一、《网络数据安全风险评估办法》制度根基与治理逻辑

（一）法律体系的层级衔接与定位

我国已构建起以《网络安全法》《数据安全法》《网络数据安全管理条例》为核心的网络数据安全法治体系，三部上位法规均对网络数据安全风险评估作出法定基础性安排。《网络安全法》提出鼓励社会化安全评估服务，明确国家统筹建立网络安全风险评估与应急工作机制，同时要求关键信息基础设施运营主体每年开展网络安全检测评估。《数据安全法》建立全国统一的数据安全风险评估、监测预警综合治理体系，直接设定强制性义务：重要数据处理者应当定期开展数据风险评估并向监管报送评估报告，但法条仅作出原则性框架表述，未细化执行标准。《网络数据安全管理条例》承接两部法律，细化多类评估场景：第三十一条规定重要数据对外提供、委托处理前必须开展前置专项评估，第三十三条明确重要数据处理者每年需完成年度风险评估并报送报告，第四十八条要求行业主管常态化开展本领域评估监督，划分企业与监管双方评估责任，但仅规定基础义务，缺少全流程落地细则。

上述法律、行政法规仅划定风险评估的法定框架，统一执行标准、操作时限、主体约束等实操内容均存在空白。本次三部门联合发布《网络数据安全风险评估办法》（以下简称《办法》），第一条即明确立法依据为《网络安全法》《数据安全法》《网络数据安全管理条例》，属于配套执行类部门规章，专门对上位法中全部风险评估原则条款进行系统化细化落地，补齐实操空白，正式形成法律确立制度、行政法规划分义务、部门规章明确实操流程层级清晰、环环相扣的数据评估合规链条。

（二）全新风险管控模式：建立全周期数据安全防范机制

数字化全面普及背景下，数据收集、共享、跨境、第三方委托等场景持续增多，数据泄露、越权采集、违规流转等复合型安全风险频发，仅依靠事发后处置的传统治理模式已无法前置化解隐患。前述上位法虽提出风险评估前置治理的立法思路，但未形成完整闭环管理机制。《办法》承接总体国家安全观与分类分级保护的底线要求，搭建“常态化定期评估识别隐患、标准化评估报告留存归档、监管核验+限期整改”全链条闭环治理体系，推动企业数据安全治理逻辑转型：由事故发生后被动补救，转向事前常态化排查、事中全流程管控、事后闭环整改的系统化治理模式，通过分层评估要求区分核心、重要、一般数据防护力度，全方位强化数据全生命周期安全防护，筑牢国家与企业双重数据安全防线。下文将结合《办法》条款及上位法合规体系，系统拆解主体界定、评估实施、报告归档、监管规则与合规风险等核心内容，梳理标准化实操要点，为全行业各类数据处理企业提供可落地的合规指引。

二、合规主体分层与评估义务详细解读

（一）合规主体判定规则：划分强制与引导两类合规主体

《办法》第五条明确将数据分级作为区分企业合规要求的核心依据，境内所有网络数据处理主体按照业务数据属性分为两大类，分别对应不同合规力度，企业开展风险评估相关合规工作，首要任务就是完成自身主体身份的界定。

1. 强制合规主体：重要数据处理者

重要数据关系公共利益、行业安全与国家安全，是我国数据安全合规的核心管控对象。相较于一般数据处理者，重要数据处理者需承担更为严苛的法定强制合规义务，必须常态化开展风险评估、规范留存合规资料、按期向监管报送评估报告并完成隐患闭环整改，全程接受监管核验，违规将面临处罚、约谈、业务受限等追责，合规容错空间极小。因此，精准判定企业自身是否属于重要数据处理者，是开展数据安全合规工作的核心前提，必须精准落实、规避误判漏判。企业可遵循如下判定流程执行，具体如下：

（1）依托行业专属官方标准精准界定数据属性。

国内重点行业已陆续落地针对性的重要数据识别与分级规范体系，为企业精准判别重要数据提供了权威、专属的合规依据。企业在开展内部数据合规摸排时，应当优先适配自身所属行业的官方专项指引完成认定工作，目前各主流领域均已出台可直接落地的专项文件，包括《工业领域重要数据识别指南》、《电信领域重要数据识别指南》、《地理信息数据分类分级工作指南（试行）》以及《统计数据安全管理办法》等。除公开的行业统一标准外，监管部门还会通过工作部署会议、正式公文、定向书面告知等个性化监管方式，针对特定企业明确其业务运营中需要重点管控的重要数据边界，企业需严格遵照官方告知的管控范围落实合规管理。

（2）借助国家通用标准与实务参考完成综合判定。

针对暂无专属行业识别规范的细分领域企业，可依托国家级通用技术标准开展数据合规筛查工作。其中GB/T43697-2024《数据安全技术数据分类分级规则》的附录《重要数据识别指南》，专门明确了重要数据的判定思路、识别维度与实操方法，是全行业通用的核心判定依据。企业可结合该项国标规范、现行法律法规及行业监管要求，全面排查梳理内部数据，完成重要数据甄别与报备工作。在实务落地过程中，国内多个自贸区出台的数据出境负面清单具备极高的参考价值，清单内列明的管控数据类型，可作为企业补充判定重要数据的实务依据，企业可结合自身经营属地、数据流转场景完成交叉核验，完善数据分级认定工作。

企业一旦经上述合规流程识别、判定业务体系内包含重要数据，即被法定认定为重要数据处理者。与一般数据处理者的鼓励性合规要求不同，依据《办法》第五条规定，重要数据处理者需落实强制性常态化评估机制，主要包含年度常规评估与数据安全状态变动后的动态专项评估两类刚性要求。企业需按规范完成评估、编制留存报告并按时报送监管部门，严格落实整改要求，未合规履职将面临相应监管处置与处罚。

2. 引导型合规主体：一般数据处理者

仅处理普通经营数据、不涉及重要数据，且个人信息处理规模未达到千万级的中小微企业，按照《办法》第五条第三款内容，法规仅作出鼓励性指引，建议企业至少每3年开展一次内部自查评估，法规并未强制要求向监管报送评估报告，单纯未开展自查也不会单独实施行政处罚。但企业仍需要关注潜在合规风险，常态化主动开展数据安全风险评估具备充分合规必要性，原因如下：

第一，当前国内数据分级合规体系仍处于完善阶段，多数细分行业尚未出台专项数据识别与评估指引，行业判定标准存在一定空白。同时，通用类数据分类分级国家标准仅提供原则性、框架性判定规则，细化判定维度与实操界定标准相对有限，企业难以精准、全面地完成内部数据资产分级甄别，普遍存在数据属性判定偏差、漏判误判的合规隐患，极易出现企业自我认定为一般数据处理场景，但实际已触及重要数据管控范畴的情形，存在隐性合规风险。

第二，《办法》第十七条明确规定了监管强制第三方评估的适用情形，为一般数据处理者划定了合规红线。条文明确省级以上监管部门在监督核查中，若发现企业数据处理活动存在重大安全隐患、引发数据安全泄露事件或存在其他合规异常情形，可依法要求企业委托认证第三方机构开展专项风险评估。该条款意味着一般数据处理者的宽松合规待遇仅为常态化状态下的柔性指引，一旦出现数据安全风险隐患或合规问题，将直接触发强制评估的刚性监管要求，产生相应合规成本与监管压力。

（二）评估实施方式：自主评估与第三方委托评估双路径解析

《办法》第七条明确网络数据处理者可以自行或者委托第三方评估机构开展风险评估，同时第八条至第十四条完整列明第三方评估机构的资质要求、行为约束与法定责任，在赋予企业评估方式选择权的同时划定从业红线，解决企业“自主评估还是外包评估”的实操难题。

1. 企业自主评估模式

企业自主模式适配数据规模小、业务场景单一的中小微企业，按照《办法》第七条中“网络数据处理者自行开展风险评估，应当指定专人负责”的硬性规定，企业需设置专职人员统筹评估工作，建议由数据安全负责人、信息安全主管兼任，留存岗位权责文件；评估全流程完整留痕，妥善保管评估方案、风险清单、整改记录、内部评审资料，评估报告可参照官方模板简化撰写。该模式优势是合规成本更低、内部团队熟悉业务、不用对外披露敏感经营数据；短板在于评估独立性偏弱，一旦发生数据安全事件，监管层面大概率会要求企业重新委托第三方机构复核评估。

2. 委托第三方机构评估模式

选择委托第三方机构评估的方式，适用于大型互联网平台、重要数据处理企业、监管下达指令要求评估的场景，企业挑选服务商必须遵守三条法定规则：

一是资质优先，《办法》第八条提出鼓励相关评估机构通过认证，监管强制评估场景必须选用取得认证的服务商，仅企业自愿自查时可选用未认证机构；

二是合作周期限制，依据《办法》第十二条，同一评估机构及其关联机构不得连续3次以上为同一家企业出具年度风险评估，企业需建立服务商轮换台账，规避长期合作带来利益捆绑、评估流于形式的问题；

三是禁止转包，《办法》第十一条规定评估机构不得转委托其他机构承接评估业务，全部评估人员须为本机构在册持证人员，相关违约赔偿条款必须写入服务合同。

3. 第三方评估机构法定责任

第三方机构对应的法定义务均在法规中有明确依据，企业签订服务合同时需全部落实到条款中：

第一，遵照《办法》第十条，机构开展评估需公正客观，对出具报告的真实性、有效性、完整性承担全部责任，不得配合企业出具不实、美化后的评估结论；

第二，按照《办法》第十三条要求，评估过程中排查出重大数据安全风险，需第一时间告知企业，并按规定向省级监管部门上报；

第三，依据《办法》第十四条的保密条款，机构及工作人员对评估过程接触的企业数据、商业秘密予以保密，评估结束后及时删除或按合同处置全部原始业务数据，不得私自留存副本。

（三）企业委托第三方评估需履行的法定配合义务

《办法》第十八条完整列明企业委托第三方评估时的全部法定义务，无论企业是自愿委托第三方机构开展评估，还是收到监管要求必须委托评估，都需要逐条落实以下要求并同步留存全部配合证明材料，未依规落实的，监管可直接认定企业拒不配合合规检查：

一是为评估机构开展风险评估提供必要支持，向评估人员开放业务系统、数据库、操作日志、全链路数据流转记录，不得刻意隐瞒业务场景、删减数据资料；

二是承担全部评估服务费用，业务场景极度复杂的，可向对应主管申请适当延长评估周期；

三是取得评估报告后按时报送监管，报告需由机构负责人、评估项目负责人签字并加盖机构公章；

四是对照报告列明风险点完成整改，整改完毕15个工作日内向主管部门提交完整整改报告； 

五是不得干预评估客观结论，严禁以利诱、施压等方式要求机构调低风险等级、隐瞒安全漏洞。

（四）监管指令强制第三方评估

监管可要求企业委托持证第三方开展强制评估的情形，在《办法》第十七条中作出清晰界定，无论企业是否完成自主评估，出现下列任一情形监管部门均可提出要求，企业不得拒绝配合：

一是网络数据处理活动存在较大安全风险，有可能危害国家安全、公共利益；

二是发生网络数据安全事件，造成重要数据或大规模个人信息泄露、窃取；

三是国家网信、行业主管部门规定的其他情形。

同时《办法》第十七条同步设置减负规则，针对同一网络数据安全事件、同一批风险隐患，监管部门不得重复要求企业委托评估机构开展评估，避免企业重复投入人力、资金成本。

三、评估报告报送、归档规范

《办法》第十五条、十六条专门规范风险评估报告的编制、存档、报送与监管核验规则，明确重要数据与一般数据处理者的差异化义务，所有合规要求均严格依据法条原文设定，为企业报告收尾合规工作提供明确依据。

在报告编制与存档方面，法条作出分层规定。针对重要数据处理者，开展年度风险评估需按照有关主管部门规定编制风险评估报告；主管部门无相关规定的，可参照数据安全风险评估有关国家标准编制。法条明确硬性存档要求，风险评估报告应当至少保存3年。针对一般数据处理者，可参照前述要求编制风险评估报告，无法定强制编制、存档义务。

在报告报送规则上，仅重要数据处理者负有法定报送义务。企业需在年度风险评估完成后的20个工作日内，按照主管部门要求报送风险评估报告；主管部门不明确的，向省级网信部门或者国家网信部门报送。同时明确监管流转机制：有关主管部门需公开报送渠道和联系方式，接收报告后10个工作日内通报同级网信部门，由国家网信部门汇总相关报告，并与国务院电信、公安、国家安全等有关部门共享。

四、评估报告编制规范与过渡期填报依据

本次正式落地施行的《办法》，已在法条层面明确了评估报告编制的法定框架与合规原则。依据第十五条规定，企业报告编制将严格遵循“主管部门规范优先、国家标准兜底补充”的分层适配规则。后续各行业主管部门将结合行业业务特性与数据安全管控要求，陆续出台细化的报告编制细则、统一内容范式与填报标准，持续迭代完善分层、精准、适配行业场景的报告合规管理体系。

在行业细化规范落地的过渡阶段，为保障企业评估工作标准化、规范化开展，稳妥落实合规报送要求，企业可统一参照《网络数据安全风险评估办法（征求意见稿）》配套官方报告模板开展报告编制工作。该模板为官方标准化范本，完全贴合当前监管导向，是现阶段企业合规填报的权威参考依据。结合本次公示的官方完整模板原文，企业报告需严格按照官方既定结构、必填模块如实编制，核心涵盖八大填报维度：

一是基础合规前置模块，如实填报报告声明、企业资质、安全负责人、评估团队及整体风险结论等基础信息，夯实报告合规基础；

二是评估全流程纪实模块，明确评估依据、范围、方法、周期与人员分工，完整留存评估全过程可溯源记录；

三是核心必填的企业数据与业务全景摸排模块，全面梳理企业组织架构、业务系统、数据分类分级情况，完整填报数据全生命周期各类处理场景及数据量级、流转路径、合作主体等真实信息；

四是安全防护与历史风险核查模块，如实填报企业已开展的各类合规测评、现有安全制度与技术防护措施，统计近三年数据安全相关事件、投诉及整改情况； 

五是四维风险识别专项模块，从数据安全管理、数据处理活动、数据安全技术、个人信息保护四大维度，逐项核查梳理风险场景、涉及系统、数据量级及风险源头；

六是专项场景补充模块，存在重要数据对外提供、委托共同处理、关键业务及供应链数据安全场景的企业，需专项填报对应内容，无相关场景可豁免；

七是风险研判与闭环处置模块，依托标准风险汇总表完成风险等级、成因、危害研判，匹配对应整改措施与时限，形成闭环处置台账；

八是正式成文合规要件，第三方评估报告需完成负责人签字、机构盖章，全套表单及佐证材料统一归档，满足最低3年留存的合规要求。

总体而言，在行业专属细化规范正式落地前，企业严格参照本次官方公示的征求意见稿标准模板逐项填报、完整归档，完全契合《办法》立法精神与现阶段合规要求，可标准化完成评估归档、监管报送工作，平稳衔接后续行业精细化合规细则落地。

五、企业长效落地执行六大实操方案

（一）精准完成重要数据定级识别与主动申报，锁定自身合规主体身份

开展各项风险评估合规工作的前置基础，是精准界定企业合规主体类型。对照所属行业配套的重要数据识别指引、国家通用分级判定规范全面摸排内部数据资产，自上而下完成全量数据梳理、标签分级与定级认定，编制包含数据类型、存储位置、处理规模、流转路径、防护举措在内的重要数据目录，依照属地监管要求完成备案申报，据此确认自身是否属于重要数据处理者，对应执行年度强制评估、专项前置评估、按期报送报告等硬性义务；仅处理普通经营数据的主体只需落实常态化自查工作。如若梳理过程中出现数据边界模糊、现有规范无法明确定级的情形，不建议仅凭企业自身判断定性来规避合规义务，整理业务场景、数据情况、现有管控措施等材料，以书面形式对接行业主管部门、属地省级网信部门咨询确认，妥善留存往来凭证与官方答复文件，以监管权威意见作为内部定级依据，规避自主判断失误带来的合规隐患。

（二）搭建业务前置审批机制，把评估要求嵌入业务全流程

不要将风险评估作为年度一次性合规任务，而是在新产品上线、数据对外共享、供应链新增合作方、系统架构迁移、数据出境立项环节增设数据安全预审节点。由业务部门前置提交数据流转清单，合规团队快速判定是否触发专项评估义务，从源头规避“先运营、后补评估”的违规情形。明确业务线为数据源头第一责任人，每季度更新业务新增数据场景台账，同步推送至安全、法务部门，解决事后临时摸排、漏判重要数据的痛点。

（三）打通多类合规成果互认通道，降低重复合规成本

依据《办法》制度协同原则，建立内部合规成果共享库，实现等保测评、个人信息保护影响评估、商用密码安全性评估、数据安全审计材料互通复用。编制评估报告时，直接调取存量测评报告、漏洞整改台账、个人信息核查底稿作为佐证附件，无需重复开展数据盘点、系统漏洞复测；监管核查、年度评估统一使用同一套数据资产分级清单，避免多套材料重复制作，减少人力、资金重复投入。同时留存各类合规报告的对应关联说明，监管核验时可快速证明评估工作的完整性，契合“同一风险不重复强制评估”的减负规则。

（四）主动适配行业专项细则，建立规则动态更新台账

遵循《办法》“行业另有规定从其规定”的衔接条款，安排专人跟踪所属行业主管部门发布的专项评估实施细则、专属重要数据目录、差异化报送要求。对暂无行业统一规范的细分赛道，若内部数据属性判定存疑，主动向属地行业监管、省级网信部门提交书面咨询并留存回执，以官方书面答复作为重要数据识别的合规依据，彻底消除自主判定偏差带来的隐性处罚风险。建立行业规则更新台账，新规正式落地后1个月内完成内部评估流程、报告模板同步迭代，确保内部合规体系始终紧跟监管最新要求。

（五）完善内部责任与考核追责体系，杜绝评估流于纸面

将风险评估整改落地、数据资产动态更新、专项评估前置执行情况纳入部门与岗位绩效考核，明确数据安全负责人、系统运维、业务负责人分层追责边界。针对隐瞒数据流转场景、干预第三方评估结论、高风险隐患逾期未整改、档案保管缺失等行为设置内部约束机制；对评估中识别的高风险项设置专项督办机制，由高管层跟踪整改进度，避免评估报告仅存档、风险长期搁置，同时留存考核、督办全套书面记录，监管现场核查时可作为企业主动压实数据安全主体责任的有效佐证材料。

（六）常态化开展全员数据安全培训，夯实评估落地基础

面向业务、运营、技术、行政全员开展分层精准培训：业务侧重点讲解重要数据流转前置专项评估触发条件、业务提报流程；技术侧聚焦评估期间系统权限开放、运行日志留存、安全漏洞闭环整改规范；管理层厘清年度常规评估、重大业务变更专项评估的管理职责与督办义务。每年组织线下或线上专项培训，完整留存培训签到表、授课课件、结业考核试卷及成绩记录，从根源化解一线工作人员不熟悉评估规则、无意识违规流转重要数据的常见问题，从业务前端减少新增数据安全风险。

国际隐私专业协会注册信息隐私专家（CIPP/E）

环太平洋律师协会（IPBA）成员

亚洲太平洋法律律师协会（LAWASIA）成员

最高人民检察院民事、行政案件咨询专家

新加坡国际商事法院SICC注册外国律师

上市公司独立董事资格

华东政法大学国际金融法律学院校外兼职导师

上海对外经贸大学硕士研究生导师

上海政法学院法律硕士研究生导师（国际仲裁）

上海电视台新闻综合“律师说”栏目特邀嘉宾

上海市律师代表

上海东方国际商事调解院首批调解员

市律协外事委员会委员

市律协规划与规则委员会委员

市律协互联网与信息技术业务委员会委员

浦东新区青联常委会副秘书长、委员

浦东新区团区委委员、浦东新区律师团委书记

浦东新区律师青联监事长、理事

浦东新区立法工作律师专家库成员

浦东新区人民法院特邀律师调解员

浦东新区社会建设青年人才协会监事

浦东新区法律服务业协会秘书长

教育背景：

华东政法大学国际法法学博士

英国赫特福德大学法学硕士

国际、国内仲裁机构资深仲裁员：

国内：乌鲁木齐、九江、赣江、潍坊、淄博、大同、铜陵、连云港、盐城、安阳、岳阳、承德、唐山、北海、玉林、沧州、普洱、东营、江门、荆门、柳州、阳江、衡水、揭阳、株洲、榆林、双鸭山、漳州、六安、德阳、安康、龙岩、吉安、黄山、临汾、丽水仲裁委员会等三十余家仲裁机构

国际：伦敦国际仲裁院（LCIA）仲裁库成员、斯德哥尔摩商会仲裁院（SCC）仲裁库成员、维也纳国际仲裁中心（VIAC）仲裁库成员、墨西哥仲裁中心（CAM）仲裁库成员、泰国国际仲裁中心（THAC）仲裁员、亚太国际仲裁院（APIAC）仲裁员、科维斯基金会国际争议解决中心（KFCRI）仲裁员

国际调解机构资深调解员：

ADR ODR International

Singapore International Mediation Institute(SIMI)

International Mediation Institute

Civil Mediation Council, UK

Thailand Arbitration Center(THAC)

个人简介：

在长达十逾年的法律工作经验中，李旻律师先后为大型国企集团及民营企业、跨国公司、境外企业、各地政府及行业协会等三十余家单位提供专业法律服务，包括中国中车、中国银联、中国移动、中国人寿、中国科学院、中国人民银行清算中心、长城集团、光明集团、通用集团、地矿集团、上海机场集团、上海国际汽车集团、齐鲁集团等，客户涉及金融投资、国际贸易、房地产、船舶航运、网络游戏、电商平台、食品餐饮、医疗器械、文化传媒、新能源汽车等领域。

李旻律师还同时具有在英国Curwens律所及新加坡PDLegal LLC律所的工作经验，代理了数百起国内知名诉讼和仲裁案件，并有在香港国际仲裁中心、上海仲裁委员会、上海国际仲裁中心等境内外仲裁机构代理涉外商事仲裁案件的丰富经验，熟悉各类证据开示、证人盘问等庭审技巧，尤其擅长各类合同违约/预期违约纠纷、资产管理合同纠纷、交通运输合同纠纷、公司纠纷、股权转让纠纷、房地产开发及收购项目纠纷、外商投资纠纷、国际贸易纠纷等方面的争议解决业务，以其提供的专业、优质法律服务及符合预期的案件结果，获得客户的高度好评。

截至目前，李旻律师累计出版了三本专著，六本合著，在《中国流通经济》、《新金融》等CSSCI和国内多家核心期刊公开发表论文六篇，其执业事迹及时事评论多次被央视网、新闻综合、新华社、等八十余家报刊、媒体进行采访和报道。

李旻律师曾入选上海市首届鼎新法治人才（深耕者），并荣获上海市青年五四奖章个人、上海市优秀志愿者、上海市律师协会首届商事模拟仲裁优秀风采奖、浦东新区十大杰出青年律师、浦东新区十大杰出青年提名奖等荣誉称号。