202608060317

中文标题： 《网络数据安全风险评估办法》8月20日施行：重要数据处理者年度评估成法定义务，企业数据合规自查清单

8月20日起，由国家互联网信息办公室、工业和信息化部、公安部联合制定的《网络数据安全风险评估办法》将正式施行。这是《数据安全法》配套制度体系中的关键一环，标志着数据安全风险评估从行业指引上升为法定标准化动作。对于处理重要数据的跨境贸易、金融、物流、数字平台等企业，风险评估将从"可选"变为"必选"，违规后果包括责令整改、暂停业务乃至行政处罚。

办法共25条，围绕"谁来评、评什么、怎么评、多久评一次"四个核心问题，构建了差异化的风险评估制度框架。首先，在评估频次上实行分类管理：重要数据处理者应当每年度开展一次风险评估；重要数据安全状态发生重大变化（如业务架构调整、数据范围变动）可能对数据安全造成不利影响的，应当及时对变化部分开展专项评估；处理一般数据的网络数据处理者，鼓励至少每三年开展一次风险评估。这一分层机制的核心是"重要数据"的界定，企业需要首先完成数据资产盘点与分级分类，准确识别是否涉及重要数据处理。

其次，在评估内容上，办法要求覆盖数据资产清单梳理、数据安全管理制度、数据处理活动合规性、安全技术措施有效性、安全事件应急预案五大维度，重点识别数据泄露、非法篡改、违规出境三类安全隐患。对于涉及重要数据加密等技术措施的，还需按照密码相关法律法规开展商用密码应用安全性评估。

三是评估实施方式灵活但标准严格。网络数据处理者可以自行开展风险评估，也可委托第三方评估机构实施。但办法对评估机构设置了明确的资质和能力要求，确保评估结果的客观性和专业性。评估报告应如实记录评估过程、发现的风险点、整改建议及整改落实进展，重要数据处理者的年度评估报告需向行业主管部门报送或留存备查。

对于有跨境数据流动需求的企业，办法与《数据出境安全评估办法》《个人信息出境标准合同办法》形成了衔接：企业在数据出境申报或备案前，应先行完成网络安全数据安全风险评估，将出境场景纳入风险评估范围。业内人士指出，这一要求意味着跨境业务企业在申报数据出境安全评估时，需要提供已完成的数据安全风险评估报告作为支撑材料，合规工作的前置性和系统性要求进一步提高。

从合规实操角度看，距办法施行仅有两周时间，建议相关企业抓紧推进四项工作：第一，完成数据资产全面盘点并建立分级分类清单，锁定是否涉及重要数据处理；第二，对照办法要求的五大维度，开展一次预评估，梳理现有管理制度和技术措施中的差距项；第三，明确评估实施主体——选择内部团队自行评估还是委托专业机构，如委托第三方需尽早启动选聘流程；第四，将跨境数据场景纳入评估范围，避免数据出境合规工作与安全风险评估脱节。对于外贸、跨境物流、跨境电商等行业企业而言，客户资料、供应商信息、物流单据等数据能否跨境传输、传输前需满足哪些安全评估条件，需在办法施行前形成明确的操作指引。