网络日志要留存多久？不少于六个月的法律依据与处罚

一句话回答：不少于六个月。这是《网络安全法》的硬性要求，现行有效版本是2025年10月28日修正后的文本，条文号是第二十三条第（三）项——注意，不是网上大量文章还在写的“第二十一条”，那是修正前的旧条文号。

一、法律依据：先说清条文号变了这件事

《中华人民共和国网络安全法》（2016年11月7日通过，根据2025年10月28日第十四届全国人民代表大会常务委员会第十八次会议《关于修改〈中华人民共和国网络安全法〉的决定》修正）第二十三条规定：国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改：

（一）制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任；（二）采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施；（三）采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月；（四）采取数据分类、重要数据备份和加密等措施；（五）法律、行政法规规定的其他义务。

为什么条文号会变？这次修正在前部增加了人工智能相关条款（第二十条明确国家支持人工智能基础理论研究和算法等关键技术研发，完善人工智能伦理规范，加强风险监测评估和安全监管），条文整体后移，原来的等级保护义务条款就从第二十一条变成了第二十三条。你在网上搜到“网络安全法第二十一条留存日志六个月”的说法，内容方向没错，但引用条号已经过时了，写合规文件、做培训材料时务必换过来。

二、不履行会怎么罚：罚则也一并看

现行第六十一条规定：网络运营者不履行本法第二十三条、第二十七条规定的网络安全保护义务的，由有关主管部门责令改正，给予警告，可以处一万元以上五万元以下罚款；拒不改正或者导致危害网络安全等后果的，处五万元以上五十万元以下罚款，对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。

也就是说，先给责令改正和警告的机会；一旦拒不改正，或者已经导致了危害网络安全的后果，罚款直接从五万起步、最高到五十万，并且要单独追究直接负责的主管人员和直接责任人员。这一档“对个人开罚”的设计，是把压力压到人身上，合规负责人和 IT 负责人不能只当甩手掌柜。

三、实务中要注意的三点

第一，留什么日志。条文写的是“网络运行状态、网络安全事件”两类，落地时通常包括系统运行日志、访问日志、登录认证日志、安全设备告警日志、时间同步记录等。只存业务流水、不存安全日志，等于没做。

第二，留多久、怎么留。六个月是法定下限，不是上限；很多行业监管（如金融、电信、等级保护测评）要求更长。要保证日志可读、可追溯、时间准确、不被轻易篡改，最好做集中存储或异地备份——日志存在业务服务器本地、被入侵者顺手清掉，是事故复盘时最常见的遗憾。

第三，日志里含个人信息怎么办。日志里常有账号、IP、手机号，属于个人信息，处理要符合《个人信息保护法》《数据安全法》的要求。安全留存和最小必要并不矛盾：按安全目的留存是法定要求，但访问权限要收紧、留存范围要控制在必要限度、到期按规定处理。这一块也是数据分类分级（同一法条第（四）项）的落点。

四、案例分析：一次被顶格处罚的示意情景

（以下为示意情景，用于说明规则，非真实案件）某电商平台发生用户数据泄露，监管部门调查时要求提供事发前后三个月的访问日志和告警日志。该企业答案服务器日志默认只保留七天、且安全设备日志没有集中存储，事发前的记录已经滚掉。无法还原攻击路径，也被认定为未按规定留存相关网络日志，属于不履行等级保护义务；因已造成危害网络安全的后果，被处五万元以上五十万元以下罚款，同时对直接负责的主管人员处以罚款，并被责令限期整改、重新做等级保护测评。

这个情景的两点提示：日志留存平时看不出价值，出事时它就是唯一的自救材料；从取证角度看，“能证明自己尽到义务”本身就是行政处罚里的重要减轻因素。

五、常见问题（FAQ）

问：网络日志最少要留存多久？
答：不少于六个月，依据是修正后《网络安全法》第二十三条第（三）项。

问：为什么很多文章写的是第二十一条？
答：那是2025年10月28日修正前的条文号。修正后条文后移，现行条号是第二十三条。

问：不保存日志会被罚多少？
答：责令改正并警告，可处一万元以上五万元以下罚款；拒不改正或导致危害网络安全等后果的，处五万元以上五十万元以下罚款，直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。

问：只保存业务日志可以吗？
答：不够。条文要求的是网络运行状态和网络安全事件的技术措施与相关日志，安全类日志必须留。

问：日志里有用户手机号、IP，会不会违反个人信息保护法？
答：按法定安全目的留存在必要范围内是允许的，但要收紧访问权限、控制范围、到期按规定处理。

问：等级保护义务只有这一条吗？
答：第二十三条一共五项规定，除日志留存外，还要有内部安全管理制度和网络安全负责人、防范病毒和攻击的技术措施、数据分类备份加密等。

网络日志要留存多久？企业不保存日志会违法吗、最低要存几个月？