根据国家互联网信息办公室等三部门公布的《网络数据安全风险评估办法》（以下简称《办法》），这项新规旨在将此前法律中的原则性要求，转化为可落地、可执行的操作规范。它标志着我国网络数据安全治理进入了一个更精细化、标准化的新阶段。以下为你从几个核心方面进行解读。
谁必须做？多久做一次？
《办法》根据数据处理者处理的数据类型，设置了差异化的评估频次要求：
重要数据处理者：这是《办法》约束的核心主体，必须每年度开展一次风险评估。如果重要数据的安全状态发生可能产生不利影响的重大变化，还需及时对变化部分进行评估。
一般数据处理者：对于不处理重要数据的企业，《办法》采取鼓励态度，建议至少每3年开展一次风险评估。这虽然不是强制的法律义务，但在实践中，进行定期评估有助于企业提前识别隐藏风险，尤其是在业务重大调整时，主动评估更为稳妥。
怎么评？谁来评？
关于评估的具体开展，《办法》给予了企业灵活性，同时规范了评估市场的独立性。
评估方式：企业可以自行组织开展风险评估，也可以委托第三方评估机构进行。
独立性要求：为确保评估客观公正，《办法》明确规定，评估机构不得将承接的业务转委托给其他机构；并且，同一评估机构及其关联机构不得连续3次以上为同一家企业开展年度评估，防止因长期合作产生利益绑定。
评估依据是什么？
《办法》规定，风险评估应参照国家标准《数据安全技术 数据安全风险评估方法》（GB/T 45577-2025）等开展。如果行业主管部门有更具体的规定，则优先从其规定。
评估结果如何使用与监管？
《办法》建立了一个从报送、核验到整改的闭环管理体系。
报告报送：重要数据处理者须在年度评估完成后的20个工作日内，按主管部门要求报送评估报告，报告至少需保存3年。
报告核验：省级以上监管部门有权对报告的真实性、准确性进行检查核验。
整改闭环：企业在评估中发现问题的，必须进行整改，并在整改完成后15个工作日内报送整改情况报告。
如果不合规会怎样？
对于拒不整改或整改未达要求的重要数据处理者，有关部门可以采取要求其停止处理重要数据等措施。对于未按规定开展风险评估的企业，也将依据相关法律、行政法规予以处理。
企业下一步该怎么做？
结合《办法》要求，建议你所在的企业可以从以下几个步骤着手准备：
首先判断自身定位：这是最关键的一步。你需要明确企业是否处理“重要数据”（指一旦泄露可能危害国家安全、经济运行、社会稳定等的数据）。
完成基础工作：进行数据资产梳理和数据分类分级，准确识别出重要数据，并形成重要数据目录。这是开展有效评估的前提。
建立双轨机制：对于重要数据处理者，需要建立“年度全面评估+重大变化专项评估”的常态化机制。
提前储备能力：无论是培养内部评估人才，还是筛选合格的外部评估机构，都需要提前准备，确保在2026年8月20日《办法》正式施行后能顺利合规。
颐卓咨询管理集团-广州总部
地 址：广州市海珠区琶洲数字科技产业园A15-2栋（总部）
广州市番禺区南村镇捷顺路9号2栋1101房
公司总机：020-38626755
业务咨询：134 3393 3194
邮 箱：liaojun@chinakec.com
公司官网：www.chinakec.com
集团分支机构：上海、重庆、成都、深圳、佛山、东莞、武汉、福建、杭州等