今年6月1日， 公安部发布的GA/T 2380-2026《信息安全技术 网络安全等级保护数据安全基本要求》正式落地施行（GA/T 2381-2026《测评机构能力要求》6月1日实施，明确数据安全建设基线与机构准入要求；GA/T 2394-2026《数据安全测评要求》、GA/T 2395-2026《测评过程指南》7月1日实施，提供测评判定规则、检测方法与流程），作为等保2.0体系的核心配套升级标准，该新规打破了传统等保 “重设备、轻数据，重边界、轻内容” 的防护局限，将数据安全设立为独立核心管控维度，标志着等级保护测评迈入 “系统底座+数据全链路” 双维核验新阶段。
数据安全监管持续加码的当下，不少单位在合规建设中生出疑问：等保测评现已纳入独立的数据安全测评域，完成该项测评，是否就等同于履行了数据安全风险评估的法定义务，不必再单独开展？
答案是否定的。两项工作同源共生、能力互补，但分属两套监管脉络，评估对象、责任边界与判定逻辑各有侧重，不可完全替代。各单位在网络安全与数据安全体系化建设中，唯有读懂二者差异、用好协同机制，方能构建扎实、经济、可经受多维度监管核验的合规底座。
GA/T 2380-2026是等保框架内的专项配套标准。 它与GB/T 22239-2019、GB/T 22240-2020等等保2.0系列标准配套执行，归口公安网安条线。其评估单元是已完成定级备案的信息系统，覆盖数据全生命周期管控；7月1日后，依据 GA/T 2394，数据安全作为独立测评域纳入打分，核验系统数据防护水平是否匹配对应保护等级基线。
《网络数据安全风险评估办法》则是网信统筹、多部门协同的专项管理要求，于2026年8月20日施行。 其评估对象不是某一套系统，而是数据处理活动本身，不囿于单套信息系统边界。评估聚焦数据流转全貌：重要数据识别、跨主体共享、第三方流转、数据出境、泄露影响范围、数据主体权益保障与治理责任划分等。它核验的是数据处理活动整体的合规状况与风险水平如何。
一个典型对照：同一个三级业务系统，等保测评会核查数据库加密、最小权限、操作审计、备份恢复等基线控制；而专项风险评估会进一步追问——重要数据共享给了谁、责任如何划分、一旦泄露波及多大范围、是否涉及出境合规。
等级保护（含数据安全测评域）是系统维度的常态化法定义务。 系统一经定级备案，无论其处理的是一般数据还是重要数据，都须按期测评——二级系统建议每两年一次，三级系统每年至少一次，四级系统按监管要求更高频次执行。GA/T 2380-2026随等保现场测评同步落地。
数据安全风险评估的强制性，取决于主体身份，而非系统等级。 依据《网络数据安全风险评估办法》：重要数据处理者应当每年开展一次风险评估，处理范围或共享链路发生重大变化时须及时补充评估并报送报告；一般数据处理者无强制年度要求，鼓励至少每三年开展一次。
而判定“是否属于重要数据处理者”，前置功课正是数据分类分级——盘点数据资产、对照行业重要数据目录与相关国标，识别重要数据与核心数据，据此明确自身的评估义务。这一步做扎实了，既可避免漏掉强制评估带来的合规缺口，也能防止盲目投入造成过度合规。
需要特别强调的是：即便等保测评依据GA/T 2380-2026取得合格结论，只要分类分级判定后属于重要数据处理者，专项风险评估仍须独立开展，等保报告不能整体替代专项评估报告。
实践中，二者是“系统安全底座 + 数据专项治理”的组合关系：
底座先行。 若权限管控、审计、加密等基线能力不达标，数据专项治理措施很难真正落地。GA/T 2380-2026的建设要求，恰是专项评估开展的基础。
重合模块成果互认。前面提到报告整体不能替代，但专项评估中排查出的隐患，大量控制点与等保通用要求及数据安全测评域重合，可统一纳入整改清单、一次性闭环复测，显著压缩重复投入。（《网络数据安全管理条例》第五十二条第二款——重要数据风险评估与网络安全等级测评内容重合的，相关结果可以互相采信；以及GB/T 45577第8.2章——已做过等保测评、个保审计、出境评估的，对应重合模块不再重复核查，应采信已有的有效评估结论）
材料互证。 监管抽查场景下，重要数据处理者往往需要同时出示两份材料——纳入数据安全测评项的等保测评报告，以及专项风险评估报告。二者相互印证，方能支撑完整的合规证明。
筑牢底座：完成定级备案与资产梳理，落实等保基础建设，测评阶段同步执行GA/T 2380-2026，按期取得测评结论；
摸清家底：开展全量数据资产盘点与分类分级，识别重要数据、核心数据，完成主体身份判定；
按需评估：重要数据处理者按年度开展专项评估；仅涉及一般数据的按三年周期规划；无重要数据且无跨主体流转场景的，以周期性自评估为主。
新建信息化项目可将两项工作同步进场，合并资产梳理、访谈与资料收集环节，缩短整体周期。服务商选型时也需留意资质边界：等保测评属于资质准入业务；数据安全风险评估虽暂无全国统一强制门槛，但应重点考察服务商的行业交付案例与方案能力。
GA/T 2380-2026校验的是系统内数据防护是否达标，专项数据安全风险评估研判的是数据处理活动的综合风险——一为“底座体检”，一为“流转研判”，缺一不可，亦不可混同。
作为深耕网络安全、数据安全与密码安全领域18年的专业服务机构，维平信息具备等保测评、数据安全风险评估、商用密码应用安全性评估、软件测试、安全应急响应等多项服务资质与实战交付经验，能够为客户提供“等保建设+数据分类分级+专项风险评估”的一体化统筹方案，帮助各行业客户在满足多线监管要求的同时，合理规划合规投入，让每一分安全预算都落在实处。
