數(shù)據(jù)安全風(fēng)險評估是防范數(shù)據(jù)安全風(fēng)險，提升重要數(shù)據(jù)等保護(hù)能力的重要舉措。6月18日，國家網(wǎng)信辦、工信部、公安部聯(lián)合公布《網(wǎng)絡(luò)數(shù)據(jù)安全風(fēng)險評估辦法》（下稱《辦法》），自8月20日起施行。該文件就我國數(shù)據(jù)安全風(fēng)險評估的組織實施、機構(gòu)管理、報告報送、監(jiān)督處置等作出系統(tǒng)規(guī)定，標(biāo)志著網(wǎng)絡(luò)數(shù)據(jù)安全治理全面邁入精細(xì)化、標(biāo)準(zhǔn)化的新階段。

三部門聯(lián)合發(fā)布《辦法》。

南都記者梳理發(fā)現(xiàn)，我國《數(shù)據(jù)安全法》《網(wǎng)絡(luò)數(shù)據(jù)安全管理條例》明確提出建立數(shù)據(jù)安全風(fēng)險評估機制，要求重要數(shù)據(jù)的處理者定期開展風(fēng)險評估并報送報告，但“怎么評”“誰來評”“評完報給誰”“不評怎么辦”……一直缺少一份可操作的細(xì)則，《辦法》便是二者所構(gòu)建的數(shù)據(jù)安全基礎(chǔ)法律框架的細(xì)化與落地。

北京航空航天大學(xué)法學(xué)院副教授、院長助理趙精武撰文指出，《辦法》將風(fēng)險評估這一關(guān)鍵環(huán)節(jié)從一般性規(guī)范細(xì)化為可操作的實施細(xì)則。網(wǎng)絡(luò)數(shù)據(jù)安全風(fēng)險評估機制的重要意義在于，它將風(fēng)險控制的端口前移，通過系統(tǒng)化、常態(tài)化的風(fēng)險識別與研判，為網(wǎng)絡(luò)數(shù)據(jù)安全保護(hù)提供了具有預(yù)見性的決策基礎(chǔ)，對于維護(hù)國家數(shù)據(jù)主權(quán)、保障公共利益和促進(jìn)數(shù)字經(jīng)濟健康發(fā)展具有里程碑式的制度價值。

《辦法》明確，有關(guān)主管部門應(yīng)當(dāng)定期組織開展本行業(yè)、本領(lǐng)域風(fēng)險評估，根據(jù)工作需要對本行業(yè)、本領(lǐng)域處理重要數(shù)據(jù)的網(wǎng)絡(luò)數(shù)據(jù)處理者開展風(fēng)險評估情況進(jìn)行檢查，并于每年1月底前將年度風(fēng)險評估檢查計劃報送國家網(wǎng)信部門。國家網(wǎng)信部門通過國家數(shù)據(jù)安全工作協(xié)調(diào)機制將計劃與國務(wù)院電信、公安、國家安全等有關(guān)部門共享并進(jìn)行協(xié)調(diào)，避免不必要的檢查和交叉重復(fù)檢查。

值得關(guān)注的是，多久需要開展一次風(fēng)險評估？《辦法》規(guī)定，重要數(shù)據(jù)處理者應(yīng)當(dāng)每年度開展風(fēng)險評估；重要數(shù)據(jù)安全狀態(tài)發(fā)生重大變化可能對數(shù)據(jù)安全造成不利影響的，應(yīng)當(dāng)及時對發(fā)生變化及其影響的部分開展風(fēng)險評估。另外，鼓勵處理一般數(shù)據(jù)的網(wǎng)絡(luò)數(shù)據(jù)處理者至少每3年開展一次風(fēng)險評估。

中國法學(xué)會網(wǎng)絡(luò)與信息法學(xué)研究會常務(wù)副秘書長周輝撰文提到，這種差異化、比例化的制度設(shè)計，沒有簡單地把所有主體納入同一強度的合規(guī)要求，而是根據(jù)風(fēng)險程度配置不同義務(wù)，有助于將監(jiān)管資源和合規(guī)資源集中到更需要關(guān)注的重點對象和重點場景。

《辦法》還提出以國家標(biāo)準(zhǔn)支撐風(fēng)險評估規(guī)范化實施。中央網(wǎng)信辦數(shù)據(jù)與技術(shù)保障中心主任張鵬指出，現(xiàn)有《數(shù)據(jù)安全技術(shù) 數(shù)據(jù)安全風(fēng)險評估方法》（GB/T 45577-2025）、《數(shù)據(jù)安全技術(shù) 數(shù)據(jù)安全評估機構(gòu)能力要求》（GB/T 45389-2025）等國家標(biāo)準(zhǔn)提出了開展數(shù)據(jù)安全風(fēng)險評估的方法、流程、風(fēng)險分析研判，以及開展評估所需的能力建設(shè)等內(nèi)容。網(wǎng)絡(luò)數(shù)據(jù)處理者可以參照上述標(biāo)準(zhǔn)實施評估、建設(shè)能力。

在評估方式上，網(wǎng)絡(luò)數(shù)據(jù)處理者可以自行或者委托第三方評估機構(gòu)開展風(fēng)險評估。網(wǎng)絡(luò)數(shù)據(jù)處理者自行開展風(fēng)險評估，應(yīng)當(dāng)指定專人負(fù)責(zé)。網(wǎng)絡(luò)數(shù)據(jù)處理者委托評估機構(gòu)開展風(fēng)險評估，應(yīng)當(dāng)通過訂立合同或者其他具有法律效力的文件等方式明確雙方的權(quán)利、義務(wù)等。值得注意的是，同一評估機構(gòu)及其關(guān)聯(lián)機構(gòu)不得連續(xù)3次以上對同一網(wǎng)絡(luò)數(shù)據(jù)處理者開展年度風(fēng)險評估。

《辦法》提出建立監(jiān)管報送與協(xié)同機制。重要數(shù)據(jù)處理者開展年度風(fēng)險評估，應(yīng)當(dāng)依法按照有關(guān)主管部門規(guī)定編制風(fēng)險評估報告。有關(guān)主管部門對風(fēng)險評估報告沒有規(guī)定的，可以參照數(shù)據(jù)安全風(fēng)險評估有關(guān)國家標(biāo)準(zhǔn)編制風(fēng)險評估報告。風(fēng)險評估報告至少保存3年。重要數(shù)據(jù)處理者應(yīng)當(dāng)在年度風(fēng)險評估完成后的20個工作日內(nèi)按照有關(guān)主管部門要求向其報送風(fēng)險評估報告。主管部門不明確的，向省級網(wǎng)信部門或者國家網(wǎng)信部門報送。

《辦法》還明確了監(jiān)督管理要求。有關(guān)部門在組織開展風(fēng)險評估中，發(fā)現(xiàn)重要數(shù)據(jù)處理者的重要數(shù)據(jù)處理活動可能危害國家安全、公共利益的，應(yīng)當(dāng)依據(jù)職責(zé)責(zé)令重要數(shù)據(jù)處理者進(jìn)行整改；對拒不整改或者未達(dá)到整改要求的重要數(shù)據(jù)處理者，可以采取要求其停止處理重要數(shù)據(jù)等措施。

在懲處機制方面，省級以上網(wǎng)信部門、電信主管部門、公安機關(guān)、國家安全機關(guān)或者其他有關(guān)部門發(fā)現(xiàn)網(wǎng)絡(luò)數(shù)據(jù)處理者未按規(guī)定開展風(fēng)險評估的，應(yīng)當(dāng)依據(jù)《數(shù)據(jù)安全法》《網(wǎng)絡(luò)數(shù)據(jù)安全管理條例》等有關(guān)法律、行政法規(guī)予以處理。發(fā)現(xiàn)評估機構(gòu)違反本辦法開展風(fēng)險評估的，有關(guān)部門應(yīng)當(dāng)依法予以處理。

趙精武指出，長期以來，實務(wù)界存在一種認(rèn)知偏差，即將風(fēng)險評估片面理解為監(jiān)管層施加的經(jīng)營負(fù)擔(dān)或形式化的合規(guī)成本。但事實卻是，缺乏合理、科學(xué)且必要的數(shù)據(jù)安全保護(hù)制度，非但不會為企業(yè)降本增效，反而會因為頻繁的數(shù)據(jù)安全事件導(dǎo)致其無法正常開展經(jīng)營活動?！啊掇k法》基于風(fēng)險精準(zhǔn)畫像的分級分類保護(hù)策略，不僅能夠有效降低企業(yè)的合規(guī)成本，更能真正實現(xiàn)數(shù)據(jù)安全保障與商業(yè)利益合理實現(xiàn)的雙向兼顧。”

采寫：南都N視頻記者 樊文揚