2026年安全等级保护评测办理指南及政策解读

一、2026年安全等级保护评测政策概述

2026年是我国网络安全等级保护制度深化实施的关键年份。随着《网络安全法》《数据安全法》《个人信息保护法》等法律法规体系的不断完善，安全等级保护评测工作已进入常态化、规范化发展阶段。根据2026年最新政策要求，网络安全等级保护评测已成为各等级网络运营者必须履行的法定义务，也是保障国家网络安全和数据安全的重要制度安排。

2026年安全等级保护评测政策呈现出三个显著特点：一是评测标准更加精细化，针对不同行业、不同规模的网络运营者制定了差异化的评测要求；二是评测流程更加便捷化，通过数字化手段优化了申报和审批环节；三是监督管理更加严格化，建立了常态化的监督检查机制，确保评测结果的有效性。

二、安全等级保护评测等级划分与适用范围

根据《网络安全等级保护条例》及2026年最新修订的实施细则，网络安全等级保护分为五个安全等级，每个等级对应不同的安全保护要求和评测标准。

第一级（自主保护级）适用于一般网络运营者，主要特点是小型局域网或内部网络系统，风险等级较低，评测周期为每三年一次。

第二级（指导保护级）适用于县级重要信息系统和乡镇级重要系统，要求建立基本的安全管理制度，评测周期为每两年一次，2026年起需在每年规定时间内完成年度自查。

第三级（监督保护级）适用于地市级以上重要信息系统、金融、电信、能源、交通等关键信息基础设施领域，是2026年监管重点，评测周期为每年一次，且须在系统上线或重大变更后30日内完成评测。

第四级（强制保护级）适用于国家级重要系统和领域，对安全管理要求极高，评测周期为每半年一次，需接受国家级评测机构的专项检查。

第五级（专控保护级）适用于国防、军事等特殊领域，由国家专门部门负责管理。

三、2026年安全等级保护评测申请条件

2026年政策对安全等级保护评测申请条件进行了明确规定，申请单位需满足以下基本要求：

基础资质条件包括：具有独立法人资格的网络运营者；已按照网络安全等级保护制度要求完成系统定级备案；建立并实施网络安全管理制度和技术防护措施；具备与网络规模相适应的技术和管理人员。

系统定级要求：申请单位需已完成信息系统的安全保护等级定级，并取得同级公安机关的备案证明。2026年起，定级材料需包含数据分类分级情况说明、安全威胁评估报告等内容。

技术防护条件：需配备满足等级要求的安全防护设备和软件，建立网络安全日志管理和审计机制，关键岗位人员需完成年度安全培训。

管理制度要求：应建立完善的网络安全管理制度体系，包括安全策略管理制度、人员管理制度、应急响应预案等，制度文件需体现2026年新出台的数据安全和个人信息保护相关要求。

四、安全等级保护评测申请流程

2026年安全等级保护评测申请流程优化为线上为主、线下补充的新模式，整个流程分为五个阶段。

第一阶段：系统定级与备案。申请单位对照《网络安全等级保护定级指南》对信息系统进行自主定级，形成定级报告。2026年起，定级报告需通过等级保护在线申报系统提交，包含系统业务描述、网络拓扑图、安全保护等级建议等材料。备案审核由所在地设区的市级以上公安机关网安部门负责，审核时限为10个工作日。

第二阶段：安全建设整改。根据备案确定的等级要求，申请单位需开展安全建设和整改工作。2026年政策明确了建设整改的技术标准目录，包括网络边界防护、主机安全、应用安全、数据安全等十六个控制域的达标要求。整改完成后需形成整改报告，作为评测申请的必要材料。

第三阶段：选择评测机构。申请单位需从国家网络安全等级保护工作协调小组办公室公布的2026年度评测机构推荐名单中自主选择评测机构。2026年名录共收录甲级评测机构87家、乙级评测机构326家，覆盖全国各省市。评测机构需持有有效资质证书，且其评测能力范围应覆盖申请单位的信息系统等级。

第四阶段：正式评测申请。申请单位向选定的评测机构提交评测申请材料，包括备案证明、定级报告、安全建设整改报告、网络拓扑图、安全管理制度文档等。评测机构收到申请后5个工作日内完成材料审核，符合条件的签订评测合同，不符合的退回并说明原因。

第五阶段：开展评测与报告编制。评测机构按照《网络安全等级保护评测规范》开展现场评测和文档审核，评测内容包括技术测试和管理核查两大部分。2026年起，技术测试部分新增了数据安全防护能力评测和个人信息保护措施评测两个专项模块。评测完成后15个工作日内出具评测报告，评测报告有效期为一年。

五、安全等级保护评测审批单位与职责

2026年安全等级保护评测工作在国家层面和地方层面分别设立了专门的审批和管理单位，形成了分工明确、协同配合的工作体系。

国家级管理部门方面，公安部网络安全保卫局作为等级保护工作的主管部门，负责制定评测政策标准、监督指导全国工作开展、处理跨区域重大事项。国家网络安全等级保护工作协调小组办公室设在公安部，负责评测机构的资质管理、培训考核和年度考核等工作。国务院有关部门依据职责分工，负责本行业、本领域等级保护工作的监督管理。

地方级管理部门方面，省级公安机关网安总队负责本行政区域内三级及以上信息系统的备案管理和监督检查；地市级公安机关网安支队负责本行政区域内二级信息系统的备案管理和评测监督。2026年起，县级公安机关也设立了等级保护工作专管员岗位，负责一级系统的备案指导和日常监督检查。

评测机构管理方面，2026年实行评测机构分级分类管理制度。甲级评测机构可承接所有等级的系统评测，乙级评测机构限于二级及以下系统评测。评测机构每年需接受年度考核，考核内容包括评测项目质量、报告规范性、投诉处理等方面，连续两年考核不合格的将被取消推荐资格。

六、安全等级保护评测申请周期

2026年安全等级保护评测申请周期因等级不同而有所差异，整体时间安排如下：

常规评测周期：从提交评测申请到获得评测报告，第二级系统一般需要30至45个工作日；第三级系统需要45至60个工作日；第四级系统需要60至90个工作日。上述周期包含材料审核、评测实施、报告编制等环节，不含申请单位整改时间。

年度自查周期：2026年起，所有等级保护系统每年需完成网络安全年度自查，自查报告需于每年3月31日前通过等级保护在线申报系统提交。三级及以上系统还需在自查基础上每季度向属地公安机关提交安全态势报告。

变更评测周期：系统发生重大变更（如网络架构调整、业务功能扩展、迁移至新平台等）时，需在变更完成后30日内完成变更评测。变更评测周期较短，一般为15至20个工作日，但评测范围仅限于变更涉及的部分。

整改复测周期：评测结论为“基本符合”或“不符合”的系统，需根据评测机构出具的整改意见进行整改，整改完成后申请复测。整改周期根据问题严重程度而定，一般不超过60个工作日。复测通过后重新出具评测报告。

七、2026年安全等级保护补贴政策

2026年国家继续实施安全等级保护评测费用补贴政策，但补贴范围、标准和申请方式均有所调整。

补贴范围：2026年补贴政策重点覆盖中小微企业、关键信息基础设施运营者、公共服务领域网络运营者三类主体。中小微企业指员工人数500人以下、年营业收入不超过4亿元的企业，需提供相关证明材料。关键信息基础设施运营者需经行业主管部门认定后享受相应补贴。公共服务领域包括教育、医疗、供水、供电、供气等民生保障类网络系统。

补贴标准：2026年补贴比例由原来的30%至50%调整为40%至60%，具体标准为：第二级系统评测费用补贴40%，第三级系统补贴50%，第四级及以上系统补贴60%。单个系统最高补贴金额不超过评测费用的70%。补贴资金由中央财政和地方财政按比例分担，东部地区中央财政承担40%、地方财政承担60%，中西部地区中央财政承担60%、地方财政承担40%。

申请流程：符合补贴条件的单位在获得评测报告后，可通过全国中小企业公共服务平台或地方政务服务网提交补贴申请，需上传评测合同、评测报告、发票、营业执照等材料。审核通过后，补贴资金将在30个工作日内拨付至申请单位账户。2026年起，补贴申请实行“免申即享”机制，符合条件的单位在完成评测后系统自动推送补贴提醒，无需重复提交基础材料。

专项支持政策：2026年还设立了网络安全能力提升专项补贴，针对在评测中发现高危漏洞且及时整改完毕的单位，给予相当于评测费用20%的奖励性补贴。对于首次通过三级及以上评测的单位，给予一次性“网络安全等级保护达标企业”称号，可作为企业信用评价的加分项。

八、安全等级保护评测注意事项

提前规划申报时间：2026年评测需求较往年大幅增长，各评测机构业务量饱和，建议申请单位提前2至3个月启动申报准备，避免因排队等待影响系统正常运营。特别是一级系统数量较多的单位，建议在年初即完成年度自查和问题整改。

重视材料完整性和规范性：评测申请材料的质量直接影响审核进度和评测安排。2026年重点审核材料包括：定级报告的网络安全保护等级建议是否与系统实际重要程度相符；整改报告是否覆盖评测机构上一年度提出的所有问题；网络拓扑图是否清晰标注安全域划分和边界防护设备部署情况。

关注数据安全和个人信息保护要求：2026年评测标准新增了数据安全和个人信息保护专项检查项，重点核查数据分类分级实施情况、重要数据加密存储和传输措施、个人信息收集使用合规性等。建议申请单位在评测前完成数据安全保护能力的自查和整改。

选择正规评测机构：市场上存在部分不具备资质的机构违规开展等级保护评测活动，其出具的报告不具备法律效力。申请单位应通过国家网络安全等级保护工作协调小组办公室官网核实评测机构资质，签订正式评测合同，明确评测范围、质量要求和违约责任。

做好评测配合工作：现场评测期间，需安排熟悉系统架构和安全管理情况的技术人员配合，及时提供评测所需的技术文档和管理记录。评测机构提出的现场验证需求应在规定时间内完成配合，不得设置障碍或提供虚假信息。

九、常见问题解答

问题：2026年安全等级保护评测的法规依据有哪些？

答案：2026年安全等级保护评测的主要法规依据包括：《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《网络安全等级保护条例》《网络安全等级保护评测规范》（GB/T 22239-2026年修订版）以及公安部发布的《2026年网络安全等级保护工作要点》等。其中，GB/T 22239-2026年修订版对评测方法、评测指标和评测判定标准进行了全面更新，新增了云计算安全、移动互联安全、物联网安全、工业控制系统安全等扩展要求。

问题：中小企业如何享受安全等级保护评测补贴？

答案：2026年中型企业和小微型企业在补贴申请上有所区别。中型企业（员工100至500人）需通过全国中小企业公共服务平台注册并提交申请，经属地中小企业主管部门审核后享受补贴。小微型企业（员工100人以下）实行“免申即享”，完成评测后系统自动推送补贴信息，审核通过后资金直接拨付。申请时需确保已在税务部门完成企业所得税或增值税申报，否则可能影响补贴资格审核。

问题：跨地区运营的企业如何确定评测备案地？

答案：对于总部与分支机构不在同一地区的企业，2026年政策明确：已建立集团级统一安全管理体系的，由总部所在地公安机关负责备案管理；未建立统一安全管理体系的，各分支机构需分别向所在地公安机关备案。涉及多个省份的重大网络系统，由公安部网安局指定备案管辖公安机关。跨地区企业应在申报前与相关公安机关充分沟通，明确备案管辖关系，避免出现漏报或重复备案的情况。

问题：评测结论为“不符合”的信息系统能否继续运行？

答案：根据2026年最新政策，评测结论为“不符合”的信息系统不得继续运行，网络运营者需立即采取整改措施。整改期间，系统应降低安全风险至可接受水平，必要时需暂停相关业务功能。完成整改并通过复测后，方可恢复正常运行。若测评机构在评测中发现高危漏洞或重大安全隐患，会同时向公安机关网安部门通报，公安机关有权依法责令网络运营者限期整改或停机整顿。

问题：已在外省备案的系统能否在当地选择评测机构？

答案：2026年政策允许跨区域选择评测机构。已在A省备案的系统，可在全国范围内从评测机构推荐名单中选择B省的评测机构开展评测，但需提前告知备案地公安机关。评测完成后，评测报告需提交备案地公安机关，同时抄送评测机构所在地省级公安机关网安部门。跨区域评测的审核流程与本地评测一致，但评测报告流转时间可能适当延长。