《网络安全等级保护条例》要来了？一份写给政企负责人的大白话解读

最新推荐文章于 2026-08-21 06:00:00 发布

原创最新推荐文章于 2026-08-21 06:00:00 发布 · 164 阅读

3 ·

本内容遵循CC 4.0 BY-SA版权协议

GEO检测

收录于

等级保护专项

《网络安全等级保护条例》要来了？一份写给政企负责人的"大白话"解读

——站在网络安全从业者视角，把"等保"讲成人话

如果你开了一家银行，金库要装几道门、配几名保安，国家有明文标准；那如果你的单位有一套信息系统，该配多少道安全"门锁"、多久做一次"安全体检"，国家同样有标准——这就是网络安全等级保护，业内简称"等保"。

但等保的"根本大法"——《网络安全等级保护条例》，从 2018 年公开征求意见算起，直到今天已经整整 7 年多仍未正式出台。为什么"千呼万唤不出来"？它到底管什么？政企单位现在该干什么？这篇文章，我们一次说清。

本文解读所依据的，是公安部 2018 年 6 月发布的《网络安全等级保护条例（征求意见稿）》，共 8 章 73 条；并结合同步推进中的上位法与最新立法进展。条例正式文本以未来出台版本为准。

一、等保，到底是个啥？

打个比方：等保就是给单位的网络"上户口、定级别、按级配保安"。

它的法律地位并不低——《网络安全法》（2017 年）早就把等保确立为国家基本制度。条例的作用，是把这套已经运行多年的制度，从"部门规章、标准规范"升级为国务院行政法规，让"分等级保护、分等级监管"真正长出牙齿。

一句话说清范围：**在我国境内建设、运营、维护、使用网络的单位，都要做等保。**唯一豁免的，是个人及家庭自建自用的网络。也就是说，只要是"单位"，几乎都在射程之内。

那网络分几级？请看这张"金字塔"：

简单记：第一级是"自家受损"，第五级是"国本动摇"。绝大多数党政机关、企事业单位的重要系统落在第二、三级，金融、能源、交通、通信等关键信息基础设施往往触及第三、四级。

二、五步走，把等保"落地"

等保不是买一套设备就完事，而是一条完整的"流水线"。条例把这套流程写得很清楚，核心就五步：

**① 定级：**在"规划设计阶段"就定好级别；以后功能、服务对象、处理的数据发生重大变化，必须变更定级。二级以上要组织专家评审，有行业主管部门的还要报请核准。

**② 备案：**二级以上网络，定级后 10 个工作日内到县级以上公安机关备案；材料合格的，公安 10 个工作日内出具《备案证明》。

③ 安全建设整改：落实"三同步"——网络安全、保密、密码保护措施，要同步规划、同步建设、同步运行。很多单位事后补丁，就是卡在这一步。

④ 等级测评：三级以上网络每年至少测评一次；新建的三级以上网络，上线运行前必须测评通过，否则不能投用。

⑤ 监督检查与自查：网络运营者每年至少做一次自查；公安机关对三级以上网络每年至少一次安全检查。

三、三级以上，"加试"来了

这是政企负责人最该盯紧的一段。三级以上网络，除了上面那套"常规动作"，还要额外过几道关：

设专门机构：

明确网络安全管理机构，关键岗位人员要做安全背景审查、持证上岗；
态势感知对接公安：

建设安全监测平台，对运行状态、流量、用户行为动态分析，并与同级公安机关对接；
境内维护：

三级以上网络应当在境内实施技术维护，不得境外远程技术维护（确需的要做评估+风险管控+留日志）；
密码应用安全性评估：

三级以上必须采用密码保护，并每年至少做一次"密评"；
数据底线：

重要数据备份、分类分级，个人信息收集严守"最小必要"，防泄露、防滥用。

提醒：2025 年起，备案证明有效期改为三年，完成一次测评自动延长一年。这意味着"备过案就高枕无忧"的时代结束了，动态维护才是常态。

四、谁来管？"五指山"分工

等保不是公安一家的事。条例把"九龙"排了座次，形成一张分工网：

注意最右一栏：省级以上的公安、保密、密码部门，发现网络存在较大安全风险或发生安全事件，可以直接约谈单位的法定代表人、主要负责人。这不是"请喝茶"，是正式监管动作。

五、不做的代价

以往很多企业把等保当"走过场"，一个重要原因是罚则"软"。这个情况正在改变：

不履行定级、备案、测评、整改等义务的，按《网络安全法》处罚；三级以上从重；
2026 年 1 月 1 日施行的新版《网络安全法》，把等保相关罚款上限从原来的 5 万元以下，直接提升到5 万元以上 50 万元以下；
拒不改正或情节严重的，可责令暂停业务、停业整顿，直至吊销许可证或营业执照；
测评机构泄露、非法出售个人信息的，没收违法所得、最高十倍罚款，直至吊销资质。
换句话说："不做等保"已经从合规瑕疵，变成了真金白银的财务风险。

六、为什么"千呼万唤不出来"？

这是本文最关键的一问。2018 年的征求意见稿写得相当完整，为何 7 年多仍未落地？结合立法脉络，至少有五重原因：

**1. 标准先行、法规跟进。**等保向来是"标准跑在前面"。2019 年"等保 2.0"核心标准才发布，保护范围扩到云、物、工控；2025 年底公安部又一口气发布 6 项新标准（边缘计算、大数据、IPv6、区块链、云计算、5G 接入），2026 年 2 月才实施。条例若要"管得住新技术"，就必须等标准先就位。

**2. 上位法衔接。**条例不能和《网络安全法》《数据安全法》《个人信息保护法》以及 2024 年的《网络数据安全管理条例》“打架”。其中新版《网络安全法》直到 2026 年 1 月 1 日才施行，条例必须等"母法"定稿再对齐。

**3. 跨部门协调难。**公安、网信、保密、密码、行业主管部门"五龙治水"，职责既要厘清边界、又要建立协同，稍有不慎就会出现"都管"或"都不管"。这种机制的磨合，天然需要时间。

**4. 立法审慎。**等保覆盖面极广，几乎涉及所有政企单位。罚则轻重、中小企业合规成本、与"营商环境"的平衡，都需要广泛征求意见、慎之又慎。

**5. 技术快速演进。**AI 深度伪造、量子计算、数据跨境等新风险不断涌现，立法既要前瞻又不能冒进，否则一出台就过时。

好消息是，进度条在动：2025 年 5 月 14 日，国务院首次将《网络安全等级保护条例》纳入年度立法工作计划"预备制定"清单，2026 年继续在列。业内专家普遍判断，条例有望在"十五五"前期正式出台。