近日，国家互联网信息办公室发布《网络数据安全风险评估办法（征求意见稿）》（以下简称《办法》），同时提供了网络数据安全风险评估报告的官方模板，为各类组织系统化地开展数据安全风险评估提供了统一的框架、具体的依据和可操作的方法。

构建数据安全风险评估新框架

《办法》构建了系统化、规范化、标准化的网络数据安全风险评估工作体系。

系统思维实现协同治理。《办法》将数据安全风险评估与网络安全等级保护测评、数据安全管理认证、个人信息保护合规审计等工作进行了有机衔接。第二十一条明确规定，内容重合的相关结果可以互相采信，避免重复评估、审计、认证，这有效降低了企业合规成本，提升了监管效率。

创新思维提升治理能力。《办法》通过“精准授权、规范用权、有效制权”的逻辑闭环，实现了授权用权制权相统一。在制度设计上，既保障评估权依法依规行使，又通过风险管控实现数据安全与利用的平衡。同时，通过“内部自控+外部监管”的双重机制，实现内外监督相结合，提升监督效能。

三大重点明确风险评估具体要求

《办法》在全面总结以往网络数据安全制度建设经验的基础上，围绕风险评估的关键环节实现了重要突破。

明确分类评估要求。《办法》区分重要数据和一般数据处理者的不同评估频率：重要数据处理者需每年度开展风险评估，一般数据处理者则被鼓励至少每3年开展一次。这一差异化要求体现了风险导向的监管思路，使监管资源更加聚焦于关键领域。

规范评估机构管理。《办法》对评估机构提出了明确要求：评估机构需公正客观作出风险判断，对评估报告真实性负责；同一评估机构不得连续3次以上对同一数据处理者开展评估。这一“轮换”机制有助于保障评估的独立性和公正性，防止评估流于形式。

强化结果运用和监管。《办法》规定，省级以上网信部门和有关部门在发现网络数据处理者存在较大安全风险、发生数据安全事件等情形时，应当要求其委托通过认证的评估机构开展风险评估。对整改不到位、拒不整改的数据处理者，可采取要求其停止处理重要数据等措施，体现了监管的刚性约束。

三方责任构建协同治理新格局

《办法》构建了权责清晰、运行高效的工作体系，明确了主管部门、网络数据处理者和第三方评估机构的三方责任。

主管部门的监管责任。国家网信部门在国家数据安全工作协调机制指导下，统筹各地区、各部门开展风险评估。各有关主管部门定期组织本行业、本领域风险评估，并于每年1月底前向国家网信部门报送年度计划。这种分层级的监管体系，形成了上下联动的工作格局。

网络数据处理者的主体责任。网络数据处理者可以自行或委托第三方评估机构开展风险评估。重要数据处理者应当在年度风险评估完成后的10个工作日内按照要求报送评估报告。评估报告至少保存3年，这一规定确保了评估工作的可追溯性。

第三方评估机构的专业责任。评估机构需要取得相应资质认证，并按照《数据安全技术数据安全评估机构能力要求》等国家标准开展评估工作。评估机构在发现重大数据安全风险时，有义务及时通报网络数据处理者并向监管部门报告，充分发挥其专业监督作用。

官方模板为企业合规提供明确指引

《办法》附件提供了详细的评估报告模板，为企业开展风险评估提供了标准化框架和具体指引。

网络数据安全风险评估报告目录

全面覆盖数据处理全生命周期。模板涵盖了数据收集、存储、使用、加工、传输、提供、公开、删除等各个环节的评估内容，形成了完整的评估链条。企业可按照模板要求系统梳理自身数据处理活动，确保评估的全面性和系统性。

注重实效性和可操作性。模板中每个表格都设计了“本表是否与上一年度相同”选项，如相关情况未发生变化，无需再次填表。这一设计既减轻了企业负担，又引导企业关注发生变化的部分，突出风险评估的针对性。

强化风险识别和处置闭环。模板要求从数据安全管理、数据处理活动、数据安全技术和个人信息保护四个方面识别风险，并对各风险源开展危害程度和可能性分析，最终形成风险处置建议。

这种设计推动了“评估发现风险、报告呈现风险、整改化解风险”的治理闭环。

推动数据治理能力现代化

《办法》的制定，不仅对数据安全监管具有重要意义，也将对数字经济发展产生深远影响。其将《数据安全法》中“建立数据安全风险评估机制”等原则性规定转化为可操作的具体制度，完善了数据安全治理的法律体系和实施路径。同时，为数据处理者提供了明确指引，帮助其全面排查和处置数据安全风险，为促进数据依法有序自由流动提供了制度保障，平衡了安全与发展的关系。

对于重要数据处理者，当务之急是组建专业团队，按照官方模板开展首次风险评估，建立内部数据安全治理体系。一般数据处理者也应未雨绸缪，逐步完善数据安全管理机制，为合规工作做好准备。数据安全是数字经济发展的基本前提，《办法》为数据要素安全有序流动奠定制度基础，推动我国数字经济在高质量发展道路上稳步前行。