欧博ABG

国家互联网信息办公室

中华人民共和国工业和信息化部

中华人民共和国公安部

令

第24号

《网络数据清静风险评估步伐》已经2026年6月1日国家互联网信息办公室2026年第12次室务会聚会审议通过，，，并经中华人民共和国工业和信息化部、中华人民共和国公安部赞成，，，现予宣布，，，自2026年8月20日起施行
！！！。

国家互联网信息办公室主任　庄荣文

工业和信息化部部长　李乐成

公安部部长　王小洪

2026年6月18日

网络数据清静风险评估步伐

第一条 为了规范网络数据清静风险评估活动，，，包管网络数据清静，，，增进网络数据依法合理有用使用，，，凭证《中华人民共和国数据清静法》、《中华人民共和国网络清静法》、《网络数据清静治理条例》等执律例则，，，制订本步伐
！！！。

第二条 在中华人民共和国境内开展网络数据清静风险评估，，，应当遵守本步伐
！！！。

本步伐所称网络数据清静风险评估（以下简称风险评估），，，是指对网络数据和网络数据处理活动清静举行的风险识别、风险剖析和风险评价等活动
！！！。

第三条 在国家数据清静事情协调机制指导下，，，国家网信部分会同国务院电信、公安等有关部分建设网络数据清静风险评估专项事情机制，，，指导、监视风险评估事情
！！！。

第四条 有关主管部分应当凭证谁管营业、谁管营业数据、谁管数据清静的原则，，，按期组织开展本行业、本事域风险评估，，，凭证事情需要对本行业、本事域处理主要数据的网络数据处理者（以下简称主要数据处理者）开展风险评估情形举行检查，，，并于每年1月尾前将年度风险评估检查妄想报送国家网信部分
！！！。国家网信部分通过国家数据清静事情协调机制将妄想与国务院电信、公安、国家清静等有关部分共享并举行协调，，，阻止不须要的检查和交织重复检查
！！！。

有关主管部分开展检查不得向被检查的主要数据处理者收取用度
！！！。

第五条 主要数据处理者应当每年度开展风险评估
！！！。

主要数据清静状态爆发重大转变可能对数据清静造成倒运影响的，，，应当实时对爆发转变及其影响的部分开展风险评估
！！！。

勉励处理一般数据的网络数据处理者（以下简称一般数据处理者）至少每3年开展一次风险评估
！！！。

第六条 风险评估事情应当凭证《中华人民共和国数据清静法》、《网络数据清静治理条例》有关要求，，，参照数据清静风险评估有关国家标准开展
！！！。有关主管部分对本行业、本事域风险评估事情尚有划定的，，，从其划定
！！！。

第七条 网络数据处理者可以自行或者委托第三方评估机构（以下简称评估机构）开展风险评估
！！！。

网络数据处理者自行开展风险评估，，，应当指定专人认真
！！！。网络数据处理者委托评估机构开展风险评估，，，应当通过订立条约或者其他具有执法效力的文件等方式明确双方的权力、义务等
！！！。

第八条 勉励相关评估机构通过认证
！！！。评估机构的认证凭证《中华人民共和国认证认可条例》的有关划定执行
！！！。

第九条 在国家数据清静事情协调机制指导下，，，国家网信部分和国务院电信、公安等有关部分起劲增进网络数据清静风险评估服务的开展，，，培育评估机构
！！！。

第十条 评估机构开展风险评估应当遵守执律例则，，，公正客观地作出风险判断，，，并对所出具的风险评估报告真实性、有用性、完整性认真
！！！。

第十一条 评估机构不得转委托其他机构开展风险评估
！！！。

第十二条 统一评估机构及其关联机构不得连续3次以上对统一网络数据处理者开展年度风险评估
！！！。

第十三条 评估机构在风险评估历程中发明网络数据处理活动保存重大数据清静风险的，，，应当实时通知网络数据处理者
！！！。

第十四条 评估机构及其事情职员应当对在风险评估历程中获得的数据、商业神秘、保密商务信息等依法予以保密，，，不得泄露或者非法向他人提供，，，在风险评估竣事后实时删除或者凭证条约约定妥善处理相关信息
！！！。

第十五条 主要数据处理者开展年度风险评估，，，应当依法凭证有关主管部分划定体例风险评估报告
！！！。有关主管部分对风险评估报告没有划定的，，，可以参照数据清静风险评估有关国家标准体例风险评估报告
！！！。风险评估报告至少生涯3年
！！！。

一般数据处理者可以参照前款要求体例风险评估报告
！！！。

第十六条 主要数据处理者应当在年度风险评估完成后的20个事情日内凭证有关主管部分要求向其报送风险评估报告
！！！。主管部分不明确的，，，向省级网信部分或者国家网信部分报送
！！！。

有关主管部分应当公开风险评估报告报送渠道和联系方式，，，实时吸收主要数据处理者报送的风险评估报告，，，自收到风险评估报告之日起的10个事情日内将报告转达同级网信部分
！！！。国家网信部分汇总相关报告，，，并与国务院电信、公安、国家清静等有关部分共享
！！！。

省级以上网信部分、电信主管部分、公安机关、国家清静机关和其他有关部分可以对主要数据处理者的风险评估报告真实性、准确性举行检审核验，，，主要数据处理者应当配合开展检审核验
！！！。

第十七条 省级以上网信部分、电信主管部分、公安机关和其他有关部分在风险评估报告核验、监视检查等事情中发明网络数据处理者有以下情形之一的，，，可以要求其委托通过认证的评估机构开展风险评估：：：

（一）网络数据处理活动保存较大清静风险，，，可能危：：仪寰、公共利益的；；；

（二）爆发网络数据清静事务，，，导致主要数据或者大规模个人信息泄露、被窃取的；；；

（三）有关部分划定的其他情形
！！！。

对统一网络数据清静事务或者风险，，，不得重复要求网络数据处理者委托评估机构开展风险评估
！！！。

第十八条 网络数据处理者凭证有关部分要求委托评估机构开展风险评估的，，，应当推行下列义务：：：

（一）为评估机构开展风险评估提供须要支持，，，包括为风险评估职员提供须要的会见网络数据设施、网络数据、系统及操作日志纪录权限等；；；

（二）在限制时间内完成风险评估，，，情形重大的，，，报有关部分批准后可以适当延伸；；；

（三）在完成风险评估后将评估机构出具的风险评估报告报送有关部分，，，风险评估报告应当由评估机构主要认真人、风险评估认真人签字并加盖机构公章；；；

（四）凭证有关部分要求对风险评估中发明的问题举行整改，，，在整改完成后15个事情日内，，，向有关部分报送整改情形报告
！！！。

网络数据处理者不得以任何方式要求或者示意评估机构出具不实或者不当的风险评估报告
！！！。

第十九条 有关部分在组织开展风险评估中发明主要数据处理者的主要数据处理活动可能危：：仪寰、公共利益的，，，应当依据职责责令主要数据处理者举行整改；；；对拒不整改或者未抵达整改要求的主要数据处理者，，，可以接纳要求其阻止处理主要数据等步伐
！！！。

第二十条 有关主管部分应当增强风险信息共享和协同处理，，，实时处理风险评估中发明的清静风险和问题，，，并凭证有关划定实时报告
！！！。

第二十一条 任何组织、个人有权对风险评估中的违法活动向有关部分举行投诉、举报，，，收到投诉、举报的部分应当依法实时处理
！！！。

第二十二条 省级以上网信部分、电信主管部分、公安机关、国家清静机关或者其他有关部分发明网络数据处理者未按划定开展风险评估的，，，应当依据《中华人民共和国数据清静法》、《网络数据清静治理条例》等有关执法、行政规则予以处理
！！！。

发明评估机构违反本步伐开展风险评估的，，，有关部分应当依法予以处理
！！！。

第二十三条 处理焦点数据的网络数据处理者的风险评估，，，凭证国家有关划定执行
！！！。

涉及主要数据加密等手艺步伐的，，，应当凭证国家密码相关执法、行政规则要求开展商用密码应用清静性评估
！！！。

第二十四条 开展涉及国家神秘、事情神秘的风险评估活动，，，凭证《中华人民共和国守旧国家神秘法》等执法、行政规则及国家保密划定执行
！！！。

第二十五条 本步伐自2026年8月20日起施行
！！！。