等保测评是什么？企业必须做网络安全等级保护测评吗？

一句话回答：等保测评，就是按国家网络安全等级保护制度，对信息系统的安全保护状况做一次"体检"——网络运营者依法应当开展等保工作，三级及以上系统按规定每年至少测评一次，二级系统一般每两年一次；不履行等保义务的，最高可被处以十万元罚款。

一、等保是什么，哪些企业要做

网络安全法第二十一条确立了网络安全等级保护制度，要求网络运营者按照等级保护制度的要求履行安全保护义务。说白了：只要你的网站、App、业务系统在对外提供服务、收集处理数据，一般都要先给系统"定级"（一级到五级），二级及以上的还要到公安机关备案，再按等级做安全建设、测评、整改。企业最常见的是二级和三级：三级系统按规定每年至少测评一次，二级系统一般每两年测评一次，金融、电力等行业还有更严的要求。

二、不做的法律后果

网络安全法第五十九条规定：不履行等级保护等网络安全保护义务的，由有关主管部门责令改正、给予警告；拒不改正或者导致危害网络安全等后果的，处一万元以上十万元以下罚款，对直接负责的主管人员处五千元以上五万元以下罚款。实务里，被公安网安部门通报整改、行政处罚的企业并不少；等保测评报告还是金融、医疗、政务类项目招投标的"硬门槛"，没有它，大客户往往进不去。

三、企业怎么落地（实务中要注意）

标准动作大致五步：定级（对照定级指南给系统定级，处理大量个人信息、重要数据的系统往往要定三级）→备案（二级以上到公安机关备案）→建设整改（按GB/T 22239-2019补齐管理制度、边界防护、日志留存六个月以上等）→测评（找有资质的测评机构出具测评报告）→持续整改（漏洞修复、定期复测）。

提醒一句：别把等保当"过审作业"。测评整改中发现的高危漏洞，往往就是真实攻击的入口；真出了数据泄露事故，没做过等保还可能被认定"未履行安全保护义务"，责任更重。

四、案例参考（示意情景）

某App运营公司处理个人信息规模不小，却一直没做等保定级备案和测评。网安部门检查发现其系统存在高危漏洞、有数据泄露风险，最终被责令改正、警告并处罚款，还被监管部门通报；因为拿不出等保测评报告，与金融机构的原有合作也被暂停。后来补做三级等保、完成整改，业务才逐步恢复。数据合规不是"交作业"，定级、备案、测评这套动作，本质上是给企业数据安全上保险。

五、一句话收尾

网站、App、业务系统在跑的企业，先把等保定级这件事查清楚：该备案的备案、该测评的测评——一年一次或两年一次的成本，远低于一次处罚加一次泄露事故的代价。

五、常见问题（FAQ）

问：等保测评是什么，企业必须做吗？

答：等保测评就是按国家网络安全等级保护制度，对信息系统的安全保护状况做一次“体检”；网络运营者依法应当开展等保工作。

问：三级系统和二级系统分别多久测评一次？

答：三级及以上系统按规定每年至少测评一次，二级系统一般每两年一次。

问：不做等保会有什么法律后果？

答：不履行等级保护等网络安全保护义务的，由有关主管部门责令改正、给予警告；拒不改正或者导致危害网络安全等后果的，处一万元以上十万元以下罚款，对直接负责的主管人员处五千元以上五万元以下罚款。

问：等保落地一般分哪几步？

答：定级、备案（二级以上到公安机关备案）、建设整改、测评、持续整改五步。

问：等保测评报告对业务有什么影响？

答：等保测评报告是金融、医疗、政务类项目招投标的“硬门槛”，没有它，大客户往往进不去。

延伸阅读：