中文研究版
网络数据安全风险评估办法2025年草案与2026年正式稿比较
Network Data Security Risk Assessment Measures: Draft vs. Final
对照草案与现行正式文本，重点分析报告时限、评估机构、信息处理、监管及未保留条款；对未改变的要求明确注明。本页为原创实质差异分析，不是全文修订对照或官方翻译。
版本变化
重要变化概览
2025年12月6日征求意见稿与2026年6月18日公布、8月20日起施行的第24号令
对照草案与现行正式文本，重点分析报告时限、评估机构、信息处理、监管及未保留条款；对未改变的要求明确注明。本页为原创实质差异分析，不是全文修订对照或官方翻译。
- 年度报告报送从10改为20个工作日；主管部门通报仍是另一个10个工作日时钟。
- 草案报告附件未保留，报告编制改按主管部门规定及有关标准。
- 机构轮换明确针对年度评估，评估信息可及时删除或按合同妥善处置。
- 草案中的重合内容结果互认、提供或委托等活动前评估的参照条款未保留。
来源核验：
适用范围与生效日
- 此前规则摘要
- 草案规定境内风险评估，附另有规定从其规定的概括条款，生效日空缺。
- 对照规则摘要
- 正式稿第2条保留境内活动定义但不含该概括条款；第25条确定2026年8月20日施行。
实际影响：按正式稿执行当前流程，不能因删除概括句就认为上位法或行业规则失效。
草案第2、25条；正式稿第2、25条。
协调与检查
- 此前规则摘要
- 草案第3—5条安排地区、部门评估检查计划及省级统筹。
- 对照规则摘要
- 正式稿第3—4条确立专项工作机制、年度检查计划与避免不必要或重复检查的协调。
实际影响：1月底计划是主管部门工作，不是企业年报期限；主管部门检查不得向被检查的重要数据处理者收费。
草案第3—5条；正式稿第3—4条。
评估周期保留
- 此前规则摘要
- 重要数据年度评估、变化触发评估，以及一般数据3年周期的鼓励安排。
- 对照规则摘要
- 正式稿第5条保留上述区分。
实际影响：此项说明延续性，不要将鼓励变成强制3年义务，也不能对符合条件的重大变化一律等到年评。
草案第6条；正式稿第5条。
方法与标准
- 此前规则摘要
- 草案明确列举GB/T 45577等国家标准。
- 对照规则摘要
- 正式稿第6条参照有关国家标准，不再点名该标准，并保留行业另有规定从其规定。
实际影响：删除标准号不等于废止该标准，仍应核对适用标准和行业规定。
草案第7条；正式稿第6条。
自愿委托与认证
- 此前规则摘要
- 草案对自愿委托提出优先选择认证机构，并规定依标准认证的安排。
- 对照规则摘要
- 第7—8条允许自评或第三方评估，并按认证认可条例鼓励认证。
实际影响：不要主张所有年评必须外包给认证机构；主管部门要求使用认证机构另见第17条。
草案第8—9条；正式稿第7—8条；实施问答1。
报告责任与转委托
- 此前规则摘要
- 草案在一条中合并报告真实、有效、完整责任及不得再委托。
- 对照规则摘要
- 正式稿第10—11条分开规定，禁止转委托仍保留。
实际影响：核对实际实施机构，拆分条款不意味着责任放松。
草案第10条；正式稿第10—11条。
评估机构轮换
- 此前规则摘要
- 草案禁止同一机构及其关联机构连续3次以上评估。
- 对照规则摘要
- 正式稿第12条明确为对同一处理者的连续年度风险评估。
实际影响：应跟踪年度承接及关联机构，不能把所有变化触发复核无差别算成年评。
草案第11条；正式稿第12条。
重大风险通知
- 此前规则摘要
- 草案要求通报处理者并按有关规定向主管部门报告。
- 对照规则摘要
- 正式稿第13条保留及时通知处理者，未保留该句对外报告表述。
实际影响：文字删除不等于豁免其他法律规则中的事件报告义务。
草案第12条第1款；正式稿第13条。
评估信息处置
- 此前规则摘要
- 草案要求评估结束后及时删除相关信息。
- 对照规则摘要
- 正式稿第14条允许及时删除或按合同妥善处置，并保留保密义务。
实际影响：约定合法留存处置与访问边界，区分评估工作数据和第15条要求保存的报告。
草案第12条第2款；正式稿第14条。
报告形式与保存
- 此前规则摘要
- 草案以附件模板为基础，有行业要求从其规定；报告至少保存3年。
- 对照规则摘要
- 正式稿第15条按主管部门规定，无规定时可参照有关标准；未保留附件，至少3年保存要求仍在。
实际影响：不要把征求意见表格作为正式强制模板发布，应取得接收部门当前要求。
草案第13条及附件；正式稿第15条。
年度报告报送
- 此前规则摘要
- 草案要求处理者年度评估完成后10个工作日内报送。
- 对照规则摘要
- 正式稿第16条改为20个工作日；主管部门不明确的，向省级或国家网信部门报送。
实际影响：保留完成和报送凭据；主管部门收到后通报的另一个期限仍为10个工作日。
草案第14条；正式稿第16条；实施问答2。
主管部门要求认证机构评估
- 此前规则摘要
- 草案采用应当要求，并将较大风险、危害国家安全公共利益分别列项。
- 对照规则摘要
- 正式稿第17条改为可以要求，将较大风险与可能危害国家安全公共利益结合；保留事件及其他规定情形。
实际影响：按实际触发条件及要求办理，保留的禁止重复要求针对同一事件或风险。
草案第15条；正式稿第17条。
访问、完成与整改
- 此前规则摘要
- 草案列访问权限和明示承担费用，并要求签字盖章及整改后15个工作日报告。
- 对照规则摘要
- 正式稿第18条明确必要访问，删除承担费用文字；签字盖章及整改后时钟保留。
实际影响：删除费用表述不等于委托免费；15个工作日从整改完成后计算，不从初次发现问题计算。
草案第16条；正式稿第18条。
监管与信息共享
- 此前规则摘要
- 草案整改表述概括涉及网络数据处理者，并规定省级3月底报送风险处置情况。
- 对照规则摘要
- 正式稿第19条针对重要数据处理者的重要数据活动；第20条保留协调但不含上述省级定期报送。
实际影响：不要把删除的部门报送安排变成企业义务；处理者和机构仍依第22条承担法律责任。
草案第17—18、20条；正式稿第19—20、22条。
重合内容结果互认
- 此前规则摘要
- 草案第21条允许风险评估、等保测评、认证、个人信息审计及密码评估重合内容结果相互采信。
- 对照规则摘要
- 正式办法未保留对应的明示互认条款。
实际影响：合法情况下证据仍可能复用，但不能据正式办法主张草案的概括性跨流程互认。
草案第21条；对照正式稿第1—25条。
提供等活动前评估的参照条款
- 此前规则摘要
- 草案第22条规定提供、委托、共同处理重要数据前评估可参照本办法。
- 对照规则摘要
- 该独立参照条款未保留。
实际影响：这不等于废止其他上位或适用文件对这些活动规定的评估义务。
草案第22条；对照正式稿第1—25条。
核心数据与密码评估
- 此前规则摘要
- 草案保留核心数据评估按国家有关规定执行。
- 对照规则摘要
- 正式稿第23条保留该边界，并增加涉及重要数据加密等措施时按密码法律法规开展商用密码应用安全性评估。
实际影响：适用时另行映射密码评估，网络数据评估不能自动替代；第24条仍保留保密要求。
草案第23—24条；正式稿第23—24条。
官方来源
2026-09-28：重新核对草案与正式稿第1—25条及8月实施问答，扩充实质差异并补齐中文。