从“互联网监管”到“网络空间治理”：《公安机关网络空间安全监督检查办法》解读

广州网警

2026年10月29日 15:47
广东

去阅读

以下文章来源于三所数据安全
，作者合规部

三所数据安全
.

公安部第三研究所数据安全技术研发中心官方订阅号，数据安全技术研发中心致力于开展数据安全和应用的理论与标准研究，研发数据采集治理、传输存储、应用共享的安全技术以及数据分析与研判技术，为公安机关数据安全保护监管和大数据应用提供技术支撑。

公安部第三研究所

数据安全技术研发中心

从“互联网监管”

到“网络空间治理”

《公安机关网络空间安全监督检查办法》解读

摘要

2026年8月7日，公安部以第176号令公布《公安机关网络空间安全监督检查办法》（以下简称“第176号令”），自2026年10月1日起施行，施行之日同时废止2018年9月15日发布的《公安机关互联网安全监督检查规定》（公安部令第151号，以下简称“151号令”）。第176号令共23条，以“网络空间安全”统摄网络安全、数据安全、信息安全三个维度，将检查对象扩展为网络运营者、数据处理者、个人信息处理者等八大类主体，并引入线上巡查、公安提示函、约谈等新工具。它不再是单纯的“互联网行业安全检查规章”，而是公安机关统一行使网络、数据、个人信息三个维度监督检查职权的重要制度依据和程序规范，合规检查的覆盖面、技术深度和常态化程度将显著提升。

PART.01

发布背景

第176号令出台的直接动因，是151号令所依托的法律环境已发生结构性变化。151号令制定时，上位法依据仅有《人民警察法》和《网络安全法》。此后七年，网络领域立法快速迭代：2021年，《数据安全法》《个人信息保护法》《关键信息基础设施安全保护条例》相继施行；《网络数据安全管理条例》以及修正后的《网络安全法》进一步完善了网络安全和数据保护等制度。151号令的检查内容与处罚指引均以2017年版《网络安全法》为坐标，面对数据安全审查、个人信息处理规则等全新义务明显缺乏衔接，监督检查的“工具箱”已经过时。

同时，监管实践也在倒逼制度更新。人工智能、大模型、算法推荐、深度合成等新技术形态不断涌现，大数据杀熟、算法滥用、数据泄露等问题成为社会焦点，监督检查需要从传统的“网站和信息系统”进一步延伸到“数据处理活动和个人信息处理活动”。而151号令确立的检查模式缺乏频次控制、结果互认和跨部门统筹机制，难以适应中央关于规范涉企行政检查、优化营商环境的部署要求。

PART.02

176号令与151号令的主要区别

对比两部规章，变化是体系性的，主要体现在以下六个方面：

名称与体例

名称从《公安机关互联网安全监督检查规定》变为《公安机关网络空间安全监督检查办法》，不只是表述变化，也反映出监督检查对象和事项的进一步扩展。151号令语境下的“互联网安全”基本对应网络安全法的“网络安全”概念；第176号令第二条明确将“网络空间安全”界定为“网络安全、数据安全、信息安全”三位一体，监管视野从“网络”扩展到“数据”与“个人信息”。体例上，151号令设五章二十九条，第176号令不分章仅二十三条，条文总量有所压缩、但单条信息密度和制度覆盖面有所提高。

立法依据

第176号令第一条将依据扩展为《人民警察法》、《网络安全法》、《数据安全法》、《个人信息保护法》、《关键信息基础设施安全保护条例》、《网络数据安全管理条例》、《互联网信息服务管理办法》等。适用范围从“互联网服务提供者和联网使用单位”变为“网络运营者、数据处理者、个人信息处理者等”主体；第六条进一步列举八类检查对象：互联网服务提供者（互联网接入、数据中心、内容分发、域名服务、信息服务等）、公共上网服务提供者、网络运营者及其建设者维护者、关键信息基础设施运营者及其建设者维护者、网络产品和服务提供者、数据处理者、个人信息处理者以及其他依法可检查对象。相比151号令第九条的四类互联网服务提供者，覆盖面显著扩张，数据服务商、智能终端厂商、大模型开发者等主体将直接进入公安检查视野。第六条同时保留重点检查机制：对曾发生网络安全、数据安全等事件，或者因未履行法定网络安全、数据安全、信息安全义务被行政处罚且未按照要求整改的，应当重点开展监督检查。

领导体制与统筹协调机制

这是第176号令最具制度意义的变化。第三条明确监督检查“应当在中央网络安全和信息化委员会等领导下开展”，要求“会同有关主管部门建立健全网络空间安全监督检查协作配合机制”，并规定对日常性现场检查，“有行业主管部门的，原则上以行业主管部门开展现场检查为主”。第九条、第十条将这一思路具体化：在国家网络安全、数据安全等机制统筹协调下，合理确定现场检查频次、范围、方式，避免重复检查、交叉检查；对等级保护第三级（含）以上的网络运营者、关键信息基础设施运营者，每年开展一次日常性的现场检查，本年度其他主管部门已检查的，公安机关复用结果、不再重复检查；公安部部署跨行业、跨部门日常性现场检查应报中央网络安全和信息化委员会审批，涉及数据安全、内容导向的分别在国家数据安全工作协调机制、意识形态主管部门统筹指导下开展；对电信、能源、交通、水利、金融、国防科技工业等行业开展日常性现场检查，应提前五个工作日告知网信部门、行业主管部门，对方提出联合检查的应联合开展。由此，“联合检查、一次检查、结果复用”成为法定要求。

检查方式与检查内容

检查方式上，151号令仅有“现场检查＋远程检测”两种；第176号令第四条构建了三层检查体系：一是线上巡查，通过网络信息巡查、信息审核能力测试、漏洞扫描等不影响正常业务运行的方式开展，信息审核能力测试应提前三个工作日告知；二是远程检测，即漏洞探测、渗透性测试，由设区的市级以上公安机关实施，提前三个工作日告知、通报同级网信部门和行业主管部门，对基础电信网络的检测依照《关键信息基础设施安全保护条例》执行；三是对巡查、检测发现的风险隐患，必要时以现场检查线下核查。深度技术手段被限定在较高层级并设告知义务，兼顾监管力度与程序约束。

检查内容上，151号令第十条列7项，第176号令第七条扩展为11项：在保留备案、制度规程、日志留存、技术防护、违法信息防范、技术协助等原有事项外，新增等级保护“定级备案、等级测评、建设整改、自查”的全链条核查、关键信息基础设施安全保护义务、漏洞隐患整改义务，以及最受关注的“落实算法安全主体责任、建立健全算法推荐管理制度”和“履行数据安全、个人信息保护义务”。第八条对与国家重大安全保卫任务相关的专项检查亦同步扩展，将风险评估、应急处置、事件报告要求覆盖至数据安全、信息安全维度。

风险处置路径

151号令的风险处置路径主要是“督促整改＋限期复查＋行政处罚”；第176号令新增层次化的柔性工具。第十七条确立公安提示函、公安通告制度：对尚不构成违法犯罪的隐患，由县级以上公安机关向被检查对象发放提示函；由设区的市级以上公安机关向同级行业主管部门发放提示函；由省级以上公安机关向社会发布不指向特定对象的公安通告。第十九条确立约谈制度：省级以上公安机关可就较大安全风险或安全事件约谈网络运营者的法定代表人或者主要负责人；县级以上公安机关可就数据处理、个人信息处理活动中的风险约谈有关组织、个人。第十八条要求，发现等级保护第三级（含）以上网络、关键信息基础设施、重要数据存在重大风险隐患的，应及时通报行业主管部门、网信部门；发现严重威胁国家安全、公共安全和社会公共利益的重大风险隐患的，应报告人民政府和上级公安机关。由此形成“提示—整改—处置”的梯度治理结构。

程序约束与权力监督

第十三条要求委托网络安全服务机构或专门人员提供技术支持应向上级公安机关备案，以承诺书等方式确认保密义务；对关键信息基础设施检查确需委托技术支持的，应告知行业主管部门；对参与漏洞探测、渗透性测试的机构及人员应开展背景审查并进行全流程安全管理。第十四条明确不得向被检查对象收取费用，不得要求购买、使用指定的产品和服务。第二十条扩展保密义务边界：知悉的国家秘密、工作秘密、商业秘密以及个人隐私、个人信息不得泄露、出售或非法向他人提供；获取的信息资料只能用于维护网络空间安全；检查完毕后，受托机构应将资料交由公安机关保管或按要求删除、销毁。第二十一条、第二十二条分别规定公安工作人员和受托机构人员的法律责任。

PART.03

重点条款解读

01

KEY

第二条：“网络空间安全”的三位一体界定

该条是第176号令的概念基石。公安监督检查权由此不再局限于“网络运行安全”，而延伸至数据处理活动和个人信息处理活动。对企业而言，一次公安检查可能同时涵盖等级保护合规、数据分类分级、个人信息处理规则等多个维度，不能再以“不涉及数据业务”为由自外于监管。

第四条：技术检查手段的分级授权

线上巡查由公安机关普遍实施，以“不影响正常业务运行和网络空间安全”为边界；设区的市级以上公安机关可以通过漏洞探测、渗透性测试等方式，对本辖区范围内关键信息基础设施以外的网络设施、信息系统进行远程检测，但应当提前三个工作日告知被检查对象检查时间、检查范围等事项，不得干扰、破坏被检查对象网络设施、信息系统的正常运行，并通报同级网信部门、行业主管部门。“层级越高、手段越深”的授权结构，既保障监管能力，也防止基层滥用高技术检查手段。

02

KEY

03

KEY

第七条：算法安全与数据合规进入法定检查清单

“算法安全主体责任”入列值得特别关注。此前算法推荐监管主要通过《互联网信息服务算法推荐管理规定》等规章落实，此次纳入公安监督检查的法定事项后，算法安全主体责任、算法推荐管理制度和相关技术措施被纳入公安机关重点检查内容。

第九条：每年一次现场检查与结果复用

对等级保护第三级（含）以上网络运营者、关键信息基础设施运营者实行“每年一次”的日常性现场检查，既明确高频监管对象，又通过复用其他主管部门的检查结果避免重复检查。对一般企业而言，未列入重点对象且行业主管部门当年已检查的，年度内大概率不会再遭重复检查。

04

KEY

05

KEY

第十三条：受托技术机构的规范化

委托专业机构开展检查是实践常态，但此前缺乏统一约束。第176号令以备案、承诺书、背景审查、全流程安全管理四道程序给受托机构“上锁”，第二十条又要求检查结束后资料交由公安机关保管或删除销毁，从源头防范第三方借检查之机获取、留存、外泄被检查对象的数据，网络安全服务行业参与公安检查业务的门槛和合规成本将同步上升。

第十七条至第十九条：梯度化的风险处置机制

提示函、通告、约谈的组合，使公安监管从“非罚即改”走向“梯次处置”：轻微隐患先向对象提示，行业性问题向主管部门提示，普遍性风险向社会通告，重大风险主体予以约谈。对被检查对象而言，收到提示函不意味着行政处罚，而是整改机会；约谈指向法定代表人、主要负责人，提示了“关键少数”的合规责任。

06

KEY

小结

第176号令的出台，标志着公安机关网络空间安全监督检查进入“网络、数据、信息一体监管”的新阶段。对执法机关而言，它既授予新工具（线上巡查、远程检测、提示函、约谈），也施加新约束（频次限制、部门协同、程序要求、廉洁规范），监管的规范化与可预期性明显增强。对被检查对象而言，合规义务的覆盖面从“网络安全”扩展至“数据安全＋个人信息保护”，检查的常态化程度和专业化水平均有提升；但联合检查、结果复用和线上优先的安排，也为合规企业提供了减少负担的制度保障。随着第176号令于2026年10月1日施行，相关执法实践与配套细则值得持续关注。对企业而言，当务之急是按第七条所列十一项内容开展合规自查，补齐数据安全与个人信息保护方面的制度缺口，以从容姿态迎接监管常态。

撰稿｜合规部

责编｜李寅雪（实习生） 卢蔷

关注三所数据安全

获取更多内容