2026年6月18日，国家互联网信息办公室、工业和信息化部、公安部联合公布《网络数据安全风险评估办法》（以下简称《办法》），全文25条，自2026年8月20日起施行〔1〕。发布机关不含国家安全部，国家安全机关的角色在第16条，即参与报告共享并可核验报告真实性。本文原稿写于2026年7月，以下保留其对制度的分析，并将上线时已经过期的倒计时改为常态合规事项。
从条文看，《办法》多半是把年度评估的周期和报送流程写细，读起来像一份程序性文件。笔者认为这是一部部门规章，而部门规章恰好是几个数据类罪名在认定前置违法性时要看的规范层级。
一、这部规章坐在数据安全法律体系的哪一层
《数据安全法》第30条早已要求重要数据处理者定期开展风险评估并报送报告〔2〕，《网络数据安全管理条例》第33条又把报告内容细化为七项，覆盖管理机构信息、技术措施有效性、安全事件处置与数据出境等〔3〕。义务本身并不新鲜，《办法》补上的是操作层面的空白，即谁来评、多久评一次、报给谁、多久报。
企业容易混淆的是这套评估与手上已有的几项义务究竟是什么关系。《网络安全法》第21条确立的等级保护属于网络层面的基础义务〔4〕，《个人信息保护法》第54条要求定期合规审计，第55条另列举了处理敏感个人信息、自动化决策、对外提供和出境等应当事前评估的情形〔5〕。这几套评估在时间和方法上可以衔接，但做了等保测评并不等于完成了网络数据风险评估，谁也替代不了谁。
《条例》第62条第4项给重要数据设了两个维度，范围上指向特定领域、特定群体或者特定区域，或者达到一定精度和规模；后果上要求一旦遭到篡改、破坏或者非法利用，可能直接危害国家安全、经济运行和社会稳定等。核心数据依《数据安全法》第21条第2款适用更严格的管理制度，《办法》第23条把它的评估交由国家另行规定，一般数据不在强制范围内。企业是否需要做这件事，起点就是手里的数据处在哪一层。
二、谁必须做，什么时候必须重做
重要数据处理者应当每年度开展评估，安全状态发生重大变化可能造成不利影响的还应当及时就变化及其影响的部分评估，一般数据处理者至少每三年评估一次。《办法》第5条这三档只有前两档强制，第三档属于鼓励性表述，未达到该频率不当然违法。
至于什么算重大变化，《办法》没有列举，答案要到行业细则里去找。《工业和信息化领域数据安全风险评估实施细则（试行）》第6条列明五项，包括新增跨主体提供或者转移核心数据，处理目的与安全策略发生重大调整，发生涉及重要数据的安全事件，目录备案内容重大变化，以及监管部门要求评估的其他情形〔6〕。工信领域企业可以直接把这份清单写进内部制度，其他行业企业也宜参照。
与《办法》同日公布的《交通运输数据安全管理办法》，其第23条把年度评估义务扩展到重要数据处理者、核心数据处理者和一千万人以上个人信息处理者〔7〕。一家交通运输企业即便自认不掌握重要数据，只要个人信息规模过线，义务同样成立。行业细则在这里已经不只是补充，口径比《办法》本身还宽，判断自己是否落入强制范围，顺序应当先看行业细则，再看《办法》。
三、报告怎么写，报到哪里，不做罚多少
《办法》第15条要求依主管部门规定编制报告，没有规定的可以参照国家标准，报告至少保存三年。第16条随后给出报送链条，重要数据处理者应在年度评估完成后20个工作日内报送主管部门，主管部门不明确的向省级或国家网信部门报送；主管部门收到后10个工作日内通报同级网信部门，国家网信部门汇总后与电信、公安、国家安全等部门共享。
第17条在这条常态链条之外另设一种情形，有关部门在核验和监督检查中发现数据处理活动存在较大安全风险，或者发生安全事件导致重要数据、大规模个人信息泄露的，可以要求企业委托通过认证的评估机构评估，对同一事件不得重复要求。被要求的企业依第18条须提供访问系统及日志的权限，限期完成评估，报送机构盖章的报告，并在整改完成后15个工作日内报送整改情况。
翻遍《办法》找不到罚款条款，第22条只写明未按规定开展评估的依《数据安全法》等处理，责任落点在该法第45条。未履行第30条义务的，责令改正并给予警告，可以并处五万元以上五十万元以下罚款，直接责任人员另处一万元以上十万元以下罚款；拒不改正或者造成大量数据泄露等严重后果的，罚款升至五十万元以上二百万元以下，并可责令停业整顿直至吊销营业执照。
四、这份报告会怎样出现在刑事案件里
《刑法》第253条之一的侵犯公民个人信息罪以违反国家有关规定为前提，而法释〔2017〕10号第2条把这一前提的范围划到了部门规章一级，即违反法律、行政法规、部门规章中有关公民个人信息保护的规定的，均属于违反国家有关规定〔8〕。《办法》恰好就是部门规章。其中涉及个人信息保护的部分，8月20日之后可以成为认定前置违法性的规范依据之一。 这不意味着整部《办法》当然纳入，漏做评估也不等于已经非法提供信息，但规范层级的门槛确实跨过了。
更直接的影响出现在拒不履行信息网络安全管理义务罪上。《刑法》第286条之一要求网络服务提供者不履行法定安全管理义务，经监管部门责令采取改正措施而拒不改正，并造成用户信息泄露等严重后果，其中责令与拒不改正两个环节此前在实践中最难固定。《办法》第17条至第19条建立起核验、要求委托评估、责令整改直至可以要求停止处理重要数据的完整书面链条，客观上把这两个要件的证据补齐了。收到监管意见后拖着不办的做法，今后会在卷宗里留下清晰刻度。
前面提到的第16条共享机制，落到刑事程序里就是报告进入办案机关视野的第一条路径。另一条是执法转刑事，行政执法机关在查处中发现涉嫌构成犯罪依法需追究刑事责任的，必须依《行政执法机关移送涉嫌犯罪案件的规定》第3条向公安机关移送〔9〕。共享不等于移送，移送也不等于构成犯罪，仍须回到构成要件和证据标准审查。
五、报告能证明什么，企业应保存哪些整改材料
拿到一份结论合格的报告，企业容易误以为同时拿到了免责凭证。报告能证明的只是企业在特定时点识别了哪些风险、采取了哪些措施，证明不了报告之外的真实数据流向没有问题。判断主观状态时，报告发挥作用的方式常常是反向的，即报告已写明某项高危风险而企业长期不整改，恰好证明相关人员知道风险存在。 有用的是整改闭环，每项风险应指定负责人、期限和复核人，并保存整改工单与复测结果。
《办法》第18条第2款还划了一条红线，禁止企业以任何方式要求或者示意评估机构出具不实报告。评估过程本身同样存在风险。评估人员依同条第一项获得访问系统和日志的权限，一旦超范围进入生产系统或复制无关数据，即便形成了报告，也不能当然排除《刑法》第285条第2款的适用。委托合同中的授权清单、账号有效期和操作日志，是事后界定边界的主要材料。
企业首先应比对本行业重要数据目录和主管部门告知函确认自身身份，查实报送渠道，并指定评估负责人报法定代表人签批。接着把工信部细则的五项情形，连同系统上云、权限重构、并购分立和新增出境路径写入项目上线与采购评审表，由项目经理立项时勾选、数据安全负责人复核，触及任一项即启动局部评估。最后把评估底稿、问题清单和整改工单与报告同步归档，保存不短于三年。这三件事的次序不宜颠倒，身份不清则报送无门，流程不改则重评必漏。
注释
〔1〕《网络数据安全风险评估办法》，国家互联网信息办公室、工业和信息化部、公安部令第24号，2026年6月18日公布，2026年8月20日起施行。
〔2〕《中华人民共和国数据安全法》，全国人民代表大会常务委员会，中华人民共和国主席令第84号，2021年9月1日起施行。
〔3〕《网络数据安全管理条例》，国务院令第790号，2025年1月1日起施行。
〔4〕《中华人民共和国网络安全法》（2025年修正），全国人民代表大会常务委员会，中华人民共和国主席令第61号，2026年1月1日起施行。
〔5〕《中华人民共和国个人信息保护法》，全国人民代表大会常务委员会，中华人民共和国主席令第91号，2021年11月1日起施行。
〔6〕《工业和信息化领域数据安全风险评估实施细则（试行）》，工业和信息化部，工信部网安〔2024〕82号。
〔7〕《交通运输数据安全管理办法》，交通运输部，交科技规〔2026〕3号。
〔8〕《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》，法释〔2017〕10号，2017年5月8日公布。
〔9〕《行政执法机关移送涉嫌犯罪案件的规定》（2020年修订），国务院令第730号。