8月20日，由国家互联网信息办公室、工业和信息化部、公安部三部门联合制定的《网络数据安全风险评估办法》正式施行。这部我国首部专门针对数据安全风险评估活动的部门联合规章，标志着数据安全风险评估从法律原则走向了操作落地。在数字技术深度嵌入经济社会各领域的今天，这部规章的施行，不仅是对既有法律制度的细化落实，更是对数据安全治理理念的一次深刻重塑。

已有的《数据安全法》早已确立重要数据处理者定期开展风险评估的法定义务，但由于缺乏统一的操作规范，实践中各地各部门执行标准不一，风险评估工作一度面临有法可依、无规可循的尴尬。《网络数据安全风险评估办法》的出台，恰恰填补了这一制度空白。它明确了重要数据处理者应当每年开展风险评估，鼓励一般数据处理者至少每3年开展一次，从评估依据、评估形式到报告编制、报送要求，都给出了清晰的路径。正如有些评论所言，如果说数据是网络时代的“身体”，这份办法就是“体检通知单”，为的是把风险查清查透，不让数据“带病运行”，以评促防、以评促管，变被动应急为主动防御。

回顾近年来发生的多起数据安全事件，不难发现一个共同的病灶——风险未被及时发现，隐患未被提前排除。2026年2月，黑客组织BEAST LEAKS宣称入侵中国某大型国有汽车制造商内网，窃取约700GB内部机密文件，内容涵盖智驾系统底层逻辑、固态电池实验模型以及数千份供应商保密协议。2026年5月，最高人民法院发布的典型案例中，两名被告人向HPV疫苗预约正规网站植入木马程序，非法获取29万余条预约订单信息，用于电信诈骗。同年，石家庄某公司因存在弱口令漏洞且未采取风险评估等措施，导致数据存在泄露风险，被立案调查；万州区一家企业因未开展风险评估、未对敏感数据采取加密存储等措施，被处以警告并罚款5万元。

这些案例揭示了一个残酷的现实：数据安全的风险不会因为“看不见”而消失，只会因为“不评估”而累积。等到数据泄露事件发生再去补救，往往为时已晚——数据已经泄露、声誉已经受损、用户已经受害。《网络数据安全风险评估办法》的核心价值，就在于将数据安全治理的关口大幅前移，从“事后灭火”转向“事前防火”。通过制度化、常态化的风险评估，让每一个数据处理者都能清楚地知道：风险在哪里、漏洞是什么、该怎么做。

制度的生命力在于执行，关键在于落实。《网络数据安全风险评估办法》明确了公安机关等部门的监管职责，将建立全流程监管机制，对重要数据处理者的风险评估报告真实性、准确性进行检查核验。对未按规定开展风险评估的，将依法予以处理。这意味着，风险评估不再是可有可无的“软约束”，而是必须履行的“硬任务”。当然，我们也要看到，《网络数据安全风险评估办法》并非“一刀切”地增加企业负担——它允许网络数据处理者自行或委托第三方开展风险评估，鼓励一般数据处理者自愿开展，在强制与引导之间找到了平衡点。

数据如水，善用则利，失控则害。《网络数据安全风险评估办法》的施行，是对“统筹发展与安全”理念的生动实践。它让我们看到，数据安全治理正在从碎片化走向系统化、从应急式走向常态化。这不仅是法律法规的进步，更是治理能力的跃升。期待这部规章能够真正落地生根，让“以评促防”成为每一位数据处理者的自觉行动，共同筑牢数字时代的数据安全堤坝。

一审 | 曹琛
二审 | 陶子瑶
三审 | 周喜林