等保过了还被问数据评估做了没？8月20号起上海单位躲不掉

上周徐汇有家单位，财务系统拿了等保三级，老板挺得意。结果行业主管部门一纸函来，让交"网络数据安全风险评估报告"。老板电话打我这儿，懵了——"我等保不是都做完了嘛，这又来个啥"。

哎，这事儿我今年见太多。

太多人把等保测评和网络数据安全风险评估当成一码事。说白了两样东西。等保测的是你系统有没有按标准管好，身份鉴别访问控制安全审计那套（GB/T 22239-2019 控制项），这套叫系统达标。办法管的是你处理数据活动里，有没有数据安全风险——数据从哪来，往哪流，谁能动，漏了咋办。一套管系统，一套管数据流动，别自己混。

我打个比方你秒懂。等保像给你房子装门锁监控，达标了说明锁装得合规。数据风险评估像查你家里金银细软都登记没，谁碰过有记录没，丢了能不能追。锁装再好，东西乱放照样丢。两件事，都躲不掉。

这个办法全名叫《网络数据安全风险评估办法》，国家网信办、工信部、公安部三家令第24号，2026-08-20 就施行。今天7月29，满打满算二十二天。我先把谁要动，怎么动，坑在哪说清楚。

谁要动。办法第五条写得明：重要数据处理者，每年度必须开展风险评估。一般数据处理者，鼓励至少每三年一次。关键卡在前半句——你得先认清楚自己是不是重要数据处理者。这又绕回数据分类分级（GB/T 43697-2024）。巧了，沪等保办〔2026〕6号那张数据摸底表六，本来就让上海单位先把重要数据认一遍。好多单位表六填得了草，重要数据漏认，等到这办法真落地，自己到底要不要每年评都说不清。

还有个点得提醒，重要数据不是你自己封的。行业主管部门有目录，按 GB/T 43697 附录那18类识别因素来定。你拍胸脯说"我们没重要数据"，主管部门不认，照样给你列上。杨浦有家就栽这——

怎么动。办法第七条，自己搞或者委托第三方评估机构都行。自己搞得指定专人负责。委托得签合同把权利义务写明白。报告不是随便写写，第十八条要求评估机构主要负责人、风险评估负责人签字再加盖章。我见闵行有家单位，去年自己捣鼓了份评估报告，既没签字也没章，真要按这办法交，直接不合规。

机构轮换坑。第十二条，同一家评估机构及其关联机构，不得连续三次以上对同一家做年度评估。陆家嘴有家金融单位，连着三年找同一家评，明年就得换人了，不换违法。这坑提前排，别到时候抓瞎。

报告和报送。第十五条，风险评估报告至少保存三年。第十六条，重要数据那家，年度评估完二十个工作日内得报送，主管部门不明的往省级网信或者国家网信报。注意是工作日，不是自然日，别算错。

还有个细节，办法第二十三条说，涉及重要数据加密这类技术措施的，得按密码相关法律做商用密码应用安全性评估。这是法规白纸黑字要求，跟等保里那个密码技术应用控制项（双因子加密传输，GB/T 22239-2019 8.1.4）不是一回事，本篇不展开，别自己混成一团。

再说几个真事，都是这两年踩出来。

徐汇那家，等保三级拿完以为数据就安全，被主管部门问评估当场卡壳——典型把两件事当一件。

杨浦有家，压根没做数据分类分级，拍胸脯"我们没重要数据"。后来一梳理，客户交易记录加员工身份证号，按 GB/T 43697 妥妥重要数据，评估义务直接洛头上，荒了。

陆家嘴那家金融机构，同一评估机构连做三年，刚说第二十三条？不，是第十二条轮换——明年必须换，提前半年就该动。

这些都不是我编的，行业里天天上演。纸面整改骗得过报告，骗不过真出事那一下，这话放这办法上也灵。

离8月20号就二十二天，别等。三件事现在排：

第一，翻沪等保办6号表六，看自己重要数据认全没。没认全赶紧补，这是判断要不要每年评前提。