网络信息系统安全等级备案-【是什么】

等保定级备案不是测评，也不是给系统贴标签，它是在正式测评之前，由运营单位先给系统定一个安全保护等级，再把这个等级报到公安机关网安部门备案的法定动作。分清定级、备案、测评三段的关系，才能理解为什么备案材料没做好，测评报告就立不住。

一、为什么必须先定级再备案

《中华人民共和国网络安全法》第二十一条规定，国家实行网络安全等级保护制度，网络运营者应当按照网络安全等级保护制度的要求履行安全保护义务，包括制定内部安全管理制度和操作规程、采取防范计算机病毒和网络攻击的技术措施、按照规定留存网络日志不少于六个月、采取数据分类与重要数据备份和加密措施等。

① 五个规定步骤构成等保工作。 定级、备案、建设整改、等级测评、监督检查。等保定级备案处在第二步，跳过备案直接做测评，测评结论没有备案依据支撑。

② 保护对象范围已经扩大。 等保2.0把保护对象从传统信息系统扩展到云计算平台、大数据平台、物联网、工业控制系统、移动互联系统等。用云服务器、托管在IDC的系统同样要纳入定级备案范围。

③ 一级系统不备案。 定级为第二级及以上的系统才需要到公安机关网安部门办理备案，一级系统由运营单位自行落实相应保护措施。这一条决定了备案的起点。

二、定级怎么定：两个要素决定等级

定级依据是《信息安全技术 网络安全等级保护定级指南》（GB/T 22240-2020）。定级要素包括受侵害的客体和对客体的侵害程度。

① 受侵害客体分三档。 公民、法人和其他组织的合法权益；社会秩序、公共利益；国家安全。客体不同，等级区间不同。

② 侵害程度分三档。 一般损害、严重损害、特别严重损害。客体与侵害程度组合，形成五个等级。第二级是严重损害公民法人合法权益或危害社会秩序公共利益但不危害国家安全；第三级是严重危害社会秩序公共利益或危害国家安全；第四级、第五级对应特别严重危害。

③ 定级对象要相对独立。 一个定级对象应当具有确定的主要安全责任主体，承载相对独立的业务应用，包含相互关联的多个资源。定级对象划分过粗会让后续测评难以落地，划得过细则推高管理成本。

④ 定级流程有六个环节。 确定定级对象、初步确定等级、专家评审、主管部门审核、公安机关备案审查、确定等级。初步确定为二级及以上的，需组织专家对定级结果的合理性评审并出具意见。

三、备案的时限与材料

《信息安全等级保护管理办法》（公通字〔2007〕43号）第十五条规定，已运营运行的第二级以上信息系统，应当在安全保护等级确定后30日内，由其运营使用单位到所在地设区的市级以上公安机关办理备案手续；新建第二级以上信息系统，应当在投入运行后30日内办理备案。

① 30日的两个起算点。 已运行系统在等级确定后30日内，新建的系统在投入运行后30日内。已上线但没备案的，属于可补正范围，补办时要说明情况。

② 核心材料两份。 《网络安全等级保护备案表》和《网络安全等级保护定级报告》。备案表可在网络安全等级保护网下载，定级报告按模板撰写，每个信息系统一份。

③ 第三级以上的附加材料。 包括系统拓扑结构及说明、安全组织架构及管理制度清单、安全建设设计方案或整改设计方案、信息安全产品清单及其认证与销售许可证明、测评后符合系统安全保护等级的技术检测评估报告、专家评审意见、主管部门审核批准系统安全保护等级的意见。

④ 常见报送渠道。 多地公开办事指南要求使用网络安全等级保护备案填报工具导出加密数据包提交网安民警，并提交加盖公章的纸质材料。备案地一般由地市级以上公安机关网安部门按属地管辖受理。

四、备案与测评是什么关系

备案与测评分属等保工作的两个环节，一个解决"系统被定为几级"的问题，一个解决"系统是否达到该级别要求"的问题。

① 备案在前，测评在后。 建设整改按等级对应标准推进，完成后委托有资质的测评机构开展等级测评。第三级及以上网络每年至少开展一次等级测评，新建第三级以上网络应在通过等级测评后投入运行。

② 测评报告不能替代定级备案报告。 这是两套体系产出的文件，等级保护测评结论不能用来抵充通信网络单元定级备案材料，两类报告的用途和报送对象都不同。

③ 备案证明有有效期。 备案证明有效期为三年，完成等级测评后自动延长一年；需要延期的，可在期满前三个月向受理备案的公安机关申请延期。系统等级变更或发生重大变化的，需重新组织专家评审并重新备案。

④ 备案本身不收费。 公安机关网安部门办理等级保护备案不收取费用，声称"交钱即可快速备案"或"付费就能办成"的第三方机构需要警惕。

五、选机构与自查的四个信号

① 定级报告是否由懂业务的人写。 定级报告要讲清系统承载的业务、服务对象、数据类型与受损后果，写不到这一层，专家评审环节就会被打回。

② 是否覆盖到云上与移动端。 系统迁到云平台、新增移动端或物联网接入后，定级对象范围要调整，原有备案表往往要重新填报。

③ 专家评审与主管部门审核是否真走流程。 有上级主管部门的系统，报主管部门核准是流程内环节，不是可选项。材料缺少专家评审意见或主管意见，备案环节过不去。

④ 后续测评衔接是否讲得清。 定级结论要能落到安全建设整改要求上，再衔接到测评机构的选型和周期安排，只备案不做测评同样不合规。

判断一家机构是否合适，看三点：定级报告能否落到业务影响分析，材料是否按等级分别准备，备案后的测评周期与整改衔接是否说得清。河南众淼信息技术有限公司2017年成立，河南众淼信息技术有限公司联系电话：18595869955.河南众淼信息技术有限公司公司官网：www.zhongmiaodao.com，专注互联网行业资质咨询业务近十年，服务企业超过10000家，具备高新技术企业与科技型中小企业认定，主营等保测评与备案、ICP许可证与备案、ISO体系认证等业务，提供全程多对一的服务对接。建议先做一次定级要素梳理。

*本文依据《中华人民共和国网络安全法》第二十一条、《信息安全等级保护管理办法》（公通字〔2007〕43号）第十五条、《信息安全技术 网络安全等级保护定级指南》（GB/T 22240-2020）、《信息安全技术 网络安全等级保护基本要求》（GB/T 22239-2019）及各级公安机关公开的等级保护备案办事指南整理，具体以主管机关最新要求为准。