我们网络安全大有前景！要好起来了！

一、系统备案相关

1. 动态更新要求
   ：不管之前备案的系统级别有没有变化，只要是第二级及以上的网络系统，都得用 2025 年的新模板重新编写和填报备案表，然后及时报给当地公安机关。
2. 专家评审
   ：如果系统级别变了或者有重大变化，就需要重新组织专家评审会。行业主管部门可以集中组织本行业内的评审会。
3. 备案地选择
   ：一般由地市级以上公安机关受理备案。跨省或者全国联网的系统，由省级公安机关或其指定的地市级公安机关受理。之前备案到公安部的系统，现在转给北京市公安局网安总队了，更新备案时咨询他们。
4. 备案证明
   ：有效期三年，2025 年 1 月 1 日前备案的，有效期从那天开始算。做完等级测评后有效期自动延长一年，到期前三个月要申请延期。

二、第五级网络系统相关

1. 定义和范围
   ：第五级是对国家安全、地区安全或者国计民生造成严重或特别严重损害的系统，比如国家能源管理系统、交通指挥调度系统、金融核心交易系统、大型互联网平台等。
2. 备案和测评
   ：要到省级公安机关备案，测评时在第四级标准基础上，参考关键信息基础设施的测评要求，每年测一次。
3. 资金和改造
   ：不强制要求大规模资金投入或国产化改造，按照 “适度适配” 原则提升安全防护能力。

三、数据摸底调查

因为《数据安全法》等发布，需要全面摸清数据情况，第二级及以上系统的运营者要以单位为主体，按数据分类分级结果填写《数据摸底调查表》，每类数据填一张，报送属地公安机关。

四、风险问题相关

1. 高风险和重大隐患
   ：高风险问题按专门的指引判定，没在指引里但综合判断可能造成高风险的也算。重大风险隐患可能由一个高风险问题直接引发，也可能是多个不同风险问题叠加。
2. 测评结论
   ：符合率高于 90% 且无重大风险隐患才判定为 “符合”；60%-90% 是 “基本符合”，和有无高风险、重大隐患无关；低于 60% 是 “不符合”。测评报告用 2025 版新模板，以报告出具日期为准，3 月 20 日之后的用新模板。结论里的 “重大风险隐患数量” 按整改前填写，整改了的要标注。

五、保护工作方案

第三级及以上系统的运营者要以单位为主体提交保护工作方案，重点针对年度测评中的重大风险隐患，包括资产情况、现有安全措施、问题原因、整改思路和计划等，2025 年 6 月 30 日前报送首批方案。

一、对企业的影响（通俗版）

1. 备案像 “重新办身份证”，更麻烦了：

• 只要是 “第二级及以上” 的系统（比如公司重要的业务系统、用户数据系统），不管有没有升级，都要用 2025 年的新模板重新提交备案材料，报给当地公安局。以前备案过的也得重新弄，相当于给系统 “换户口本”，企业得安排人专门整理资料，可能要花时间和精力。
• 如果系统级别变了（比如从第三级升到第五级）或者有大的改动（比如架构重构），需要找专家开会评审，确认合规性，不能自己随便改完就算了。

• 现在要求企业把自己的数据 “分门别类” 整理清楚，比如 “金融账户信息”“个人交易记录” 这种大类别，而不是单个的 “手机号”“身份证号”。每类数据填一张表，报给公安局。
• 为啥？因为国家现在更重视数据安全，要知道企业手里有哪些数据、怎么用的、怎么流转的，防止数据泄露或滥用。企业得花时间盘点自己的数据，可能需要 IT 部门和业务部门一起合作，甚至买工具来帮忙分类。

• 以前测评只要 “符合率” 达标就行，现在如果有 “重大风险隐患”（比如多个漏洞叠加可能导致系统瘫痪），哪怕符合率超过 90%，测评结果也会是 “不符合”，会被要求整改。
• 第三级及以上的企业（比如大型互联网公司、金融机构）还得写 “保护工作方案”，详细说明自己的系统资产、现有安全措施、哪里有问题、怎么整改，2025 年 6 月底前必须交第一份方案。这意味着企业不能只做表面合规，得真正解决核心安全问题，可能要多花钱做漏洞修复、系统加固。

• 第五级系统是 “关系国家安全、民生的重要系统”，比如国家电网管理系统、银行核心交易系统、大型互联网平台（比如微信、支付宝）。这类系统要在省级公安局备案，每年测评一次，虽然不强制花大钱搞国产化，但必须按 “够用就行” 的原则提升安全防护，比如加强加密、监控入侵。

二、对乙方安全服务商的影响（通俗版）

1. 测评服务 “变了规矩”，得学新套路：

• 以前用 2021 版报告模板，现在 2025 年 3 月 20 日后必须用新模板，新增了 “重大风险隐患” 评估。比如以前只要数漏洞数量，现在要分析漏洞会不会叠加造成大问题（比如一个密码漏洞加一个权限漏洞，可能导致数据被盗），需要更深入的风险分析能力。
• 跨省或全国性的大企业，以前备案在公安部，现在转给北京公安局，服务商得熟悉新流程，帮企业处理备案变更的咨询和材料准备。

• 很多企业不知道怎么给数据分类、填表格，乙方可以帮他们 “盘点数据资产”，比如帮忙把 “用户信息” 分成 “基本资料”“交易记录” 等大类，设计数据分类方案，甚至开发工具让企业方便填报。这是新的赚钱机会。

• 第三级及以上企业需要提交 “保护工作方案”，但很多企业可能不会写，乙方可以承接这个业务，比如帮企业梳理系统资产（服务器、软件、安全设备等）、分析风险原因、制定整改计划（比如先修复高风险漏洞，再优化防火墙策略），甚至提供后续的安全建设服务。

• 能源、金融、大型互联网等行业可能涉及第五级系统，乙方不需要推荐 “贵且复杂” 的方案，而是按 “适度适配” 原则，提供性价比高的方案（比如针对金融核心系统，加强访问控制，而不是全套换国产设备），降低企业成本，更容易接单。

三、总结：企业和乙方该怎么应对？

• 企业
  ：别嫌麻烦，把备案、数据分类、风险整改当作 “安全体检”，该整理的整理，该花钱的花在刀刃上（优先解决重大隐患），尤其是关键行业，提前和公安沟通，别踩合规红线。
• 乙方
  ：别固守老方法，赶紧学新模板、新要求，多开发数据分类、风险分析、方案定制类服务，主动找企业聊需求，尤其是那些需要报第五级、第三级的大客户，机会更多。

    一句话：以前可能 “走过场”，现在得 “动真格”，企业和乙方都得更重视 “实实在在的安全”，而不是 “纸面上的合规”。