网络数据安全风险评估办法

风险评估的交付物应能回到具体数据、处理活动和风险证据。本文依据第24号令正式文本和国家网信办实施答问，将周期、机构、报告和整改分开管理。

法规概览

项目	内容
制定机关	国家网信办、工业和信息化部、公安部
公布与施行	2026年6月18日公布，2026年8月20日施行
适用活动	境内网络数据安全风险评估
重要数据	每年度开展；安全状态重大变化可能产生不利影响时评估变化及影响部分
一般数据	鼓励至少每3年一次；不能把鼓励写成统一强制周期
特殊范围	核心数据、国家秘密及工作秘密等按相应专项规定处理

安全要求与实施

区分三类评估任务

任务	触发与依据	需要保留的判断
年度评估	重要数据处理者，第5条	数据目录、年度范围、计划和完成情况
变化重评	重要数据安全状态重大变化且可能不利，第5条	变更内容、影响范围、重评或不重评理由
监管要求评估	第17—18条规定的风险、事件等情形	要求文件、指定条件、完成期限和报送结果

年度评估不能替代变化重评；收到监管要求后，也不能只引用已完成的年度报告而不核对本次要求。有关主管部门另有行业规定的，依第6条组合适用。

自行评估与委托评估分开验收

法规要求｜第7—14条。 可以自行评估并指定专人，也可以委托机构并约定权利义务。第三方不得转委托，同一机构及关联机构不得连续3次以上承担同一处理者年度评估；应客观出具报告、通知重大风险并保护获取的数据。

认证边界。 第8条一般性鼓励机构通过认证；第17条规定监管可以要求委托通过认证的机构。不能把这两种情况统一改写成“任何评估都必须找认证机构”。

验收。 采购前核对历次服务机构、关联关系、实际项目团队和报告签发方；项目结束后核对权限回收与数据删除或合同约定处置。自行评估要能证明责任人、方法和原始证据，不能仅由被评估团队填一张“全部符合”表。

用数据流穿行组织评估

以下为实施建议，评估内容和报告格式仍按主管部门要求及相应国家标准执行：

评估对象	核验动作	输出
数据与处理范围	目录与数据库、文件、接口、衍生数据双向对账	数据清单、边界及遗漏项
权限与用途	从高权限账户反查审批，从真实调用反查用途	越权、超范围及到期权限证据
流转与第三方	穿行共享、委托、远程访问、跨境和退出	接收方、合同与实际流量差异
保护与恢复	实测加密调用、日志、防泄漏和备份恢复	测试条件、结果和失败样本
事件与变化	回放异常导出、泄露线索和重大变更	检测、处置、重评及报告缺口

每条发现至少写清：对象 → 事实 → 依据 → 风险影响 → 整改动作 → 责任人 → 复测条件。缺少证据应记录“未能验证”，不能直接写“符合”。

示例。 一个重要数据集迁入共享分析平台后，原审批只允许报表查询，实际服务账号却能整表导出。评估应识别新增访问边界和潜在影响，整改到账号权限、导出限额和审计告警；以同一服务账号重做测试，验证限制确实生效。

报告对象、起算点和时限单独管理

事项	法规要求	检查证据
重要数据年度报告	第16条：评估完成后20个工作日内按主管部门要求报送；主管不明确时向省级网信部门或国家网信部门报送	完成依据、工作日计算、正式版本及回执
报告保存	第15条：风险评估报告至少3年	归档策略、历史报告可检索性
监管要求的评估	第18条：限定时间完成；复杂情形延期须批准；报告按要求签字盖章报送	要求、延期批准、签章及提交证据
监管要求整改	第18条：整改完成后15个工作日内报送整改情况	复测、实际完成日期、整改报告及回执

主管部门收到报告后向网信部门通报的10个工作日，是主管部门职责，不应混入企业自己的20个工作日报送任务。报告生成日期、评估完成日期和内部审批日期不当然相同，起算依据要能复核。

评估结论进入整改和密码治理

第19条允许对拒不整改或未达整改要求的重要数据处理者采取停止处理重要数据等措施。风险接受不能替代法定义务或监管整改要求。第23条涉及重要数据加密措施时，按密码相关法律、行政法规开展密评；两种评估可以复用数据流与配置事实，结论不能互相替代。

法规原文

正式全文 · 报送与机构认证实施答问。下列本站资料仅辅助核对。

查看法规原文

网络数据安全风险评估办法（原文参考）

国家互联网信息办公室、工业和信息化部、公安部令第24号，自2026年8月20日起施行。

关键原文要求：第5条要求重要数据处理者每年度开展风险评估，重大变化及时重评；第12条限制同一评估机构及关联机构连续3次以上承担同一处理者年度评估；第15条要求评估报告至少保存3年；第16条要求年度评估完成后20个工作日内报送；第18条要求按监管要求整改并在完成后15个工作日内报送整改情况；第23条要求涉及重要数据加密等技术措施时依法开展密评。

完整现行文本：国家互联网信息办公室