2026年6月18日，国家互联网信息办公室、工业和信息化部、公安部联合公布《网络数据安全风险评估办法》（以下简称“《办法》”），并将于2026年8月20日起施行。
这不是一项孤立的新合规要求。其制度逻辑，承接的是《数据安全法》《网络安全法》《网络数据安全管理条例》关于数据分类分级、重要数据保护、风险评估、报告报送和监管核验的既有制度安排。
如果说《个人信息保护合规审计管理办法》解决的是“个人信息处理活动是否合法合规”的审计问题，那么《办法》解决的则是“重要数据处理活动是否安全可控”的评估问题。前者以个人信息权益保护为中心，后者以网络数据安全和重要数据保护为中心。二者共同说明，企业数据合规正在从“制度文本合规”，进入“评估、审计、报告、整改和证据留痕”的可核验阶段。
本文以十五问的方式，对企业最关心的问题作出快速解读。
01.什么是网络数据安全风险评估？
《办法》第二条第二款明确规定，网络数据安全风险评估，是指对网络数据和网络数据处理活动安全进行的风险识别、风险分析和风险评价等活动。
这一定义有三个关键词。第一，评估对象是“网络数据”。这意味着评估并不局限于个人信息，也不局限于某一个具体的信息系统，而是覆盖企业在网络环境中处理的数据。第二，评估对象还包括“网络数据处理活动”。也就是说，评估并不是只看数据本身是否敏感，而是要看企业如何收集、存储、使用、加工、传输、提供、公开、删除数据，以及这些处理活动是否会引发数据安全风险。第三，评估内容是“风险识别、风险分析和风险评价”。因此，网络数据安全风险评估不是简单的制度检查，也不是形式化的安全声明，而是需要对企业数据处理活动中的风险来源、风险发生可能性、风险影响程度、安全控制措施有效性和剩余风险进行系统判断。
