部门报送报告。这意味着重要数据处理者需要建立常态化的评估工作机制，而非临时应对。
动态评估义务：当重要数据安全状态发生重大变化时，需要及时对发生变化及其影响的部分开展评估。这对企业的风险监测和快速响应能力提出了要求。
报告保存义务：风险评估报告至少保存3年。
整改闭环义务：对评估中发现的问题进行整改，并在整改完成后15个工作日内报送整改情况报告。
配合检查义务：有关主管部门可以对重要数据处理者的风险评估报告进行检查核验，企业需予以配合。
（二）一般数据处理者：合规压力相对较轻
对于一般数据处理者而言，《办法》采取的是鼓励性立场——鼓励至少每3年开展一次风险评估。这并非强制性义务，但考虑到数据安全风险的现实性和监管趋势，主动建立评估能力可能是更为明智的选择。
（三）跨国企业的特殊挑战
对于在华运营的跨国企业，尤其是涉及重要数据处理的跨国企业，《办法》带来的挑战更为复杂：
重要数据的识别难题：重要数据的具体目录尚在陆续制定中，企业在判断自身是否属于“重要数据处理者”时面临不确定性。
评估与数据出境的衔接：《网络数据安全管理条例》[3]第五十二条第二款已明确规定，个人信息保护合规审计、重要数据风险评估、重要数据出境安全评估等应当加强衔接，避免重复评估、审计。但在实际操作中，如何实现不同评估之间的有效衔接和结果互认，仍有待进一步明确。
集团化管理的合规成本：对于在境内拥有多个实体的跨国企业集团，如何在集团层面统筹协调各实体的风险评估工作，同时满足各主管部门的报送要求，是一个现实的管理难题。
（四）评估服务市场的机遇与挑战
《办法》的出台也为网络数据安全风险评估服务市场带来了新的发展机遇。随着重要数据处理者年度评估义务的刚性化，对专业评估机构的需求将显著增长。同时，《办法》对评估机构的认证、独立性、保密义务等提出了明确要求，这将推动评估服务市场的规范化发展。
然而，当前评估机构的能力储备是否足以支撑市场的快速扩张，评估服务的定价机制和质量标准如何建立，评估机构的法律责任边界如何界定——这些问题仍有待市场和实践的进一步检验。


六、制度前瞻：数据安全治理的深化方向


《办法》的出台标志着我国网络数据安全治理全面迈入精细化、标准化的新阶段。展望未来，以下几个方向值得关注：
（一）重要数据目录的逐步完善
《办法》的有效实施高度依赖于“重要数据”的明确界定。目前，各行业、各领域的重要数据目录尚在陆续制定中。随着重要数据目录的逐步完善，重要数据处理者的范围将更加清晰，《办法》的适用也将更加精准。
（二）评估标准体系的持续健全
《办法》明确参照数据安全风险评估有关国家标准开展评估工作。随着GB/T 45577-2025[8]和GB/T 45389-2025[9]的深入实施，以及更多行业标准和细分领域标准的出台，评估工作的技术支撑将更加完善。
（三）评估结果的多场景应用
《办法》推动形成“评估发现风险、报告呈现风险、整改化解风险”的网络数据安全风险治理闭环。未来，风险评估结果可能在更多场景中得到应用——例如作为企业数据安全能力的第三方证明、作为数据出境安全评估的参考依据、作为网络安全等级保护的补充等。
（四）与相关制度的协同衔接
《办法》与《数据出境安全评估办法》[10]、《个人信息保护合规审计管理办法》[12]等制度之间如何实现有效衔接，避免重复评估、重复审计，是企业普遍关心的问题。未来在这一领域的制度协调和操作指引值得期待。


七、结语


《办法》的出台，是我国数据安全治理从“宏观原则”走向“精细标尺”的关键一步。它以二十五条的篇幅，为网络数据安全风险评估搭建了从“谁来管”到“怎么评”再到“如何用”的完整制度框架。
对于网络数据处理者而言，《办法》划出了一道清晰的合规分水岭——重要数据处理者每年必须完成一次完整的风险评估；一般数据处理者虽无强制要求，但政策鼓励至少每三年开展一次评估。更重要的是，拒不整改或整改不到位的，有关部门可责令停止处理重要数据——这已不是简单的罚款了事，而是触及了企业的核心业务。
《办法》推动数据安全从“外部约束”向“内生需求”转变。通过构建体系化、包容性的合规规范，《办法》在现有法律法规的框架要求下，实现了合规资源优化配置与高水平风险防范的有机统一。它将督促广大网络数据处理者将数据安全风险防控关口前移，进一步加强网络数据保护，为释放数据潜能保驾护航。
当然，《办法》的有效实施仍有赖于配套制度的持续完善和监管实践的不断探索。重要数据目录的明确、评估标准的细化、跨部门协同的深化、国际实践的借鉴——这些都是《办法》从“纸面上的制度”走向“实践中的规范”所必经的路径。正如有专家所言，《办法》的出台将督促网络数据处理者对整体业务的网络数据安全风险状况形成清晰、完整的认知，准确辨识不同数据处理环节中存在何种类型、何种等级的安全威胁，进而做到设置针对性的技术措施与管理流程——这或许正是《办法》最根本的制度追求。
值得特别关注的是，《办法》与此前施行的《促进和规范数据跨境流动规定》（16号令）[6]在制度衔接上仍有待明确。前者要求重要数据处理者每年开展一次全面的风险评估，后者则在前端设定了数据出境安全评估的触发门槛和豁免条件。对于同时涉及重要数据处理和数据出境的企业而言，两套评估制度如何避免重复、如何实现结果互认，是未来制度实践中亟需回答的问题。这一衔接难题的解决，将直接影响《办法》的实施效果和企业的实际合规成本。


参考文献（滑动查看）

[1] 《网络数据安全风险评估办法》（国家互联网信息办公室、工业和信息化部、公安部令第24号），2026年6月18日公布，自2026年8月20日起施行。

https://www.cac.gov.cn/2026-06/18/c_1783525609815499.htm

[2] 《中华人民共和国数据安全法》（2021年6月10日第十三届全国人民代表大会常务委员会第二十九次会议通过）。

https://www.npc.gov.cn/npc/c2/c30834/202106/t20210611_311658.html

[3] 《网络数据安全管理条例》（国务院令第789号），2025年1月1日起施行。

https://www.gov.cn/zhengce/content/202501/content_6998550.htm

[4] 《中华人民共和国网络安全法》（2016年11月7日第十二届全国人民代表大会常务委员会第二十四次会议通过）。

https://www.npc.gov.cn/npc/c2/c30834/201611/t20161107_198675.html

[5] 《中华人民共和国个人信息保护法》（2021年8月20日第十三届全国人民代表大会常务委员会第三十次会议通过）。

https://www.npc.gov.cn/npc/c2/c30834/202108/t20210820_312813.html

[6] 《促进和规范数据跨境流动规定》（国家互联网信息办公室令第16号），2024年3月22日公布，自公布之日起施行。https://www.cac.gov.cn/2024-03/22/c_1712776611775634.htm

[7] 《〈网络数据安全风险评估办法〉答记者问》，国家互联网信息办公室，2026年6月18日。

https://www.cac.gov.cn/2026-06/18/c_1783525609948038.htm

[8] 《数据安全技术 数据安全风险评估方法》（GB/T 45577-2025），国家标准化管理委员会2025年4月25日发布，2025年11月1日实施。

https://openstd.samr.gov.cn/bzgk/gb/std?gbtNo=45577-2025

[9] 《数据安全技术 数据安全评估机构能力要求》（GB/T 45389-2025），国家标准化管理委员会2025年4月25日发布，2025年10月1日实施。

https://openstd.samr.gov.cn/bzgk/gb/std?gbtNo=45389-2025

[10] 《数据出境安全评估办法》（国家互联网信息办公室令第11号），2022年7月7日公布，2022年9月1日施行。https://www.cac.gov.cn/2022-07/07/c_1658811536396503.htm

[11] 《中华人民共和国认证认可条例》（国务院令第390号），2003年9月3日公布，自2003年11月1日起施行，后经多次修订。

https://www.gov.cn/gongbao/content/2003/content_62488.htm

[12] 《个人信息保护合规审计管理办法》（国家互联网信息办公室令第20号），2025年5月12日公布，2025年6月1日施行。

https://www.cac.gov.cn/2025-05/12/c_1749013456789012.htm


主要联系人

  • 姜凤纹

    北京
    • 推荐阅读
    分享至：
    打印本文