【摘要】

2026年8月6日，公安部发布《公安机关网络空间安全监督检查办法》（公安部令第176号），自2026年10月1日起施行，同时废止2018年发布的《公安机关互联网安全监督检查规定》（公安部令第151号）。

与2018年《规定》相比，新《办法》并非简单的修订和补充，而是对公安机关网络空间安全监督检查制度的一次系统性重构：监管对象从互联网服务提供者扩展至网络运营者、数据处理者、个人信息处理者等网络空间的所有参与者；检查内容从网络安全扩展至网络安全、数据安全、信息安全，并首次明确将算法安全、个人信息保护等纳入检查范围；检查方式从现场检查、远程检测进一步发展为网络信息巡查、漏洞扫描、漏洞探测和渗透性测试；同时建立年度检查、多部门协同、公安提示函、风险通报和负责人约谈等机制。

对于企业而言，公安机关网络空间安全监督检查正在从相对偶发的网络安全执法活动，逐步转变为企业网络、数据、个人信息安全以及人工智能合规治理体系中的一项常态化监管要求。企业有必要在《办法》正式实施前，对自身网络安全、数据安全、个人信息保护、算法安全和漏洞治理体系进行一次系统性梳理。

一、从“互联网安全”到“网络空间安全”：监管范围明显扩大

2018年《公安机关互联网安全监督检查规定》（以下简称“《规定》”）出台时，我国网络安全监管体系尚处于加快建设阶段，其监管对象主要是互联网服务提供者和联网使用单位，检查重点也主要集中于网络安全制度、网络日志、网络攻击防护、违法信息防范以及网络安全等级保护等传统网络安全义务。

2026年《公安机关网络空间安全监督检查办法》（以下简称“《办法》”）顺应网络空间发展新形势，对监管对象和监管内容进行了适配与扩容，实现了对网络空间各类参与主体的全面覆盖。

《办法》第二条明确，网络空间安全包括网络安全、数据安全和信息安全；第六条进一步将互联网服务提供者、公共上网服务提供者、网络运营者、关键信息基础设施运营者、网络产品和服务提供者、数据处理者、个人信息处理者等纳入监督检查对象。

这意味着，企业凡是参与网络空间活动的，都将成为公安机关监督检查的对象。

对于传统制造、零售、消费品、医药、汽车、金融以及其他非互联网企业而言，如果其运营网络、处理数据、处理个人信息或者使用相关网络产品和服务，同样可能进入公安机关网络空间安全监督检查的范围。

因此，企业亟需完成的重要认知转换是：过去判断的标准是“我是不是互联网服务提供者”，而现在需要厘清的是“我是不是网络空间安全相关主体”。

二、五大变化：新《办法》释放了哪些重要监管信号

（一） 变化一：监管对象从“互联网服务提供者”扩展到网络空间各类主体

《办法》第六条列举的监管对象已经覆盖网络运营、网络产品和服务、数据处理、个人信息处理等多个领域。尤其值得注意的是，新增明确列举了：

（1） 网络运营者及其建设者、维护者；

（2） 关键信息基础设施运营者及其建设者、维护者；

（3） 网络产品、服务提供者；

（4） 数据处理者；

（5） 个人信息处理者。

因此，大量过去并不认为自己属于“公安互联网安全检查对象”的企业，需要重新评估自身的监管适用情况。企业首先需要进行一次“身份识别”，分别判断自身是否属于：网络运营者、关键信息基础设施运营者、网络产品/服务提供者、数据处理者或个人信息处理者，并进一步梳理不同身份对应的法定义务。

（二） 变化二：检查内容从“网络安全”扩展到“网络+数据+信息安全”

《办法》第七条在保留网络安全制度、日志留存、技术防护、违法信息防范、等级保护等传统检查事项的同时，增加或者强化了：

（1） 关键信息基础设施安全保护；

（2） 网络安全漏洞、隐患整改；

（3） 算法安全；

（4） 数据安全；

（5） 个人信息保护。

其中，算法安全尤其值得关注。《办法》明确要求检查企业是否依法落实算法安全主体责任，建立健全算法推荐管理制度和技术措施。而2018年《规定》并不存在对应规定。这意味着，对于具有算法推荐功能的内容平台、电商平台等平台企业以及部分AI相关企业而言，算法安全合规将进一步成为公安监督检查的重要范畴。

与此同时，《个人信息保护法》《数据安全法》等法律法规被明确列为《办法》的制定依据，数据安全和个人信息保护合规也明确进入公安网络空间安全监督检查的制度框架。

（三） 变化三：检查方式升级为“线上巡查+技术检测+现场核查”

2018年《规定》规定的主要检查方式是现场监督检查或者远程检测。而《办法》则进一步建立了网络信息巡查、信息审核能力测试、漏洞扫描、漏洞探测、渗透性测试和现场核查等多种检查方式，同时明确了相关检查开展的实施主体、具体告知要求。

这意味着公安机关可以先通过技术手段在线发现企业的网络空间风险，再决定是否开展进一步核查。尤其是漏洞探测和渗透性测试，意味着监督检查已经不再局限于：“企业有没有制度、有没有报告、有没有记录。”而可能进一步变成：“企业真实运行的网络和信息系统是否安全？”

因此，企业不能再把网络安全检查准备理解为单纯的“文件准备”。企业互联网风险暴露面、漏洞治理、弱口令、远程访问、网络边界、系统配置等实际技术风险，同样可能成为公安机关监督检查的重要内容。

（四） 变化四：三级以上等保网络运营者原则上每年接受一次现场检查

这是《办法》中非常值得企业关注的一项制度变化。与公安部1960号文《贯彻落实网络安全等级保护制度和关键信息基础设施安全保护制度的指导意见》关于三级等保每年开展一次评测的要求相呼应。

《办法》第九条明确，对网络安全等级保护第三级（含）以上的网络运营者、关键信息基础设施运营者，每年开展一次日常性的现场检查。

但是在具体落地层面作了进一步的优化，如果其他主管部门本年度已经开展现场检查，公安机关可以复用相关检查结果，不再重复检查。因此，对于三级以上等保网络运营者而言，公安机关监督检查正在从：“可能发生的监管事件”逐渐转变为：“应纳入年度合规计划的常态化监管事项”。企业尤其应当把公安监督检查纳入年度网络安全合规工作计划。

（五） 变化五：从公安机关单独检查走向多部门协同监管

《办法》第三条明确，公安机关应当会同有关主管部门建立网络空间安全监督检查协作配合机制；相关行业主管部门开展日常现场检查的，可以由行业主管部门开展现场检查；公安机关可以复用相关检查结果；行业主管部门提出联合检查的，可以开展联合检查。公安机关还应当将现场检查相关情况及时通报同级网信部门、行业主管部门。

这意味着，一次公安机关监督检查的后果可能不再局限于公安机关本身。企业需要考虑：公安检查结果是否可能成为后续网信、行业主管部门监管的依据。对于金融、电信、能源、交通等重点行业企业，这一问题尤其值得关注。

三、《办法》与《规定》主要修改对照表

由于《办法》并非对《规定》逐条机械修改，限于篇幅，本文仅对重要制度功能进行对照：

四、企业需要重点关注的十类合规风险

1. “不属于互联网企业”的身份错误判断风险

企业不能因为自身不提供互联网服务，就认为自己不属于公安网络空间安全监督检查的对象。企业需要重新对自身的监管适用情况进行识别。从某种意义上理解，在中国境内经营的法律实体基本都会落入公安网络空间安全监督检查范畴。

2. 数据安全合规无法经受公安检查的风险

企业需要确保数据安全制度不仅“存在”，而且能够证明制度已经落实。特别需要关注：

（1） 数据资产梳理；

（2） 数据分类分级；

（3） 重要数据识别；

（4） 数据安全风险评估；

（5） 数据安全事件处置；

（6） 数据安全整改记录。

3. 个人信息保护制度与实际处理活动脱节的风险

《办法》已经明确检查个人信息保护义务，属于落实《个人信息保护法》的具体举措，进一步明确了公安机关作为履行个人信息保护职责的部门属性。因此，企业应重点核查：制度是否存在、实际处理活动与制度是否一致、技术措施是否有效、员工是否实际执行。尤其要避免“制度文件写得很好，但系统实际没有按照制度运行”的情况。

4. 算法安全合规不足风险

《办法》进一步明确了公安机关对算法安全合规的执法权力，企业在算法合规领域不仅需要应对网信、工信等部门的监督检查，还需要重视公安机关的监督检查。因此，对于存在算法推荐业务的企业，应当尽快补齐：

（1） 算法安全责任落实制度和机制；

（2） 算法推荐管理制度；

（3） 技术措施；

（4） 风险监测；

（5） 事件处置机制。

5. 网络漏洞和互联网暴露面风险

漏洞管理相关制度已由网信、工信、公安等根据《网络安全法》作出细化规定，《办法》进一步明确公安检查中的漏洞扫描、漏洞探测和渗透性测试等措施，企业应当着重落实漏洞发现、发布、修复、国家平台上报、用户通知等一系列义务。同时，应提前完成：“网络资产梳理—漏洞扫描—高危漏洞整改—复测—留痕”完整闭环。

6. 三级等保网络年度检查风险

三级以上等保网络运营者将公安现场检查纳入年度合规日历，应当及时按照公安部1960号文落实每年一次测评，对于需要整改提升的，应当及时完成。等保测评和整改需要有计划和步骤地推进，而非等待检查通知后再临时准备。

7. 安全事件后的重点监管风险

发生网络安全、数据安全等事件的企业将可能成为重点监督检查对象。因此，安全事件发生后应同步启动：“事件处置 + 法律责任评估 + 监管应对 + 整改闭环”四项工作。

8. 检查结果跨部门流转风险

公安机关可能将检查情况通报网信部门和行业主管部门。因此，企业应当将一次检查视为可能产生多部门监管后果的事件。

9. 企业负责人被约谈风险

网络安全事件不再是IT部门及其负责人的责任，对于较大安全风险或者安全事件，企业法定代表人、主要负责人可能被约谈。因此，对于网络安全事件，企业应当提级管理，形成企业管理层面的制度和机制，例如由管理层和相关职能部门组成的委员会等。

10. 检查过程中数据、商业秘密暴露风险

企业应对公安机关及受委托第三方技术人员的访问、复制和测试范围进行内部管理。

在依法配合检查的同时，应做好：

（1） 数据访问控制；

（2） 信息提供记录；

（3） 系统访问记录；

（4） 文件复制记录；

（5） 第三方人员权限控制；

（6） 检查资料留存及处置。

五、企业应对及建议

1. 建议以《办法》第七条为核心开展一次专项合规体检

企业可以按照：“网络安全—数据安全—个人信息保护—算法安全”四个维度开展专项自查自纠。对于三级以上等保网络和关基相关企业，还应增加专项检查准备。

2. 建议建立“公安网络空间安全检查证据包”

建议企业提前准备并形成标准化网络空间安全证明材料，包括：

（1） 网络安全。包括但不限于：网络安全管理制度，网络安全责任体系，等保定级、备案材料，等保测评报告、整改报告，漏洞扫描、渗透测试报告，应急预案、应急演练记录，等等。

（2） 数据安全。包括但不限于：数据资产清单，数据分类分级材料，数据安全制度，重要数据识别材料，数据安全风险评估记录，数据安全事件处置记录，等等。

（3） 个人信息保护。包括但不限于：个人信息处理清单，个人信息保护制度，相关隐私政策，个人信息安全技术措施，个人信息安全事件记录，个人信息保护影响评估等相关合规评估材料，等等。

（4） 算法安全。包括但不限于：算法备案材料，算法安全责任制度，算法推荐管理制度，算法安全技术措施，算法风险监测和处置记录，等等。

核心目标是：公安机关问到什么，企业能够快速证明自己做了什么。

3. 建议建立公安机关检查SOP

至少建立以下五个步骤：

第一步：身份核验：核验人民警察证及监督检查通知书。

第二步：检查范围确认：明确检查属于日常检查、专项检查、现场核查还是技术检测。

第三步：统一对接：由法务/合规牵头，网络安全、IT、数据保护及业务部门共同参与。

第四步：资料和系统访问管理：建立统一的信息提供、系统访问和数据复制审批机制。

第五步：检查记录复核：企业负责人或者网络安全管理人员签署检查记录前，应核实记录内容；对于事实错误，应及时提出说明。

《办法》明确规定现场检查应当制作监督检查记录，对检查记录有异议的，应当允许被检查对象作出说明；对于远程漏洞探测、渗透性测试，也应当制作监督检查记录。

六、特别值得企业关注：技术检查不等于企业必须“无条件开放系统”

《办法》强化了漏洞探测、渗透性测试等技术检查手段，同时也规定，开展相关检测应当避免干扰、破坏网络设施和信息系统正常运行。因此，企业在配合技术检查时，应当在确保依法配合的基础上，合理做好：

（1） 生产系统与测试系统区分；

（2） 核心业务系统识别；

（3） 第三方系统识别；

（4） 个人信息及重要数据识别；

（5） 测试权限控制；

（6） 测试行为留痕；

（7） 异常情况处置。

特别是对于涉及境外云服务、集团共享系统、第三方SaaS平台以及跨境数据处理的企业，应提前明确哪些系统属于企业自身控制范围，哪些系统属于第三方控制范围，避免技术检测过程中产生新的业务中断或数据安全风险。

七、从“接受检查”转向“经得起检查”

2018年《规定》出台时，企业网络安全合规的核心任务之一，是建立网络安全制度、落实等级保护、做好日志留存和网络攻击防护，并能够正确应对公安机关现场检查。

2026年《办法》实施后，企业面临的监管环境已经发生明显变化。企业需要面对的可能是一条完整的监管链条：“线上巡查—漏洞扫描/风险发现—远程技术检测—现场核查—风险整改—公安提示/行业通报—约谈或者进一步责任追究”。因此，企业真正需要建立的，不是一次性的“公安检查接待方案”，而是一套持续运行的网络空间安全监督检查合规体系。

八、结语

《公安机关网络空间安全监督检查办法》的出台，意味着公安机关网络安全监督检查制度进入新的发展阶段。从2018年的“互联网安全监督检查”，到2026年的“网络空间安全监督检查”，变化的并不仅仅是名称。其背后反映的是监管对象、监管内容、监管技术和监管协同机制的全面变化：

（1） 监管对象更广；

（2） 检查内容更多；

（3） 技术手段更强；

（4） 检查频率更高；

（5） 跨部门协同更紧密；

（6） 企业管理层承担的责任更加直接。

对于企业而言，《办法》发布到正式实施前的期间，是重新梳理自身网络空间安全合规体系的重要窗口期。尤其是网络运营者、三级以上等保网络运营者、数据处理者、个人信息处理者、具有算法推荐业务的企业以及重点行业企业，应当尽快围绕《办法》开展专项自查。

企业需要从过去的：“公安机关来了以后怎么办？”进一步转向：“如果公安机关今天对我们的网络、数据、个人信息、算法和漏洞进行检查，我们是否能够经得起检查？”

这可能是《公安机关网络空间安全监督检查办法》对企业网络空间安全合规最值得关注的启示。

李天航

■汇业律师事务所高级合伙人

tianhang.li@huiyelaw.com

李天航律师，华东政法学院法学学士、华东政法大学法律硕士。上海市律师协会刑事合规专业委员会副主任、华东政法大学和中南财经政法大学硕士生校外导师、上海交通大学网络空间治理研究中心研究员。

连续多年被ALB、Chambers、The legal 500、商法、LEGALBAND等众多国际评级机构在数据合规、刑事合规、反舞弊和反腐败、合规、创新等领域评为领先和推荐律师。执业领域为网络安全与数据合规、反舞弊反腐败处置与应对、刑事合规，先后为众多领先的跨国企业、国内独角兽企业以及各类互联网、化工、汽车、医药和医疗器械、电商、金融、制造业等企业提供前述法律服务。

声明：本文来自网数与人工智能法律实务，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。