网络数据安全风险评估多久做一次：企业如何分层核对评估、报告与报送记录

江苏鑫律联律师事务所的组织判断是：企业不能先把所有数据处理活动排成“三年一次”，再补做主体判断。 《网络数据安全风险评估办法》将自2026年8月20日起施行（截至2026年8月16日尚未生效）。按照办法，重要数据处理者应当每年度开展风险评估；重要数据安全状态发生重大变化，可能对数据安全造成不利影响的，还应及时对发生变化及其影响的部分开展风险评估。对于一般数据处理者，至少每三年开展一次风险评估属于鼓励性规则，不是面向所有企业的统一强制周期；有关行业、领域另有规定的，从其规定。

因此，企业需要建立的不是一张只有“上次评估日期”和“下次评估日期”的计划表，而是一套能够回答主体与数据事实、行业规则、重大变化、报告版本、保存和报送记录分别由谁确认的材料链。任何一栏已填写，都不等于重要数据处理者身份已经认定，也不等于评估、报告编制或报送已经完成。

先把四类规则分开，不用一个“三年”覆盖全部事项

企业内部安排至少要区分四类问题：

规则层	需要核对的内容	不能直接写成的结论
年度评估	是否涉及重要数据处理者，以及相应年度评估的实际安排与完成事实	不能因企业处理数据或者建立了计划，就认定其身份或年度评估已完成
重大变化评估	是否存在重要数据安全状态变化，该变化是否可能对数据安全造成不利影响，以及变化和影响涉及哪些部分	不能由一次系统、产品或业务变更直接推定已经触发或完成评估
一般数据评估	当前主体与数据事实是否落入一般数据处理者范围，并核对行业、领域是否另有规定	不能把“鼓励至少每三年一次”改写成所有企业必须三年一次
报告保存与报送	年度报告适用的主管部门规定、报告版本、保存情况、年度评估完成时间和实际报送记录	不能把“报告至少保存三年”理解为“评估每三年一次”，也不能把拟报送状态写成已经报送

这四层应分别设置事实来源、确认人和未知项。尤其要避免把报告保存期限与评估频次混在同一字段中：办法规定，重要数据处理者开展年度风险评估，应依法按照有关主管部门规定编制风险评估报告，报告至少保存三年；这不改变重要数据处理者每年度开展风险评估的要求。

第一层：由数据负责人牵头核对主体与重要数据识别事实

主体判断不能只从企业名称、行业标签或某个数据系统的规模出发。内部材料应先还原实际开展了哪些网络数据处理活动、涉及哪些数据类别、相关事实由哪个业务或数据负责人掌握，以及重要数据识别所依据的行业、领域规则和现有材料是什么。

建议为每一项待核数据记录实际处理活动、数据类别、涉及的业务环节、信息来源、材料版本、直接事实持有人和当前未知项。数据负责人负责建立索引，业务、产品和实际经办人员分别确认自己掌握的事实；法务可以核对材料与规则之间的对应关系，但不应用汇总表替代事实持有人确认，也不应在材料不完整时先行认定企业身份或数据级别。

第二层：把通用办法与行业、领域规则并列核对

办法明确，有关主管部门对本行业、本领域风险评估工作另有规定的，从其规定。因此，企业安排频次、方法和报告时，应同时记录可能适用的行业、领域规则、发布主体、现行版本、适用范围和内部核对人。

“尚未找到另行规定”与“确定没有另行规定”不是同一状态。主管部门是否明确、某项规则是否适用于具体活动，也应保留核对过程和未知项，不能因为通用办法已经列入制度，就省略行业规则核对；也不能凭行业名称直接推定某一规定已经适用。

第三层：重大变化由实际事实持有人先记录，法律评价另行核对

重大变化记录应与年度计划分开。产品、业务、技术或数据管理人员发现变化时，先按实际情况记录：变化发生在何时，改变了什么处理活动或数据状态，影响哪些部分，现有材料是什么，谁能说明变化前后的事实，以及哪些影响仍未确认。

这张记录表不宜预设“重大”或“不重大”选项作为业务人员的最终结论。业务和技术人员负责说明变化事实，数据负责人汇总涉及的数据及处理环节，法务再结合适用规则核对是否属于重要数据安全状态发生重大变化且可能对数据安全造成不利影响。尚不能判断的，继续标为待核；不能为了等待年度评估而删除变化记录，也不能因建立了变化记录就声称及时评估已经完成。

第四层：年度报告要保留依据、版本与保存记录

对重要数据处理者的年度风险评估报告，材料台账应当能够对应有关主管部门的编制规定；主管部门对报告没有规定的，可以参照数据安全风险评估有关国家标准编制。企业可分别记录：所依据的规定或标准及版本、报告草稿和修订版本、各版本形成时间、修改内容、经办人与保管人，以及最终留存版本和保存位置。

如果委托第三方评估机构开展风险评估，还应保留合同或者其他具有法律效力文件中关于双方权利、义务的约定，并把第三方形成、企业接收和内部流转的材料版本分别编号。委托关系和收到报告文件，都不能单独证明企业身份、年度评估已经完成、报告符合要求或相关结论成立。

报告至少保存三年，应落实到可核对的版本和保存记录，而不是只在制度中写一个期限。只有文件名、没有内容版本和形成时间，或者只保留后续整理件而无法说明其与原版本的关系，都会使后续核对失去基础。

第五层：报送记录从“年度评估完成事实”开始建链

办法规定，重要数据处理者应当在年度风险评估完成后的二十个工作日内，按照有关主管部门要求向其报送风险评估报告；主管部门不明确的，向省级网信部门或者国家网信部门报送。这里的期限起点是年度风险评估完成，不能用立项、合同签订、报告初稿或内部计划日期替代。

报送经办人应逐项留存年度评估完成时间所依据的原始记录、对应报告版本、有关主管部门的报送要求、实际报送对象与渠道、报送时间、提交材料清单和能够取得的接收记录。主管部门及其要求尚未核清、年度评估完成事实尚无材料、报告版本仍有差异或者尚未取得报送记录时，应如实保留空缺，不用“流程中”“已安排”或内部审批状态替代实际报送事实。

一套由事实持有人逐层确认的协作顺序

企业可以按以下顺序组织材料，但每一步只确认其职责范围内的事实：

1. 数据负责人建立数据处理活动、数据类别、重要数据识别材料和行业规则索引，列出尚不能确认的主体与数据问题；
2. 业务、产品、技术等事实持有人确认实际处理活动与变化事实，说明材料形成时间、版本和自己能够证明的范围；
3. 法务核对通用办法与行业、领域规则的适用线索，区分强制要求、鼓励性规则和未知项，不代替业务人员补写事实；
4. 报告经办人记录报告编制依据、各版本关系、形成与保管情况；涉及第三方时，同时核对合同或其他具有法律效力文件及材料流转；
5. 报送经办人以能够核对的年度评估完成事实为起点，记录报送要求、对象、时间、材料版本和接收记录；
6. 数据负责人和法务共同汇总差异、缺口及下一位事实持有人，不把材料完整度转写成合规结果。

最终形成的应是可回到原始记录的“规则—事实—版本—持有人”材料链。它可以帮助企业发现重要数据识别、行业规则、重大变化、报告保存或报送记录中的缺口，但不能替代对具体主体、数据和规则的判断，更不能据此预断评估或报告质量、报送完成、整改、处罚及任何后续结果。