2026 年 8 月 20 日，由国家互联网信息办公室、工业和信息化部、公安部联合公布的《网络数据安全风险评估办法》（三部门令第 24 号）正式施行。该办法于 2026 年 6 月 1 日经国家网信办室务会审议通过，6 月 18 日对外公布，为网络数据安全风险评估提供了统一的程序规则。施行当日，公安部有关负责人就其适用问题回答了记者提问。
要点可以概括为三句：重要数据处理者每年开展一次风险评估；可以自行评估，也可以委托第三方；评估报告须按规定编制并报送，留存备查。
对处理重要数据的企业而言，这部办法把此前散落在《数据安全法》《网络数据安全管理条例》中的评估要求，落成了一套可操作的年度机制。
谁必须评估，多久评估一次
办法第五条按数据重要程度区分了评估频次：
重要数据处理者应当每年度开展风险评估。此外，重要数据安全状态发生重大变化、可能对数据安全造成不利影响的，应当及时对发生变化及其影响的部分开展评估，不必等到年度节点。
对处理一般数据的网络数据处理者，办法采取鼓励态度，建议至少每 3 年开展一次评估。这意味着一般数据处理者并非强制义务主体，但一旦承接涉及重要数据的业务，评估义务即随之触发。
自行评估还是委托评估
第七条给了两条路径：网络数据处理者可以自行开展，也可以委托第三方评估机构。自行开展的，应当指定专人负责；委托开展的，需要通过合同或者其他有法律效力的文件明确双方权利义务。
第八条鼓励评估机构通过认证，认证按《认证认可条例》执行。对企业的现实提示是：如果选择委托，应优先核查机构是否已通过认证，并留存委托文件，以备核验。
评估报告的编制与报送
这是办法最具操作性的部分。第十五条要求重要数据处理者依法编制风险评估报告，报告至少保存 3 年。主管部门对报告格式没有规定的，可以参照数据安全风险评估有关国家标准编制。
第十六条建立了报送链条：重要数据处理者应当在年度评估完成后的 20 个工作日内向有关主管部门报送报告；主管部门不明确的，向省级网信部门或者国家网信部门报送。主管部门收到报告后，应当在 10 个工作日内通报同级网信部门，国家网信部门再汇总并与国务院电信、公安、国家安全等部门共享。
同时，省级以上网信部门、电信主管部门、公安机关、国家安全机关等可以对报告的真实性、准确性进行检查核验，重要数据处理者应当配合。
对第三方评估机构的约束
办法用一组条款划定了评估机构的独立性边界，这几条对采购第三方服务的企业同样重要：
评估机构不得转委托其他机构开展评估；同一评估机构及其关联机构不得连续 3 次以上对同一网络数据处理者开展年度风险评估。这意味着长期由一家机构“包办”评估的做法，在办法施行后不再可行。
评估机构在评估过程中发现存在重大数据安全风险的，应当及时通知网络数据处理者；对评估中获得的数据、商业秘密等信息负有保密义务，评估结束后应当及时删除或按合同妥善处置。机构还须对所出具报告的真实性、有效性、完整性负责。
什么情况下会被要求强制委托评估
第十七条列举了两种可以由监管部门要求企业委托通过认证的机构开展评估的情形：
一是网络数据处理活动存在较大安全风险，可能危害国家安全、公共利益的；二是发生网络数据安全事件，导致重要数据或者大规模个人信息泄露、被窃取的。
对同一事件或风险，不得重复要求企业委托评估。企业按监管要求委托评估后，负有配合访问设施、数据、日志，限期完成评估，报送签字盖章报告等义务；对评估中发现的问题进行整改后，应当在 15 个工作日内报送整改情况报告。企业不得以任何方式要求或示意评估机构出具不实、不当的报告。
对 AI 企业的实际影响
办法本身不区分行业，但 AI 企业的数据形态让它很容易落入适用范围。
训练语料、用户交互数据、模型输出日志，这些数据中只要有一部分被识别为重要数据，企业就需要按年度开展评估并报送报告。是否属于“重要数据”，取决于行业主管部门的重要数据目录与识别规则，而不是企业自行判断——这也是不少 AI 企业需要优先厘清的第一件事。
评估周期与报送时限（20 个工作日）应当纳入年度合规日历，避免因遗漏形成程序性违规。对拒不整改或未达到整改要求的重要数据处理者，监管部门可以要求其停止处理重要数据，这对以数据驱动为核心的 AI 业务而言影响直接。
涉及重要数据出境的，还需要与既有出境评估程序衔接，两套评估的结论可以相互支撑，但材料与口径需要一致。相关讨论可参见跨境数据合规指南与AI 数据合规风险。
如需就重要数据识别、年度风险评估的组织与报告编制获得支持，可参见数据合规服务；涉及算法与模型侧的备案安排，可一并参见算法备案服务。
本文依据国家互联网信息办公室、工业和信息化部、公安部 2026 年 6 月 18 日公布的《网络数据安全风险评估办法》（令第 24 号）编写，仅供参考，不构成法律意见。具体合规判断请以正式文本与适用法律为准。