数据安全测评、风险评估、密评……名目这么多，到底什么关系？

"我们上个月刚做完等保测评，怎么又冒出来一个数据安全测评？还有数据安全风险评估，这跟等保是一回事吗？密评又是干嘛的？到底要做几个测评？"

——这大概是做合规的朋友最近被问得最多的问题。这篇文章用一张"五线谱"把它讲清楚。

一、先回答那个最常见的问题

最近一年多，数据安全领域的新规新标准密集落地：2025 年《网络数据安全管理条例》、《个人信息保护合规审计管理办法》先后施行；2026 年 6 月起，等保数据安全专项标准实施，数据安全测评正式独立入列；8 月 20 日起，《网络数据安全风险评估办法》施行。

名目越来越多，看着吓人。但放到同一条链条上看，关系其实很清楚：

现在最常见的是五条线：等保测评（含新增的数据安全测评）、数据安全风险评估、数据出境安全评估、个人信息保护合规审计、商用密码应用安全性评估（密评）。下面每条线只讲最关键的。

二、五条线，每条只看关键

线一｜等保测评（数据安全测评已独立入列）

• 管什么：网络系统的整体安全保护能力。2026 年 6 月起，数据安全成为等保的独立测评模块，等保进入"系统安全 + 数据安全"双维度时代。
• 谁要做：定级备案的网络运营者，二级及以上系统。
• 多久做：二级每两年一次，三级及以上每年一次，数据安全测评同步开展。
• 依据什么：GB/T 22239-2019 等保基本要求；数据安全测评看 GA/T 2380-2026（基本要求）、GA/T 2394-2026（测评要求），今年 6—7 月已陆续实施。
• 最关键的：数据安全测评单独计分、纳入整体结论——数据安全不过，整体等保就不通过；测评对象覆盖数据收集到销毁的全生命周期，分类分级落地是硬指标。

线二｜数据安全风险评估

• 管什么：数据处理活动的整体风险（泄露、越权访问、违规共享等）。
• 谁要做：重要数据处理者是强制的；只处理一般数据的一般数据处理者是鼓励性的。

什么是"重要数据处理者"？ 一句话：就是处理"重要数据"的网络数据处理者。那什么算重要数据？官方定义是——一旦被篡改、破坏、泄露或被非法获取、非法利用，可能直接危害国家安全、经济运行、社会稳定、公共健康安全的数据，比如能源、交通、金融、医疗等关键领域的数据，以及大规模汇聚后能反映整体情况的个人信息。

需要注意的是，是不是重要数据不能自己拍脑袋定。要做的是：先按 GB/T 43697-2024 完成数据分类分级，识别出一般数据、重要数据、核心数据，再对照行业主管部门发布的重要数据目录确认，并向主管部门申报。做完这一步，你才算知道自己是不是"重要数据处理者"。

• 多久做：重要数据处理者每年一次，数据安全状态重大变化时及时补评；一般数据处理者，办法鼓励至少每 3 年一次。
• 依据什么：《网络数据安全风险评估办法》（2026 年 8 月 20 日施行）+ GB/T 41479-2022 评估方法。
• 最关键的：可自行评估或委托第三方；评估机构不得转委托、不得连续 3 次评估同一对象；拒不整改的，监管可责令停止处理重要数据。

线三｜数据出境安全评估

• 管什么：数据往境外传输的合规性。
• 谁要做：向境外提供重要数据；或关基运营者向境外提供个人信息/重要数据；或关基以外者自当年 1 月 1 日起累计向境外提供 100 万人以上个人信息（不含敏感个人信息）、1 万人以上敏感个人信息。。
• 多久做：出境前完成，安全评估结果有效期 3年，期满或情形变化重新申报。
• 依据什么：《数据出境安全评估办法》《促进和规范数据跨境流动规定》等，分安全评估 / 标准合同 / 认证三条通道。
• 最关键的：量级够不上安全评估门槛的，可以走标准合同备案或认证——别什么都不做。

线四｜个人信息保护合规审计

• 管什么：个人信息处理活动是否合法合规。
• 谁要做：处理超过 1000 万人个人信息的处理者。（出自《个人信息保护法》）；
• 多久做：《个人信息保护法》第五十四条只规定"应当定期开展"，没有定具体频次。
• 依据什么：《个人信息保护合规审计管理办法》（2025 年 5 月 1 日施行）。
• 最关键的：发生重大泄露等安全事件时，监管可以要求你委托专业机构审计，费用自担。

线五｜商用密码应用安全性评估（密评）

• 管什么：密码应用合不合规、有没有效。
• 谁要做：关键信息基础设施、等保三级及以上系统、政务信息系统。
• 多久做：一般每年一次，可与等保测评一起安排。
• 依据什么：GB/T 39786-2021 密码应用基本要求 + GB/T 43206-2023 测评要求。
• 最关键的：等保数据安全测评对三级及以上系统的密码应用提出了强制要求（加密存储、传输，国密优先），这部分与密评要求相互衔接——但要分清，两者是两套独立体系：等保测评归公安、密评归密码管理局，测评机构不同、报告不同，别以为做了其中一个就够了。

三、五条线到底什么关系

关系一句话就能记住：等保和密评按"系统"走（数据安全测评把对象扩到了数据活动），风险评估和合规审计按"数据/主体"走，出境评估按"活动"走。锚点不同，触发逻辑不同——很多单位只盯着系统测评，却漏了重要数据台账和出境活动，问题往往就出在这。

几个测评之间，结果能互相采信吗？

能，而且监管在设计上就鼓励复用，避免重复劳动。几个最实用的采信关系：

• 等保数据安全测评 ← 等保测评：数据安全"扩展测评"模式就是在传统等保测评基础上增加数据安全内容，随年度等级测评一起做，网络、主机、应用等已测过的部分不再重复测。
• 密评 ↔ 等保数据安全测评：密评的密码应用等级直接对应等保级别（等保三级就按第三级密码要求评）；两边在密码应用上的测评点重合，可以互用对方的测评证据（比如密码产品检测报告），但报告各自出具。
• 风险评估 → 等保数据安全测评：GA/T 2380-2026 的"审核和检查"条款要求处理重要数据的三级、四级系统应每年开展一次数据安全评估，按规定提交年度评估报告，报告留存不少于三年（只处理一般数据的系统无此强制要求）；按《网络数据安全风险评估办法》做的年度评估报告，正好能支撑这项核查，不用做两遍。
• 个保合规审计 ← 个人信息保护影响评估（PIA）：审计指引会逐项核查"是否事前开展了 PIA"，按 GB/T 39335 做的 PIA 报告是审计的重要证据。
• 数据出境自评估 ← 等保、密评结果：申报出境安全评估前要写风险自评估报告，其中"数据安全保障能力"部分，通常直接引用等保测评、密评的结果作支撑。
• 监管层面：《网络数据安全风险评估办法》明确主管部门的检查要统筹协调，避免不必要的检查和交叉重复检查。

一句话总结：评估可以做一次，但报告各出各的——底稿留一套、证据链打通，检查来了都拿得出来，成本省一半。

四、落地就三步

1. 分类分级打底。 GB/T 43697-2024 是五条线的共同起点，也是等保数据安全测评的硬指标——只有台账、没有技术管控措施，直接判不合规。
2. 一份台账 + 一张日历。 系统清单、定级备案、数据资产目录、历次测评报告放一个台账；把五条线的频次排进年度日历，一个季度看一眼，就不会漏。
3. 以评促改。 每次测评/评估的结论，变成下一年度的整改清单，别把测评当终点。

结语

数据安全合规不是"做一次测评就完事"，而是"法律—规章—标准—动作"的一条链。理清五条线的关系、建好台账、排好日历，就能从"被动应付检查"转向"主动管理风险"。

（本文基于公开法律法规与标准整理，具体执行请以正式文本和属地监管要求为准。）