等保数据安全新规：中小企业要补的五件事

GA/T 2380-2026 没有推翻 GB/T 22239-2019 的既有条款，而是在原有十大安全大类之外，新增了「安全数据处理」一个独立大类，形成「10 个原有大类细化扩展 + 1 个新增大类专项管控」的结构。

这个新大类围绕数据全生命周期展开：收集、存储、使用、加工、传输、提供、公开、销毁八个环节都被纳入要求范围，并落在数据识别、数据标记、数据脱敏、数据溯源四项技术能力上。

对企业的实际含义是：过去数据安全要求散落在主机安全、应用安全等条目里，现在它有了独立章节，也就可以被独立检查。

配套的 GA/T 2394-2026（测评要求）与 GA/T 2395-2026（测评过程指南）统一了判定指标与实施流程，明确了符合、部分符合、不符合的判定标准，把此前各地尺度不一致的问题收敛到同一套口径。

测评流程也从看系统架构，转向先摸清数据资产与流转路径，再围绕数据流动做现场核查。换句话说，「系统建好了」不再等于「能过」。

新规按一般数据、重要数据、核心数据区分防护强度：等级越高，对加密存储、传输保护、身份鉴别与审计覆盖的要求越强。三级及以上系统的传输与存储加密、组合身份鉴别、完整性保护属于强制项。

需要注意标准本身是公安行业推荐性标准（GA/T），但它是等保测评与监督检查的统一行业依据 —— 对需要通过等保测评的企业而言，实际约束力来自测评结论，而不是标准名称里的「推荐」二字。

修改后的《网络安全法》自 2026 年 1 月 1 日起施行，重点强化了网络安全法律责任，并对部分违法行为的处罚力度做了提高。

同一时间窗口里，「数据安全」在监管语境中不再是可选项：等保测评把它单列，上位法把责任压实，两者叠加的效果是企业很难再用「系统很小、没定级」来回避。

《公安机关网络空间安全监督检查办法》（公安部令第176号）自 2026 年 10 月 1 日起施行，2018 年的《公安机关互联网安全监督检查规定》（公安部令第151号）同时废止。这份办法规范的是公安机关对网络空间安全的监督检查，也就是通常说的「网安来检查」。

办法明确，对网络安全等级保护第三级（含）以上的网络运营者以及关键信息基础设施运营者，公安机关每年开展一次日常性的现场检查；本年度其他主管部门已经开展过现场检查的，公安机关复用相关检查结果，不再重复检查。

检查什么，办法列了十一项，与中小企业直接相关的是这几条。是否依法办理联网单位备案并报送接入信息，是否制定并落实网络安全管理制度与操作规程，是否依法记录并留存用户注册信息和上网日志，是否依法履行等级保护的定级备案、等级测评、建设整改、自查等义务，是否针对漏洞隐患落实整改，是否依法履行数据安全与个人信息保护义务。检查之后的路径也写清楚了，发现隐患先督促整改并在检查记录上注明，尚不构成违法犯罪的可以发放公安提示函，发现较大安全风险或者发生安全事件的，可以约谈法定代表人或者主要负责人。

对中小企业来说有两个实在的变化。一是等保三级及以上的系统进入年度检查节奏，测评通过不再是终点，定级备案、整改与自查都要留下能出示的记录。二是检查本身也受约束，现场检查的人民警察不得少于二人并应当出示证件与监督检查通知书，公安机关不得向被检查对象收取费用，也不得要求购买、使用指定的产品和服务 —— 遇到借检查之名推销的，可以直接对照这两条。