观察 |国家互联网信息办公室关于《网络数据安全风险评估办法（征求意见稿）》公开征求意见的通知

主要观点总结

国家互联网信息办公室发布了《网络数据安全风险评估办法（征求意见稿）》，要求企业每年对重要数据开展风险评估，一般数据处理者至少每3年一次。该办法建立了监管体系、评估频率、评估机构、报告报送和违规后果等方面的具体规定，为企业数据合规管理提供了指引。办法仍在征求意见阶段，但为企业数据安全管理提供了清晰指引。

关键观点总结

关键观点1: 监管体系

办法建立了“国家统筹、分级负责”的风险评估工作机制，体现了统一领导，又兼顾了行业特性。

关键观点2: 评估频率

处理重要数据的网络数据处理者必须每年对其数据处理活动开展风险评估，一般数据处理者至少每3年开展一次风险评估。

关键观点3: 评估机构

企业可以选择自行评估或委托第三方评估机构，委托评估应优先选择通过认证的机构。评估机构需对出具的评估报告负责，发现重大风险时需及时通报。

关键观点4: 报告报送

重要数据处理者需在年度风险评估完成后向主管部门报送评估报告，报告模板有统一要求，所有评估报告至少保存3年。

关键观点5: 违规后果

未按规定开展风险评估的企业和违规的评估机构将受到处罚，结果互认机制也可避免重复评估。