6月18日，國家網(wǎng)信辦、工業(yè)和信息化部、公安部聯(lián)合公布《網(wǎng)絡(luò)數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估辦法》（以下簡(jiǎn)稱《辦法》），自2026年8月20日起施行。

《辦法》提出，處理重要數(shù)據(jù)的網(wǎng)絡(luò)數(shù)據(jù)處理者（以下簡(jiǎn)稱“重要數(shù)據(jù)處理者”）應(yīng)當(dāng)每年度開展風(fēng)險(xiǎn)評(píng)估，鼓勵(lì)處理一般數(shù)據(jù)的網(wǎng)絡(luò)數(shù)據(jù)處理者至少每3年開展一次風(fēng)險(xiǎn)評(píng)估；網(wǎng)絡(luò)數(shù)據(jù)處理者可以根據(jù)自身能力、條件情況，選擇自行或者委托第三方評(píng)估機(jī)構(gòu)開展風(fēng)險(xiǎn)評(píng)估；有關(guān)部門將共享年度風(fēng)險(xiǎn)評(píng)估檢查計(jì)劃并進(jìn)行協(xié)調(diào)，避免不必要的檢查和交叉重復(fù)檢查。

填補(bǔ)規(guī)范空白

我國《數(shù)據(jù)安全法》明確要求，重要數(shù)據(jù)的處理者應(yīng)當(dāng)按照規(guī)定對(duì)其數(shù)據(jù)處理活動(dòng)定期開展風(fēng)險(xiǎn)評(píng)估，并向有關(guān)主管部門報(bào)送風(fēng)險(xiǎn)評(píng)估報(bào)告。《網(wǎng)絡(luò)數(shù)據(jù)安全管理?xiàng)l例》也提出，重要數(shù)據(jù)的處理者應(yīng)當(dāng)每年度對(duì)其網(wǎng)絡(luò)數(shù)據(jù)處理活動(dòng)開展風(fēng)險(xiǎn)評(píng)估。然而，市面上的數(shù)據(jù)安全相關(guān)評(píng)估、檢測(cè)、測(cè)評(píng)活動(dòng)缺少指導(dǎo)和規(guī)范。

國家網(wǎng)信辦有關(guān)負(fù)責(zé)同志表示，出臺(tái)《辦法》是落實(shí)《數(shù)據(jù)安全法》《網(wǎng)絡(luò)數(shù)據(jù)安全管理?xiàng)l例》等法律法規(guī)的重要舉措，旨在規(guī)范網(wǎng)絡(luò)數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估（以下簡(jiǎn)稱“風(fēng)險(xiǎn)評(píng)估”）活動(dòng)，以數(shù)據(jù)安全保障數(shù)據(jù)開發(fā)利用和產(chǎn)業(yè)發(fā)展。

國家互聯(lián)網(wǎng)應(yīng)急中心黨委副書記、副主任劉博撰文指出，《辦法》對(duì)上位法中的原則性規(guī)定進(jìn)行細(xì)化與落實(shí)，明確風(fēng)險(xiǎn)評(píng)估工作的方法、路徑、流程等，為網(wǎng)絡(luò)數(shù)據(jù)處理者提供科學(xué)的評(píng)估方法，為行業(yè)主管監(jiān)管部門提供感知行業(yè)數(shù)據(jù)安全風(fēng)險(xiǎn)的制度保障，以實(shí)現(xiàn)全面地識(shí)別風(fēng)險(xiǎn)、科學(xué)地分析風(fēng)險(xiǎn)、精準(zhǔn)地評(píng)價(jià)風(fēng)險(xiǎn)的效果，為有效應(yīng)對(duì)數(shù)據(jù)安全風(fēng)險(xiǎn)提供有力保障。

差異化安排評(píng)估活動(dòng)

《辦法》明確，網(wǎng)絡(luò)數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估，是指對(duì)網(wǎng)絡(luò)數(shù)據(jù)和網(wǎng)絡(luò)數(shù)據(jù)處理活動(dòng)安全進(jìn)行的風(fēng)險(xiǎn)識(shí)別、風(fēng)險(xiǎn)分析和風(fēng)險(xiǎn)評(píng)價(jià)等活動(dòng)，并對(duì)評(píng)估頻次、評(píng)估方式做了差異化安排。

評(píng)估頻次方面，《辦法》明確，重要數(shù)據(jù)處理者應(yīng)當(dāng)每年度開展風(fēng)險(xiǎn)評(píng)估，同時(shí)重要數(shù)據(jù)安全狀態(tài)發(fā)生重大變化可能對(duì)數(shù)據(jù)安全造成不利影響的，應(yīng)當(dāng)及時(shí)對(duì)發(fā)生變化及其影響的部分開展風(fēng)險(xiǎn)評(píng)估。對(duì)于處理一般數(shù)據(jù)的網(wǎng)絡(luò)數(shù)據(jù)處理者，《辦法》鼓勵(lì)其至少每3年開展一次風(fēng)險(xiǎn)評(píng)估。

中國法學(xué)會(huì)網(wǎng)絡(luò)與信息法學(xué)研究會(huì)常務(wù)副秘書長周輝撰文表示，這種安排沒有簡(jiǎn)單地把所有主體納入同一強(qiáng)度的合規(guī)要求，而是根據(jù)風(fēng)險(xiǎn)程度配置不同義務(wù)，有助于將監(jiān)管資源和合規(guī)資源集中到更需要關(guān)注的重點(diǎn)對(duì)象和重點(diǎn)場(chǎng)景。

北京航空航天大學(xué)法學(xué)院副教授、院長助理趙精武也撰文認(rèn)為，此種義務(wù)規(guī)范設(shè)置方式本質(zhì)上是對(duì)《數(shù)據(jù)安全法》的分類分級(jí)保護(hù)原則的契合，兼顧了數(shù)據(jù)安全與商業(yè)利益的雙重目標(biāo)。

評(píng)估方式方面，《辦法》提出，網(wǎng)絡(luò)數(shù)據(jù)處理者可以根據(jù)自身能力條件，選擇自行開展或者委托第三方評(píng)估機(jī)構(gòu)開展。自行開展的應(yīng)當(dāng)指定專人負(fù)責(zé)；委托第三方的，應(yīng)當(dāng)通過訂立合同等方式明確雙方權(quán)利義務(wù)。

培育健康評(píng)估生態(tài)

《辦法》為評(píng)估機(jī)構(gòu)設(shè)定了清晰的行為紅線：評(píng)估機(jī)構(gòu)不得轉(zhuǎn)委托其他機(jī)構(gòu)開展風(fēng)險(xiǎn)評(píng)估；同一評(píng)估機(jī)構(gòu)及其關(guān)聯(lián)機(jī)構(gòu)不得連續(xù)3次以上對(duì)同一網(wǎng)絡(luò)數(shù)據(jù)處理者開展年度風(fēng)險(xiǎn)評(píng)估。

趙精武表示，該制度設(shè)計(jì)與審計(jì)獨(dú)立性保障較為類似，旨在防止評(píng)估過程陷入層層轉(zhuǎn)包、責(zé)任懸空的失范狀態(tài)；切斷評(píng)估機(jī)構(gòu)與客戶之間因長期合作可能形成的利益固化和人情羈絆，從結(jié)構(gòu)上確保評(píng)估結(jié)論的中立與公允，維系整個(gè)評(píng)估生態(tài)的純潔性與公信力。

同時(shí)，《辦法》鼓勵(lì)相關(guān)評(píng)估機(jī)構(gòu)通過認(rèn)證。國家網(wǎng)信部門和國務(wù)院電信、公安等有關(guān)部門將積極促進(jìn)網(wǎng)絡(luò)數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估服務(wù)的發(fā)展，培育評(píng)估機(jī)構(gòu)。

評(píng)估標(biāo)準(zhǔn)方面，國家網(wǎng)信辦有關(guān)負(fù)責(zé)同志表示，對(duì)于有關(guān)主管部門對(duì)本行業(yè)、本領(lǐng)域風(fēng)險(xiǎn)評(píng)估工作沒有規(guī)定的，可以參照《數(shù)據(jù)安全技術(shù) 數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估方法》（GB/T 45577-2025）、《數(shù)據(jù)安全技術(shù) 數(shù)據(jù)安全評(píng)估機(jī)構(gòu)能力要求》（GB/T 45389-2025）開展風(fēng)險(xiǎn)評(píng)估、建設(shè)相應(yīng)能力。對(duì)于有關(guān)主管部門另有規(guī)定的，可以按照相關(guān)規(guī)定，參照行業(yè)領(lǐng)域標(biāo)準(zhǔn)規(guī)范開展風(fēng)險(xiǎn)評(píng)估。

打通“一評(píng)多用”

多位專家指出，避免多頭重復(fù)檢查是《辦法》的一大著力點(diǎn)。

按照《辦法》要求，國家網(wǎng)信部門會(huì)同國務(wù)院電信、公安等有關(guān)部門建立網(wǎng)絡(luò)數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估專項(xiàng)工作機(jī)制，指導(dǎo)、監(jiān)督風(fēng)險(xiǎn)評(píng)估工作。有關(guān)主管部門按照誰管業(yè)務(wù)、誰管業(yè)務(wù)數(shù)據(jù)、誰管數(shù)據(jù)安全的原則，組織開展本行業(yè)、本領(lǐng)域風(fēng)險(xiǎn)評(píng)估及相應(yīng)檢查，于每年1月底前將年度風(fēng)險(xiǎn)評(píng)估檢查計(jì)劃報(bào)送國家網(wǎng)信部門。國家網(wǎng)信部門將計(jì)劃與國務(wù)院電信、公安、國家安全等有關(guān)部門共享并進(jìn)行協(xié)調(diào)，避免不必要的檢查和交叉重復(fù)檢查。同時(shí)，《辦法》規(guī)定對(duì)同一事件或者風(fēng)險(xiǎn)，不得重復(fù)要求網(wǎng)絡(luò)數(shù)據(jù)處理者委托評(píng)估機(jī)構(gòu)開展風(fēng)險(xiǎn)評(píng)估；明確有關(guān)主管部門開展檢查不得向被檢查的重要數(shù)據(jù)處理者收取費(fèi)用。

中央網(wǎng)信辦數(shù)據(jù)與技術(shù)保障中心主任張鵬撰文表示，《辦法》在風(fēng)險(xiǎn)評(píng)估工作的統(tǒng)籌落實(shí)上既強(qiáng)調(diào)統(tǒng)籌又明確分工，是發(fā)揮數(shù)據(jù)安全治理統(tǒng)籌協(xié)調(diào)作用的重要體現(xiàn)，也是提升各部門抓數(shù)據(jù)、管安全工作質(zhì)效的必然要求。

劉博也指出，此舉有助于提高國家和行業(yè)層面的協(xié)同配合和風(fēng)險(xiǎn)聯(lián)動(dòng)處置能力，增強(qiáng)各行業(yè)領(lǐng)域網(wǎng)絡(luò)數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估效能。

趙精武表示，通過監(jiān)管端的協(xié)同聯(lián)動(dòng)，將原本分散、平行的評(píng)估監(jiān)管要求整合為“一評(píng)多用”的協(xié)同作業(yè)，企業(yè)不再需要就同一網(wǎng)絡(luò)數(shù)據(jù)處理活動(dòng)按照不同部門的要求反復(fù)填報(bào)、重復(fù)測(cè)評(píng)行政資源得以有效節(jié)約，企業(yè)的制度性交易成本顯著降低。

建立報(bào)送與監(jiān)督閉環(huán)

在報(bào)告報(bào)送方面，《辦法》提出，重要數(shù)據(jù)處理者應(yīng)當(dāng)在年度風(fēng)險(xiǎn)評(píng)估完成后的20個(gè)工作日內(nèi)，按照有關(guān)主管部門要求向其報(bào)送風(fēng)險(xiǎn)評(píng)估報(bào)告。報(bào)告至少保存3年。有關(guān)主管部門自收到報(bào)告之日起的10個(gè)工作日內(nèi)將報(bào)告通報(bào)同級(jí)網(wǎng)信部門。

省級(jí)以上網(wǎng)信部門、電信主管部門、公安機(jī)關(guān)、國家安全機(jī)關(guān)和其他有關(guān)部門可以對(duì)報(bào)告的真實(shí)性、準(zhǔn)確性進(jìn)行檢查核驗(yàn)。有關(guān)部門在組織開展風(fēng)險(xiǎn)評(píng)估中發(fā)現(xiàn)重要數(shù)據(jù)處理者的重要數(shù)據(jù)處理活動(dòng)可能危害國家安全、公共利益的，應(yīng)當(dāng)依據(jù)職責(zé)責(zé)令重要數(shù)據(jù)處理者進(jìn)行整改；對(duì)拒不整改或者未達(dá)到整改要求的重要數(shù)據(jù)處理者，可以采取要求其停止處理重要數(shù)據(jù)等措施。

中國人民大學(xué)法學(xué)院副院長、教授丁曉東撰文表示，《辦法》的出臺(tái)，為網(wǎng)絡(luò)數(shù)據(jù)處理者的網(wǎng)絡(luò)數(shù)據(jù)安全保護(hù)提供了明確的指引，推動(dòng)其實(shí)現(xiàn)數(shù)據(jù)安全從“外部約束”到“內(nèi)生需求”的根本轉(zhuǎn)變。

周輝也認(rèn)為，《辦法》有利于推動(dòng)網(wǎng)絡(luò)數(shù)據(jù)安全治理關(guān)口前移，把網(wǎng)絡(luò)數(shù)據(jù)安全的隱蔽風(fēng)險(xiǎn)提前顯性化，使監(jiān)管和合規(guī)能夠在風(fēng)險(xiǎn)演變之前介入，推動(dòng)數(shù)據(jù)安全治理從事后補(bǔ)救轉(zhuǎn)向事前預(yù)防、事中控制。

專家：評(píng)估是風(fēng)險(xiǎn)管理依據(jù)而非合規(guī)負(fù)擔(dān)

多位專家撰文強(qiáng)調(diào)，應(yīng)正確理解風(fēng)險(xiǎn)評(píng)估的規(guī)律特點(diǎn)和價(jià)值。

劉博指出，網(wǎng)絡(luò)數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估有別于網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)、云計(jì)算服務(wù)安全評(píng)估等符合性測(cè)評(píng)門類，本質(zhì)上是一種風(fēng)險(xiǎn)評(píng)價(jià)活動(dòng)，總目標(biāo)是回答好“有沒有風(fēng)險(xiǎn)、風(fēng)險(xiǎn)是什么、風(fēng)險(xiǎn)在哪里、風(fēng)險(xiǎn)有多大”等問題，為本單位決策層和行業(yè)主管監(jiān)管部門做好風(fēng)險(xiǎn)管理提供參考依據(jù)。

趙精武強(qiáng)調(diào)，《辦法》的制定是為了督促網(wǎng)絡(luò)數(shù)據(jù)處理者對(duì)整體業(yè)務(wù)的網(wǎng)絡(luò)數(shù)據(jù)安全風(fēng)險(xiǎn)狀況形成清晰、完整的認(rèn)知，準(zhǔn)確辨識(shí)不同數(shù)據(jù)處理環(huán)節(jié)中存在何種類型、何種等級(jí)的安全威脅，進(jìn)而做到設(shè)置針對(duì)性的技術(shù)措施與管理流程，避免出現(xiàn)“高射炮打蚊子”式的過度防護(hù)或“稻草人”式的虛假安全。

張鵬表示，《辦法》的出臺(tái)是數(shù)據(jù)安全治理的大事，也是筑牢數(shù)字經(jīng)濟(jì)安全基礎(chǔ)的要事，更是促進(jìn)數(shù)據(jù)有效利用的好事。隨著評(píng)估工作的落地見效、不斷深入，必將對(duì)推動(dòng)構(gòu)建長效有序的數(shù)據(jù)安全治理生態(tài)帶來深遠(yuǎn)影響。

出品：南都大數(shù)據(jù)研究院

采寫：南都研究員 李偉鋒