只要你在中国运营网站、App 或内部系统，"等保"早晚会找上你。本文把等保2.0讲清楚：它是什么、怎么分级、谁必须做、二级三级差在哪、流程怎么走、不做有什么法律风险。
一、等保2.0是什么？出台背景与实施时间
等保，全称"网络安全等级保护制度"，是《网络安全法》第二十一条确立的法定义务。国家把网络和信息系统按重要程度分为五个等级，等级越高，安全要求越严，运营者的义务也越重。
等保2.0指以 2019 年发布的 GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》为核心的新标准体系，于 2019 年 12 月 1 日正式实施，取代 2008 年的等保1.0。相比1.0，它有三个明显变化：
- 保护对象变了：从信息系统扩展到云计算、移动互联、物联网、工业控制和大数据，云上业务、App、IoT 设备都在范围内。
- 防护思路变了：提出"一个中心、三重防护"，以安全管理中心统筹通信网络、区域边界和计算环境，强调动态防护与纵深防御。
二、等保的五个等级怎么划分
等级依据系统被破坏后对社会秩序、公共利益乃至国家安全的侵害程度确定，由运营者自主定级（三级以上需专家评审）并报公安机关备案。
| 等级 | 名称 | 典型情形 | 备案 | 测评要求 |
|---|---|---|---|---|
| 一级 | 用户自主保护级 | 仅影响自身权益 | 一般不需 | 自主保护 |
| 二级 | 系统审计保护级 | 一般企事业单位系统 | 需要 | 一般每两年至少一次 |
| 三级 | 安全标记保护级 | 重要行业、用户量大的系统 | 需要 | 每年至少一次 |
| 四级 | 结构化保护级 | 涉及国计民生、重要领域 | 需要 | 强制保护，每年测评 |
| 五级 | 访问验证保护级 | 极端重要，涉及国家安全 | 需要 | 专控保护 |
三、哪些企业必须做等保？
《网络安全法》第二十一条规定，网络运营者应当按照网络安全等级保护制度的要求履行安全保护义务。只要在运营网络，义务就已存在。以下行业的系统在实践中几乎必然落入二级或三级：
- 政府与事业单位：政务平台、公共服务与内部办公系统。
- 金融行业：银行、证券、保险、支付与消费金融，监管最严。
- 医疗健康：医院信息系统、互联网医院、病历数据平台。
- 教育行业：高校、中小学、在线教育平台的学籍与教学系统。
- 互联网平台：电商、社交、直播、出行等拥有大量用户和交易数据的平台。
能源、交通、水利等关键信息基础设施运营者，还需在等保基础上重点保护。一个实用判断：系统一旦被攻破，会不会影响大量用户的个人信息、社会秩序或公共利益？会——至少二级，很可能三级。
四、等保二级与三级的主要区别
二级和三级是问得最多的一组，差别不只是"严一点"：
| 对比项 | 等保二级 | 等保三级 |
|---|---|---|
| 侵害客体 | 社会秩序、公共利益（一般损害） | 社会秩序、公共利益（严重损害） |
| 定级程序 | 自主定级 + 备案 | 需专家评审 + 备案 |
| 测评频率 | 一般每两年至少一次 | 每年至少一次 |
| 安全审计 | 基本审计要求 | 覆盖每个用户、关键操作可追溯 |
| 集中管控 | 不作强制要求 | 安全设备与策略集中管理 |
| 数据保护 | 完整性、备份要求较宽 | 保密性、完整性、异地备份更严 |
| 建设成本 | 相对可控 | 整改投入明显更高 |
五、等保实施的完整流程（五个阶段）
01系统定级
确定定级对象，分析业务信息与系统服务受侵害的客体和程度，确定等级；三级以上还需专家评审并报主管部门审核。
02备案
按规定期限到属地公安机关网安部门备案，提交定级报告、备案表等材料，取得备案证明——招投标和检查最常索要的文件。
03建设整改
对照 GB/T 22239-2019 对应等级的要求逐项整改，覆盖物理环境、通信网络、区域边界、计算环境和安全管理中心，以及制度与人员管理。
04等级测评
委托具备资质的测评机构开展测评并出具报告，不符合项按高、中、低风险定级，高风险项必须整改。
05监督检查
公安机关及行业主管部门定期监督检查，三级以上系统每年复测。等保是持续运营的工作，不是一次性的。
六、企业最常见的误区
- 误区一：做了等保就绝对安全。等保是"及格线"和最低基线，解决"该有的防护有没有"，不等于能挡住高强度定向攻击。合规不等于安全。
- 误区二：等保是一次性的。三级每年测评、二级每两年测评，系统重大变更后还要重新评估。
- 误区三：等保就是等级测评。测评只是流程中的一环，定级错了、备案没做、整改不到位，测评必然卡住。
- 误区四：只有大企业才要做。只要运营网络，法律义务就在，差别只在等级高低。
- 误区五：测评通过就万事大吉。监督检查随时可能到来，测评报告不是免检金牌。
七、不做等保的法律风险
等保不是行业建议，而是写进法律的强制义务：
- 《网络安全法》第二十一条：国家实行网络安全等级保护制度，网络运营者应当按该制度履行安全保护义务，保障网络免受干扰、破坏或未经授权的访问。
- 《网络安全法》第五十九条：不履行第二十一条义务的，由主管部门责令改正、给予警告；拒不改正或导致危害网络安全等后果的，处一万元以上十万元以下罚款，对直接负责的主管人员处五千元以上五万元以下罚款。
连带后果同样现实：发生数据泄露时，未开展等保会成为"未尽安全保护义务"的事实，加重责任认定；招投标、项目验收与融资尽调也常因缺少测评报告受阻。
八、常见问题 FAQ
Q1：等保2.0和等保1.0有什么区别？
等保1.0 依据 2008 年的 GB/T 22239-2008，保护对象主要是传统信息系统。等保2.0 于 2019 年发布、12 月 1 日实施，把云计算、移动互联、物联网、工业控制和大数据纳入保护范围，并明确"一个中心、三重防护"的要求。
Q2：等保测评多久做一次？
三级及以上系统每年至少测评一次；二级系统一般每两年至少一次，行业有更严格规定的从其规定。系统重大变更或发生重大安全事件后应重新测评。
Q3：等保测评大概需要多少钱？
费用取决于等级、规模、复杂度和测评机构，二三级差别明显，没有统一价格。建议先做定级评估和差距分析，再按实际范围确定预算。
Q4：二级系统一定要做测评吗？
二级系统需要到公安机关备案，并按规定周期开展测评。招投标、项目验收和行业检查通常会索要备案证明与测评报告，因此二级同样建议按期完成。
Q5：做等保需要多长时间？
取决于系统基础和整改量。基础较好、只需补齐制度文档的二级系统可能一到两个月；需要改造技术架构的三级系统往往三到六个月甚至更久。
Q6：等保测评不通过怎么办？
结论为"差"或存在高风险项时，需按报告逐项整改后申请复测。反复不通过通常说明整改只做了表面功夫，建议测评前先做差距分析和预评估。
