关于对网络安全等级保护有关工作事项进一步说明的函（公网安〔2025〕1846号）
Categories:
少于1分钟
来源与版权：本页为本地转换稿（源文件
公网安〔2025〕1846号《关于对网络安全等级保护有关工作事项进一步说明的函》.pdf，共 8 页），版权归标准发布机构所有，仅供学习与测评工作参考，正式引用请核对官方发布版本。详见 版权声明。
中华人民共和国公安部
公网安〔2025〕1846 号
关于对网络安全等级保护有关工作事项进一步说明的函
中央和国家机关各部委网络安全职能部门，国务院各直属机构、办事机构、事业单位网络安全职能部门，中央企业网络安全职能部门：
2025 年 3 月 8 日，我局印发了《关于进一步做好网络安全等级保护有关工作的函》（公网安〔2025〕1001 号），指导各单位全面深入开展系统备案更新、数据资源摸底、风险隐患排查以及问题隐患整改等工作。为推进各项工作落实，我局针对有关工作事项进一步研究细化，做出了具体说明，现印发你们，请结合本行业、本部门工作实际参照执行。
附件：关于进一步做好网络安全等级保护有关工作的问题释疑
公安部十一局
2025 年 4 月 27 日
抄送：各省、自治区、直辖市网络安全等级保护工作协调小组办公室，各省、自治区、直辖市公安厅（局）、新疆生产建设兵团公安局网络安全保卫总队。
附件
关于进一步做好网络安全等级保护有关工作的问题释疑
问题一、如何执行系统备案动态更新工作？
答复：运营者需全面梳理已备案系统的情况，对于已完成定级备案的第二级（含）以上网络系统，无论网络系统是否涉及级别变更，运营者均需重新依据 2025 版定级报告和备案表模板进行编写和填报，并及时按照属地公安机关网安部门要求及时报送。
问题二、系统备案动态更新是否需要组织召开专家评审，组织召开专家评审会的基本原则是什么？
答复：已完成定级备案的网络系统若发生级别变更或重大变化的需重新组织召开专家评审会。鼓励行业主管部门集中组织召开本行业内网络系统的专家评审会。
问题三、备案单位如何选择备案地？
答复：原则上由地市级以上公安机关网安部门受理备案。省级公安机关可以根据实际情况，指定具有受理备案条件的县级公安机关受理备案。备案单位工商注册登记地、实际业务运营机构所在地、安全管理机构所在地、网络设备所在地等不一致的，以备案单位安全管理机构、运维所在地为主受理备案。若安全管理机构和运维所在地等不一致的，以安全管理机构所在地为主受理备案。
问题四、跨省或全国联网运行的网络系统如何选择备案地？
答复：跨省、省内跨地（市），或全国联网运行的网络系统，按照属地管辖原则由省级公安机关网安部门受理备案或其指定地市级公安机关网安部门受理备案。
跨省或全国统一联网运行并由主管部门统一定级的网络系统在各地运行、应用的分支系统（包括由上级主管部门定级，在当地有应用的网络），由所在地地市级以上公安机关网安部门受理备案。
问题五、已定级备案的跨省或全国联网运行的网络系统如何选择备案更新地？
答复：原备案至公安部的网络系统已转交至北京市公安局网安总队进行受理，此次备案动态更新地请咨询北京市公安局网络安全保卫总队。
问题六、备案证明如何更新及有效期如何确认？
答复：《网络安全等级保护备案证明》有效期为三年。2025 年 1 月 1 日前备案的，有效期自 2025 年 1 月 1 日起算。完成等级测评后有效期自动延长一年。期满需要延期的，应当于期满前三个月内向受理备案的公安机关申请延期。
问题七、第五级网络系统的定义？
答复：第五级网络系统是指"对国家安全或地区安全、国计民生造成严重或特别严重损害的网络系统"。
问题八、第五级网络系统定级的适用范围可能包括哪些？
答复：第五级网络系统适用于关系到国家安全、地区安全或国计民生的重要网络系统，例如：国家能源管理系统、交通指挥调度系统、金融核心交易系统、大型互联网平台等。
问题九、第五级网络系统需要到哪里备案？
答复：按照《网络安全等级保护备案实施细则（试行）》要求，第五级网络系统需到省级公安机关网安部门备案。
问题十、第五级网络系统如何开展等级测评？
答复：现阶段第五级网络系统原则上可在《信息安全技术 网络安全等级保护基本要求》（GB/T 22239—2019）中第四级安全保护要求基础上，重点参考《信息安全技术 关键信息基础设施安全测评要求》（GA/T 2182—2024）中相关要求，执行第五级网络系统等级测评工作。
问题十一、第五级网络系统每年要开展几次等级测评？
答复：第五级网络系统等级测评频率与第三、四级网络系统保持一致，每年开展一次等级测评工作。
问题十二、第五级网络系统是否属于关键信息基础设施？
答复：第五级网络系统是关键信息基础设施（以下简称"关基"）认定的重要因素之一，但第五级网络系统和关基并不是等同关系。第五级网络系统的认定需根据业务信息安全、系统服务安全被破坏时，对侵害客体的侵害程度来确定。而关基的认定则需要根据《关键信息基础设施安全保护条例》中相关认定要求来认定。
问题十三、系统定级为第五级是否需要进行大规模的资金投入或国产化改造？
答复：第五级信息系统是最重要的系统，关乎国家安全、地区安全或国计民生，以提升安全防护能力为目标，按照"适度适配"的原则，开展网络系统升级改造。不强制要求大规模资金投入或国产化改造。
问题十四、为什么要通过等级保护备案开展数据摸底调查？
答复：随着《中华人民共和国数据安全法》、《网络数据安全管理条例》发布，数据安全影响日益凸显，为全面摸清数据基本信息、数据使用和数据流动等情况，依托等保备案更新工作专设数据调查表，全力支撑后续监管工作。
问题十五、如何组织开展数据摸底调查？
答复：第二级（含）以上网络系统运营者以单位为主体进行填报数据摸底调查表，运营者根据本单位数据分类分级结果填报《网络安全等级保护备案表》中的《数据摸底调查表》并报送至属地公安机关。
问题十六、如何填写数据摸底调查表？
答复：数据摸底调查表由网络系统运营者填写，每类数据填写一张，有多类数据的要分别填写。数据类别即本单位数据分类的最小单元类，是该数据项之上的数据类别，例如"金融账户"、“个人交易信息"等，并非是"电话”、“身份证”、“手机号码"等数据项。
问题十七、高风险问题的主要判定依据是什么？
答复：高风险问题的判定主要依据《网络安全等级保护测评高风险判定实施指引》中相关判例。对于未出现在《网络安全等级保护测评高风险判定实施指引》的，经综合判断，可能会造成测评系统出现高风险情况的，也应判断为高风险问题。
问题十八、2025 版网络安全等级保护测评报告模版为什么引入重大风险隐患概念？
答复：引入重大风险隐患概念标志着网络安全等级保护工作从原有的"合规达标"转变至"动态防护”。通过以问题为导向，推动运营者聚焦核心安全问题优化改进网络安全防护手段，全面提升网络安全保护能力。
问题十九、高风险问题与重大风险隐患之间的关系是什么？
答复：根据重大风险隐患判定原则（相关性原则、严重性原则、高发性原则）进行综合分析，判断是否为重大风险隐患。重大风险隐患可能由一个高风险问题直接引发，还可能是多个高、中、低安全问题的叠加。
问题二十、网络系统存在高风险问题或重大风险隐患是否影响测评结论？
答复：网络安全等级测评报告模版（2025 版）中测评结论判定规则如下：
被测系统符合率高于 90%，且无重大风险隐患，判定为符合。
测评结论与有无重大风险隐患有关。
被测系统符合率高于 60%，低于 90%，判定为基本符合。在此种情况下，测评结论与有无高风险问题、重大风险隐患无关。
被测系统符合率低于 60%，判定为不符合。
问题二十一、关于启用 2025 版新报告模板，是以哪个时间节点为准？
答复：《网络安全等级测评报告模板（2025 版）》的启用以报告出具日期为准。测评报告封面时间为 2025 年 3 月 20 日之前日期的，测评报告可按照报告模版 2021 版执行；测评报告封面时间为 2025 年 3 月 20 日之后日期的，测评报告需按照报告模版 2025 版执行。
问题二十二、等级测评结论处"重大风险隐患数量"，是按照整改前的数量还是整改后的数量填写？
答复：在《网络安全等级测评报告模板（2025 版）》中，等级测评结论处的"重大风险隐患数量"应按照整改前的数量填写。若重大风险隐患数量已整改，需在测评报告中标注已整改。例：“10（5 个已整改）"。
问题二十三、保护工作方案范围及内容包括什么？
答复：第三级（含）以上网络系统运营者需以定级责任单位为主体提交保护工作方案，保护工作方案以年度测评中发现的重大风险隐患为重点，同时统筹考量高中低风险问题，全面梳理分析安全保护需求。保护工作方案应至少包括但不限于以下内容：
资产情况（互联网资源情况、基础环境情况、网络设备情况、系统软件情况、网络安全产品情况等）、现有安全保护措施、问题成因、整改思路及后续工作计划等。
问题二十四、保护工作方案内涉及的资产情况如何上报？
答复：为切实做好本年度重大活动安保工作，请各单位于 2025 年 6 月 30 日前向属地公安机关报送首批保护工作方案。