工業(yè)和信息化領(lǐng)域數(shù)據(jù)安全風(fēng)險評估實施細則（試行）

第一條根據(jù)《中華人民共和國數(shù)據(jù)安全法》《中華人民

共和國網(wǎng)絡(luò)安全法》等法律，按照《工業(yè)和信息化領(lǐng)域數(shù)據(jù)

安全管理辦法（試行）》有關(guān)要求，為引導(dǎo)工業(yè)和信息化領(lǐng)

域數(shù)據(jù)處理者規(guī)范開展數(shù)據(jù)安全風(fēng)險評估工作，提升數(shù)據(jù)安

全管理水平，維護國家安全和發(fā)展利益，制定本細則。

第二條本細則適用于對中華人民共和國境內(nèi)工業(yè)和信

息化領(lǐng)域重要數(shù)據(jù)和核心數(shù)據(jù)處理者數(shù)據(jù)處理活動開展的

數(shù)據(jù)安全風(fēng)險評估。

第三條工業(yè)和信息化部統(tǒng)一管理、監(jiān)督和指導(dǎo)工業(yè)和

信息化領(lǐng)域數(shù)據(jù)安全風(fēng)險評估工作，組織開展相關(guān)評估標(biāo)準(zhǔn)

制修訂及推廣應(yīng)用。

各省、自治區(qū)、直轄市及計劃單列市、新疆生產(chǎn)建設(shè)兵

團工業(yè)和信息化主管部門，各省、自治區(qū)、直轄市通信管理

局和無線電管理機構(gòu)（以下統(tǒng)稱地方行業(yè)監(jiān)管部門）依據(jù)職

責(zé)分別負責(zé)監(jiān)督管理本地區(qū)工業(yè)、電信、無線電重要數(shù)據(jù)和

核心數(shù)據(jù)處理者開展數(shù)據(jù)安全風(fēng)險評估工作。

工業(yè)和信息化部及地方行業(yè)監(jiān)管部門統(tǒng)稱為行業(yè)監(jiān)管

部門。

第四條重要數(shù)據(jù)和核心數(shù)據(jù)處理者按照及時、客觀、

-1-

有效的原則開展數(shù)據(jù)安全風(fēng)險評估，形成真實、完整、準(zhǔn)確

的評估報告，并對評估結(jié)果負責(zé)。

第五條重要數(shù)據(jù)和核心數(shù)據(jù)處理者按照國家法律法

規(guī)、行業(yè)監(jiān)管部門有關(guān)規(guī)定以及評估標(biāo)準(zhǔn)，對數(shù)據(jù)處理活動

的目的和方式、業(yè)務(wù)場景、安全保障措施、風(fēng)險影響等要素，

開展數(shù)據(jù)安全風(fēng)險評估，重點評估以下內(nèi)容：

（一）數(shù)據(jù)處理目的、方式、范圍是否合法、正當(dāng)、必

要；

（二）數(shù)據(jù)安全管理制度、流程策略的制定和落實情況；

（三）數(shù)據(jù)安全組織架構(gòu)、崗位配備和職責(zé)履行情況；

（四）數(shù)據(jù)安全技術(shù)防護能力建設(shè)及應(yīng)用情況；

（五）數(shù)據(jù)處理活動相關(guān)人員是否熟悉數(shù)據(jù)安全相關(guān)政

策法規(guī)、是否具備數(shù)據(jù)安全知識技能、是否接受數(shù)據(jù)安全相

關(guān)教育培訓(xùn)等情況；

（六）發(fā)生數(shù)據(jù)遭到篡改、破壞、泄露、丟失或者被非

法獲取、非法利用等安全事件，對國家安全、公共利益的影

響范圍、程度等風(fēng)險；

（七）涉及數(shù)據(jù)提供、委托處理、轉(zhuǎn)移的，數(shù)據(jù)獲取方

或受托方的安全保障能力、責(zé)任義務(wù)約束和履行情況；

（八）涉及國家法律法規(guī)中規(guī)定需要申報的數(shù)據(jù)出境安

全評估情形，履行數(shù)據(jù)出境安全評估要求情況。

第六條重要數(shù)據(jù)和核心數(shù)據(jù)處理者每年至少開展一次

-2-

數(shù)據(jù)安全風(fēng)險評估，評估結(jié)果有效期為一年，以評估報告首

次出具日期計算。評估報告應(yīng)當(dāng)包括數(shù)據(jù)處理者基本情況、

評估團隊基本情況、重要數(shù)據(jù)的種類和數(shù)量、開展數(shù)據(jù)處理

活動的情況、數(shù)據(jù)安全風(fēng)險評估環(huán)境，以及數(shù)據(jù)處理活動分

析、合規(guī)性評估、安全風(fēng)險分析、評估結(jié)論及應(yīng)對措施等。

在有效期內(nèi)出現(xiàn)以下情形之一的，重要數(shù)據(jù)和核心數(shù)據(jù)

處理者應(yīng)當(dāng)及時對發(fā)生變化及其影響的部分開展風(fēng)險評估：

（一）新增跨主體提供、委托處理、轉(zhuǎn)移核心數(shù)據(jù)的；

（二）重要數(shù)據(jù)、核心數(shù)據(jù)安全狀態(tài)發(fā)生變化對數(shù)據(jù)安

全造成不利影響的，包括但不限于數(shù)據(jù)處理目的、方式、適

用范圍和安全制度策略等發(fā)生重大調(diào)整的；

（三）發(fā)生涉及重要數(shù)據(jù)、核心數(shù)據(jù)的安全事件的；

（四）重要數(shù)據(jù)和核心數(shù)據(jù)目錄備案內(nèi)容發(fā)生重大變化

的；

（五）行業(yè)監(jiān)管部門要求進行評估的其他情形。

第七條重要數(shù)據(jù)和核心數(shù)據(jù)處理者可以自行或者委托

具有工業(yè)和信息化數(shù)據(jù)安全工作能力的第三方評估機構(gòu)開

展評估。評估過程應(yīng)當(dāng)建立至少包括組織管理、業(yè)務(wù)運營、

技術(shù)保障、安全合規(guī)等人員的專業(yè)化評估團隊，制定完備的

評估工作方案，配備有效的技術(shù)評測工具。

第八條重要數(shù)據(jù)和核心數(shù)據(jù)處理者委托第三方評估機

構(gòu)開展數(shù)據(jù)安全風(fēng)險評估的，可以通過訂立合同或者其他具

-3-

有法律效力的文件，明確雙方的權(quán)利和責(zé)任，向第三方評估

機構(gòu)提供必需的材料和條件，確保相關(guān)材料的真實性和完整

性，并確認評估結(jié)果。

第九條重要數(shù)據(jù)和核心數(shù)據(jù)處理者對評估中發(fā)現(xiàn)的數(shù)

據(jù)安全風(fēng)險隱患，應(yīng)當(dāng)及時采取適當(dāng)措施消除或降低風(fēng)險隱

患。

第十條重要數(shù)據(jù)和核心數(shù)據(jù)處理者應(yīng)當(dāng)在評估工作完

成后的10個工作日內(nèi)，向本地區(qū)行業(yè)監(jiān)管部門報送評估報

告。

中央企業(yè)督促指導(dǎo)所屬企業(yè)履行屬地數(shù)據(jù)安全風(fēng)險評

估及評估報告報送要求，并將梳理匯總的企業(yè)集團本部、所

屬公司的評估報告報送工業(yè)和信息化部。

地方行業(yè)監(jiān)管部門將本地區(qū)本領(lǐng)域重要數(shù)據(jù)和核心數(shù)

據(jù)處理者的評估結(jié)果報送工業(yè)和信息化部。

第十一條地方行業(yè)監(jiān)管部門發(fā)現(xiàn)不符合法律法規(guī)和有

關(guān)規(guī)定的，應(yīng)當(dāng)及時通知重要數(shù)據(jù)和核心數(shù)據(jù)處理者依法予

以改正。地方行業(yè)監(jiān)管部門于12月25日前，將本地區(qū)本年

度評估報告接收和審核情況報送工業(yè)和信息化部。工業(yè)和信

息化部視情對評估報告組織抽查審核。

涉及跨主體提供、轉(zhuǎn)移、委托處理核心數(shù)據(jù)的，地方行

業(yè)監(jiān)管部門應(yīng)當(dāng)在數(shù)據(jù)處理者提交評估報告的20個工作日

內(nèi)完成審查，并報工業(yè)和信息化部按照國家有關(guān)規(guī)定進行復(fù)

-4-

核。

第十二條鼓勵熟悉工業(yè)和信息化領(lǐng)域數(shù)據(jù)安全工作，

滿足資質(zhì)要求的認證機構(gòu)開展第三方評估機構(gòu)的能力認證。

相關(guān)認證機構(gòu)配備相應(yīng)的人員和技術(shù)保障能力，建立第

三方評估機構(gòu)能力認證制度，明確第三方評估機構(gòu)在管理體

系、人員能力、工具設(shè)施、評估領(lǐng)域等方面的規(guī)范要求，跟

蹤管理第三方評估機構(gòu)的服務(wù)質(zhì)量，督促第三方評估機構(gòu)獨

立、公正、客觀、科學(xué)地開展數(shù)據(jù)安全風(fēng)險評估工作。

第十三條第三方評估機構(gòu)應(yīng)當(dāng)履行下列義務(wù)：

（一）對評估工作中知悉的國家秘密、重要數(shù)據(jù)和核心

數(shù)據(jù)的目錄與內(nèi)容、商業(yè)秘密、個人隱私，以及與數(shù)據(jù)處理

者簽署的保密協(xié)議中約定的保密信息等嚴格保密；

（二）嚴格按照國家法律法規(guī)、行業(yè)監(jiān)管部門有關(guān)規(guī)定

以及評估標(biāo)準(zhǔn)，公正、獨立地開展評估并出具評估報告，全

面、準(zhǔn)確、客觀地反映重要數(shù)據(jù)和核心數(shù)據(jù)處理者的數(shù)據(jù)安

全風(fēng)險狀況，提供務(wù)實有效的風(fēng)險整改建議措施；

（三）除重要數(shù)據(jù)和核心數(shù)據(jù)處理者書面同意或者法

律、行政法規(guī)另有規(guī)定外，不得向其他組織或個人提供評估

中收集掌握的相關(guān)信息。

第十四條工業(yè)和信息化部根據(jù)技術(shù)能力、人員配備、

信譽資質(zhì)等情況，擇優(yōu)遴選通過能力認證的第三方評估機

構(gòu)，建立工業(yè)和信息化領(lǐng)域數(shù)據(jù)安全風(fēng)險評估支撐機構(gòu)庫。

-5-

地方行業(yè)監(jiān)管部門可以參照建立本地區(qū)數(shù)據(jù)安全風(fēng)險評估

支撐機構(gòu)庫。

行業(yè)監(jiān)管部門根據(jù)工作需要，可以自行或組織數(shù)據(jù)安全

風(fēng)險評估支撐機構(gòu)庫中的機構(gòu)，對重要數(shù)據(jù)和核心數(shù)據(jù)處理

者的數(shù)據(jù)處理活動開展專項風(fēng)險評估，或?qū)χ匾獢?shù)據(jù)和核心

數(shù)據(jù)處理者的風(fēng)險評估工作落實情況進行監(jiān)督檢查。

重要數(shù)據(jù)和核心數(shù)據(jù)處理者對行業(yè)監(jiān)管部門發(fā)起的專

項風(fēng)險評估及監(jiān)督檢查應(yīng)當(dāng)予以配合，并對評估發(fā)現(xiàn)的相關(guān)

問題及時進行改正。

第十五條行業(yè)監(jiān)管部門對于違反國家認證認可相關(guān)規(guī)

定的認證機構(gòu)，將相關(guān)線索移交市場監(jiān)督管理部門處理。

行業(yè)監(jiān)管部門對第三方評估機構(gòu)的評估活動進行監(jiān)督

管理，對違反法律法規(guī)、未按行業(yè)規(guī)定和標(biāo)準(zhǔn)開展評估活動、

未履行保密義務(wù)的第三方評估機構(gòu)，視情按照規(guī)定權(quán)限和程

序進行約談、通報，認證機構(gòu)應(yīng)根據(jù)通報信息，對不符合認

證要求的第三方評估機構(gòu)依法暫停直至撤銷其相應(yīng)認證證

書。

第十六條有違反本實施細則行為的，由行業(yè)監(jiān)管部門

按照相關(guān)法律法規(guī)，根據(jù)情節(jié)嚴重程度給予行政處罰；構(gòu)成

犯罪的，依法追究刑事責(zé)任。

第十七條行業(yè)監(jiān)管部門及委托支撐機構(gòu)的工作人員對

在履行職責(zé)中知悉的國家秘密、商業(yè)秘密、個人信息、評估