文章总结： 《网络数据安全风险评估办法》将于2026年8月20日施行，覆盖处理网络数据的各类单位。核心要求区分重要数据处理者（每年至少一次评估并报送报告）与一般数据处理者（鼓励三年一评）。评估内容包括数据资产梳理、数据处理活动风险、安全制度与技术措施、数据出境及第三方共享风险、应急处置能力。建议单位在40天内分阶段推进：数据资产盘点、差距分析、整改与评估、持续运营。未按规定评估可能面临监管处理。 综合评分： 84 文章分类： 政策法规,解决方案,安全建设

《网络数据安全风险评估办法》8月20日施行，单位该关注什么？

晟晖科技

2026年7月13日 08:30 江苏

在小说阅读器读本章

去阅读

2026年6月18日，国家网信办、工业和信息化部、公安部三部门联合公布《网络数据安全风险评估办法》（以下简称《办法》），自2026年8月20日起正式施行。

距离现在只剩40天左右。这部法规虽然名字里有”风险评估”四个字，但它不是只针对大公司，而是覆盖了处理网络数据的各类单位——政府机关、医院、学校、企业等。

今天我们就用一篇文章，帮你看清楚这部法规到底要求什么、哪些单位需要行动、以及应该从哪里开始准备。

01

这部法规的核心要求：两类主体，两种节奏

《办法》把网络数据处理者分成了两类，要求截然不同。

第一类：重要数据处理者

如果你处理的数据被认定为“重要数据”，即关系国家安全、国民经济命脉、重要民生、重大公共利益等数据（具体目录由各地区、各部门制定），那么：

✔每年至少开展一次数据安全风险评估

✔当数据安全状态发生重大变化时，还要及时追加评估

✔年度风险评估完成后，应在20个工作日内向有关主管部门报送风险评估报告；主管部门不明确的，向省级网信部门或国家网信部门报送。

✔风险评估报告至少保存3年****

第二类：一般数据处理者

处理普通网络数据（比如用户注册信息、业务运营数据等）的单位：

✔不强制要求每年评估，但鼓励至少每三年开展一次

✔虽然没有强制报送要求，但一旦发生数据安全事件，主管部门可以要求你补做评估

简单来说：重要数据每年必须评，一般数据建议三年一评。

02

数据安全风险评估，到底要评什么？

根据《办法》第六条规定，风险评估应参照数据安全风险评估有关国家标准开展，建议关注以下方面：

01

数据资产梳理

你有哪些数据？存在哪里？谁在用？哪些属于重要数据？这是评估的基础，也是很多单位的第一个盲区——”我们到底有多少数据，自己都不清楚”。

02

数据处理活动风险分析

数据在采集、存储、使用、加工、传输、提供、公开、删除等全生命周期中，每个环节存在什么风险？有没有越权访问、非法导出、接口暴露等问题？

03

安全管理制度和技术措施评估

你有没有数据分类分级制度？有没有数据安全负责人？有没有访问控制、加密、备份、日志审计等技术手段？制度是否落地、技术是否有效，都要逐项检查。

04

数据出境和第三方共享风险

如果数据要出境，或者要提供给第三方使用，有没有履行安全评估、标准合同备案、个人信息保护认证等合规程序？

05

应急处置能力评估

一旦发生数据泄露，你有没有应急预案？能不能快速止损、溯源、通知受影响的用户？

03

距离8月20日只剩40天，该做什么？

如果你的单位属于”重要数据处理者”，建议按以下节奏推进：

第一阶段：数据资产盘点（第1-2周）

先搞清楚自己手里有什么数据。建议从核心业务系统入手，梳理数据清单，初步判断哪些可能属于重要数据。

第二阶段：差距分析（第3-4周）

对照《办法》要求，逐条检查现有制度和技术措施是否到位。重点看：有没有数据分类分级？有没有访问控制？有没有日志留存？有没有应急预案？

第三阶段：整改+评估（第5-6周及以后）**

针对差距项启动整改，并尽快确定评估方式（自评估或委托第三方）。重要数据处理者如委托第三方评估，应预留充足时间，确保在年度周期内完成并报送报告。

第四阶段：持续运营（长期）

数据安全不是一次性的。评估完成后，要建立常态化的监测、预警、复盘机制，确保制度持续有效、风险持续可控。

最后提醒一点：《办法》第二十二条明确，未按规定开展风险评估，或评估流于形式、未按要求报送整改的，都可能面临监管处理。

《网络数据安全风险评估办法》的施行，标志着数据安全合规从“建制度”进入“抓落实”阶段。对政企单位而言，风险评估不仅是合规要求，更是发现隐患、提升数据安全能力的重要抓手。

作为一家深耕网络安全23年的服务商，晟晖科技已帮助政务、医疗、教育、制造等多个行业的客户完成数据安全评估和合规建设。从数据资产盘点到差距分析，从整改方案到第三方评估报告，我们可以提供全流程支持。

如果您的单位在数据安全评估方面存在以下困惑，欢迎联系我们：

• 不清楚自己处理的数据是否属于”重要数据”

• 数据资产分布散、数量大，缺乏完整的资产清单

• 现有安全制度和措施不知道是否满足法规要求

• 需要第三方专业机构出具数据安全风险评估报告

• 评估完成后不知道怎么整改、怎么持续运营

晟晖科技，23年网络安全深耕，累计服务政府、医疗、教育、制造等客户超1000家。****

全时全域  安全无忧

服务热点：

400-630-6830

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：晟晖科技 《《网络数据安全风险评估办法》8月20日施行，单位该关注什么？》