国家互联网信息办公室、工业和信息化部、公安部联合公布的《网络数据安全风险评估办法》（以下简称“《数评办法》”）将于2026年8月20日起施行。《数评办法》进一步明确，重要数据处理者应当每年度开展网络数据安全风险评估（以下简称“数评”），并按照规定及时报送风险评估报告。
本文结合最新立法及监管政策动向，并参考相关项目实践，由汇业律师事务所黄春林团队以问答形式，对《数评办法》实施过程中企业普遍关注的若干实务问题进行简要解读，供企业参考。
一、数评制度起源
Q：数评，是《数评办法》新设的一项合规义务吗？
A：不是。《数评办法》并非创设一项全新的合规义务，而是对《数据安全法》《网络数据安全管理条例》等法律法规已经确立的网络数据安全风险评估制度进行进一步落实和细化。
Q：为什么此前较少看到企业开展数评？
A：在汽车、互联网等强监管行业，之前已经有很多企业根据通管、网信等部门要求开展了数评工作并执行了报送要求。
二、数评的适应范围
Q：所有企业都要开展数评吗？
A：不是，只有重要数据处理者才须强制开展数评；一般数据处理者根据自身需求、资源、预算等情况自愿决定是否开展数评。
Q：如何识别重要数据？
A：对于大多数非强监管行业来说，这似乎是个玄学问题。识别过程中应当主要考虑行业主管部门及地方监管部门意见，并对齐行业合规水位。就未来政策趋势及当前监管意见而言，在中国境内形成的1000万人以上个人信息的存量集合，被认定为重要数据的可能性较大。
三、数评和PIA、PIPCA的关系
Q：已经依法开展PIA、PIPCA的企业，是否还要开展数评？
A：需要根据企业是否属于重要数据处理者等因素具体判断。数评的对象是网络数据，其中不仅包括个人信息，还可能包括研发数据、生产数据、经营数据、销售数据等其他网络数据。因此，已经开展了PIA、PIPCA的，并不能当然排除数评义务。
Q：如何减少对业务部门的重复打扰，并降低企业合规成本？
A：数评项目中涉及个人信息的部分，建议复用PIA、PIPCA相关的底稿或结论。在确保相关材料真实、准确且仍具有时效性的前提下，原则上无需重复开展相同的信息收集和评估工作。
四、重要数据处理者的数评频率及机构
Q：数评多久做一次？
A：广义的数评还包括《网络数据安全管理条例》第三十一条规定的日常风险评估，其属于针对特定数据处理活动开展的事前风险评估机制，制度逻辑类似PIA；狭义的数评是《数评办法》规范的定期评估（对应《网络数据安全管理条例》第三十三条）、临时评估（《数评办法》第五条第二款）和检查评估（《数评办法》第十七条）三类，制度逻辑类似PIPCA。
各自的频率、时限及机构要求详见下表。
Q：首次数评应当在什么时候完成？
A：重要数据处理者的首次数评应当按照相关主管部门当年的通知执行。参考既往监管实践，主管部门会要求企业在当年度 12 月中旬之前完成报送工作。即，2026年度的数评报告应当在2026年12月中旬前完成，而不是《数评办法》实施后一年的2027年的8月20日前。
五、一般数据处理者的数评频率
Q：我公司暂未被识别为重要数据处理者，多久开展一次数评？
A：一般数据处理者，建议按照企业内部数据安全管理规章制度执行。根据行业属性、数据类型及内部资源等因素，建议企业完善或修订内部规章制度，明确数评相关的牵头部门、工作机制，相对灵活、开放地设定数评频率。
Q：一般数据处理者超过3年未开展数评，有什么法律责任吗？
A：没有。
六、评估机构资质
Q：第三方评估机构必须要通过有关部门的认证吗？
A：企业可以自行开展数评（评估报告由企业自行盖章），也可以聘请第三方机构开展数评（评估报告由第三方机构盖章）。若企业自行聘请第三方机构开展评估的，《数评办法》第八条规定，“鼓励相关评估机构通过认证”， 因此，认证并非法律法规的强制性要求。
Q：企业自行开展评估的，可以聘请外部第三方机构的人员提供相关的辅助、咨询等支持吗？
A：可以。法律法规并不禁止企业在自行评估过程中聘请律师事务所、安全技术机构、咨询公司等外部专业机构提供辅助或咨询支持，这也是目前比较常见的行业实践。
七、评估团队的搭建
Q：数评项目通常由企业的哪个部门/人员牵头？
A：行业实践中，通常是由数据安全负责人或其授权代表牵头。根据《数评办法》第七条规定，企业自行开展风险评估，应当指定专人负责，但这里的“专人”主要强调责任主体明确，并不当然等同于设置“专职”岗位。
Q：团队组成人员通常包括哪些？
A：数评是一项跨业务、技术和合规领域的综合性工作，评估团队通常包括业务、IT、安全、法务、合规及外部顾问等人员。
八、评估方案的拟订
Q：如何拟定评估项目方案？项目具体包括哪几个阶段？
A：参照类似行业实践，评估项目通常包括评估预备、预评估和正式评估等几个阶段，具体参见下图。
Q：为什么要开展预评估阶段？
A：预评估阶段的主要目的，是为了提高内部资源的响应及协同效率，提前弥补重大风险差距，确保后续正式评估报告（须向官方提交）的成熟度和清洁性。
九、评估范围的确定
Q：我公司的业务部门、网络系统及数据处理活动等较复杂。数评的时候，是需要全量评估公司所有业务部门、所有网络系统和所有数据处理活动吗？
A：根据类似项目经验并参考相关标准，建议采取“全面盘点、重点评估”的原则。
Q：如何确定重点评估的范围？
A：建议在前期盘点工作的基础之上，重点选择以下几类对象作为数评的重点：
（1）体现本行业主要特征的法律实体、业务部门、数据类型等；
（2）承载重要数据、大规模个人信息处理的网络系统；
（3）数据安全风险暴露在外的网络系统及数据；等等。
十、供应链评估
Q：是否应将上下游供应链纳入数评范围？
A：供应链安全、技术依赖以及第三方数据处理活动等是数评的一个重要风险维度。
Q：如何落地？
A：建议在前期盘点工作的基础之上，并参考企业BCM和DR相关机制，在重点考虑如下因素的前提下，根据企业行业属性选定2~5个左右供应商纳入数评范围：是否接触重要数据，是否支撑关键业务，是否具有较高系统及数据访问权限，是否难以替代或单一供应商依赖；等等。
十一、评估边界的确定
Q：跨国公司全球共用的网络系统，尤其是一些SaaS系统，如何确定评估边界？
A：只要该系统存储、处理了企业在中国境内经营过程之中产生的相关重要数据，理论上都应当纳入数评项目的范围。但具体项目实施过程中，仍然建议在坚持“全面盘点、重点评估”的基础上灵活处理。例如，对于全球统一部署的多租户SaaS系统，可以仅将中国区租户侧纳入评估范围。
Q：是不是意味着还是需要全球总部IT配合？
A：是的；但是，你公司的重要数据出境通过安全评估了吗……
十二、常见风险及差距
Q：类似项目中，企业常见的数据安全风险及差距有哪些？
A：数据及数据接口等未依法采取加密、去标识化等措施；未依法采取访问控制、权限管理、日志审计等措施；未依法留存网络日志；未依法处置、报告相关网络安全事件；数据安全管理制度缺失；相关岗位、人员缺失或责任不明；未依法建立第三方数据安全管理机制；未依法开展日常数据处理活动风险评估机制；未依法制定数据安全应急预案，或未依法开展应急演练；数据来源、数据利用等缺乏合法性基础；违法违规出境数据；未取得处理特定领域数据的资质；个人信息保护工作不合规；等等。
Q：等保、密评是数评工作的前提条件吗？
A：数评项目会评估相关网络系统、数据资源是否依法履行了等保、密评相关的强制法律义务，但不宜简单理解为 “前提条件”，因为有些行业性风险是可以接受的。
十三、评估发现风险的处置
Q：数评中发现的所有风险都必须整改吗？
A：不一定。对于违法违规问题，原则上应当及时整改；对于一般性风险，可以综合风险等级、潜在影响、整改成本及行业合规水位等因素，采取降低、规避、转移或接受等不同风险处置措施。数评并不要求实现“零风险”，但企业应当确保剩余风险处于合理、可接受的范围。
Q：如何识别行业性风险？
A：找熟悉行业的专业顾问。
十四、评估报告的报送
Q：评估报告需要向官方报送吗？
A：根据《数评办法》规定，重要数据处理者应当在年度风险评估完成后的20个工作日内，按照有关主管部门要求，通过相关系统向其报送正式评估报告。一般数据处理者没有报送的强制法律义务；其他主管部门另有要求的除外。
Q：报送后，官方是形式审查，还是实质审查？会触发现场核验吗？
A：根据此前经验，一般是形式审查，但可能会触发现场检查核验。
十五、未依法开展评估、报送的法律责任
Q：未依法开展评估、报送的，有什么法律责任吗？
A：根据《网络数据安全管理条例》第五十七条规定，未依法开展日常数据处理活动风险评估的，由网信、电信、公安等主管部门依据各自职责责令改正，给予警告，可以并处5万元以上50万元以下罚款，对直接负责的主管人员和其他直接责任人员可以处1万元以上10万元以下罚款。
Q：未开展年度数评及报送的呢？
A：按照《数据安全法》四十五条规定处罚，罚则同上。
声明：本文来自网数与人工智能法律实务，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
