网络数据安全风险评估办法：适用范围、报送时限与正式稿变化

先判断评估类型，不要先套报告模板

第2条覆盖境内网络数据及其处理活动的风险识别、分析和评价。第5条年度义务以重要数据处理者身份为前提，本办法没有把全部数据都认定为重要数据。评估档案应保留行业目录、告知或其他分类依据。

2025年征求意见稿仅用于版本研究，不是另一套现行合规路径。草案报告附件及结果互认条款不能当作已通过的规定。当前流程应以正式文本和8月实施问答为依据。

三类评估的触发条件不同

第5条保留年度评估，并另设变化触发义务。重要数据安全状态发生重大变化、可能对安全造成不利影响时，应及时评估变化及其影响的部分，不能一律等到下一年度。

一般数据处理者至少每3年评估一次属于鼓励性规定，不是普遍强制期限。第17条主管部门要求的评估是另一条路径，针对规定风险或事件，并非只处理年度例行工作。

机构选择、轮换与访问权限

第7条允许指定专人自行评估，或委托第三方。第8条鼓励认证，不意味着所有自愿委托都必须使用认证机构；第17条另行授权主管部门在规定情形下要求委托认证机构。8月问答说明认证申请渠道，并未要求全部评估外包。

第10—14条要求客观报告、禁止转委托并保护评估信息。第12条规定同一机构及其关联机构不得连续3次以上开展同一处理者的年度评估。签约前应核对关联关系及过往年度承接记录。

作为本站原创采购检查表，建议明确评估范围、责任人员、独立性、必要访问、证据处理、风险通报和结束后的信息处置。第14条允许及时删除或按合同妥善处置，不等于可以无限留存；第15条至少保存3年评估报告是另一项要求。

不要混淆20、10和15个工作日

年度报告报送从年度评估完成后起算，不是从办法发布或生效日计算。应保留完成记录、主管部门要求和报送凭据，不要把自然日直接当作工作日。

主管部门不明确时，第16条规定向省级网信部门或国家网信部门报送。8月问答提供咨询联系方式；应通过该官方页面确认当前接收渠道，不自行猜测邮箱或假定存在统一申报门户。

按现行要求组织报告与证据

第6条要求依照《数据安全法》《网络数据安全管理条例》，参照有关国家标准开展评估；主管部门有行业、领域规定的，从其规定。第15条要求按主管部门规定编制报告，无规定时可参照有关国家标准。正式办法未沿用草案附带的报告模板。

下表是原创证据组织建议，不是官方必填表。目的在于使结论可复核：每项问题应关联处理活动、发现的弱点、可能后果、处置措施和支撑证据。仅复制制度文本，不能证明措施已实际运行。

主管部门要求委托评估时

第17条涵盖存在较大安全风险且可能危害国家安全、公共利益，事件导致重要数据或大规模个人信息泄露、被窃取，以及有关部门规定的其他情形。正式稿使用可以要求的表述，不应把每项内部问题都当作自动外包触发条件；同一事件或风险不得被重复要求委托评估。

按第18条提供必要支持和访问权限，在限定时间内完成，复杂情况需批准延期；报送由机构主要负责人、评估负责人签字并盖章的报告，整改完成后15个工作日内报送整改情况。不得要求机构修改不利结论。草案中承担评估费用的明示文字删除，不等于委托服务变成免费。

新旧变化及不能相互替代的工作

正式稿延长年度报告报送期、调整报告编制依据，将机构轮换限定到年度评估，并允许按合同妥善处置信息；同时未保留草案明确的结果互认条款。证据可以为不同工作提供参考，但不能依据正式办法主张草案中的概括性互认安排。

网络数据风险评估不是数据出境许可，也不替代个人信息保护影响评估、个人信息保护合规审计或行业专项评估。第23条保留核心数据专门安排，并规定涉及重要数据加密等措施时按密码相关法律法规开展商用密码应用安全性评估；第24条保留保密要求。应分别列明适用义务和成果，不能把一份报告重命名为全部工作的批准文件。

两个原创安排示例

示例一：重要数据处理者完成年度评估后，需要确认报告接收部门。年度报送仍从评估完成后计算；应记录咨询过程，主管部门不明确时依规定向省级或国家网信部门报送，不能把不确定性当作自动延期。

示例二：一般数据处理者采用3年内部复核周期。这是第5条鼓励性安排下的自主计划，不代表其他安全义务暂停3年；若发生符合条件的事件并被依第17条要求评估，应转入认证机构评估流程并遵守指定期限。以上为流程示例，不是对真实机构的判断。

官方来源与修订

• 正式办法，第24号令（第1—25条）
• 2025年12月征求意见稿（第1—25条及附件）
• 2026年8月20日实施问答（问题1—2）

2026-09-28: 以评估类型、三类时限、机构控制、报告证据、实施问答和原创示例替换短概述。重新核对正式稿与草案，关联双语条款比较。

示例与工作表为本站原创研究辅助材料，并非官方表格或法律意见。

继续研究

• 草案与正式稿逐项比较
• 重要数据来源地图
• 影响评估与合规审计的边界